GPT-5.6-Cyber 代理多次突破虚拟机限制，证明虚拟机和操作系统需要更好的维护

最近的安全评估 "表明，传统虚拟机无法作为抵御具备网络攻击能力的自主代理的安全隔离屏障。该研究使用了 GPT-5.6-Cyber " 模型，后者是作为 Patch-the-Planet " 计划的一部分免费提供。当研究人员将一个高级模型用于测试运行在 Linux 开发机上的标准 QEMU 和 KVM 环境时，该系统利用内核漏洞和零日漏洞成功地实现了多次逃逸。该代理自主运行了数小时，分析了源代码，并构建了可行的漏洞利用链。相比之下，在针对 Firecracker " 进行测试时，虽然该代理被成功遏制，但仍然因底层 Linux 内核漏洞而导致机器发生了硬锁死。这些发现从根本上挑战了关于软件安全和基础设施隔离的既定假设，要求组织对如何保护主机系统免受智能软件代理的侵害做个彻底的重新评估。 该核心漏洞源于标准虚拟机配置本身固有的庞大攻击面。为了保证实际的应用价值，虚拟化环境必须共享资源、支持通信通道并提供网络访问。自主代理正是利用这些共享的软件状态、底层硬件配置和内核接口来策划复杂的攻击。在已记录的评估过程中，该系统能够独立运行，在尝试失败后回溯，并执行多次独立的尝试来寻求突破沙箱。 首次测试涉及利用已知的宿主内核漏洞。运行约一小时后，该智能代理利用了名为 Januscape " 的内核漏洞（虽然已经公开，但尚未出现公开的漏洞利用代码），导致宿主机出现硬锁死。尽管在内核更新前这次漏洞利用未能完全成功，但这也证明了该智能代理能够根据部分已披露的信息构建出可运行的攻击代码。 为了增加难度，研究人员更新了内核，推动了第二次针对网络库的测试。该系统将目标锁定在了 libslirp 上——这是一个支持虚拟机网络功能的库。研究人员发现，在比较旧的稳定版发行包中，一个未分配的漏洞修复提交可以与 CVE-2026-9539 " 结合，在主机上构造任意的内存读写原语，从而轻而易举地实现逃逸。 为了消除这些发行版之间的差异，研究人员手动获取了上游最新的 libslirp 和 QEMU 源代码，并为第三次测试重新构建了一个精简的环境。尽管采取了这些强化措施，该智能代理仍然对主机内核源代码及相关库进行了深入的漏洞搜寻分析，并成功地串联利用了多个零日漏洞和未修补的发行版缺陷。它利用 VAPIC 组件中未经检查的 ROM 别名，使锁定 SMRAM 区域的地址发生重叠，从而实现受攻击者控制的 SMM 执行；操纵 KVM 中未同步的影子页；滥用分页机制中的过期页角色，为修改 QEMU 堆创建可写的主机-物理映射；并在 libslirp 中触发了混合分片 Internet Header Length 错误，从而将数据复制到重组数据包之外，生成用于劫持回调的活跃对象。 要缓解这些严重的风险，必须转向采用像 Firecracker 这样的最小攻击面虚拟化技术，同时严格遵循最小权限原则。组织机构再也不能依赖现成的虚拟机或滞后的补丁更新周期来遏制自主代理了。调查表明，那些老旧的稳定版软件发行版存在着极其严重的问题，因为面对能够快速发现并合成漏洞利用程序的强大的自主代理，补丁的回溯移植周期实在太长。因此，快速打补丁现在已经成为一项绝对必要的要求，同时还需要配合积极主动的监控、受限的网络访问，以及为每个执行周期提供纯净且短暂的环境，以防止主机基础设施遭到持久性入侵。 原文链接： https://www.infoq.com/news/2026/09/agent-escape-vm/ "