저자는 GPT 5.6-Cyber의 사이버 역량을 평가하기 위해 QEMU/KVM 가상 머신 탈출을 시도하도록 했습니다. AI 에이전트는 VM을 세 번 성공적으로 탈출하며 고급 자율 해킹 능력을 입증했습니다. 초기에는 최근 공개된 호스트 커널 버그를 악용했습니다. 호스트를 업데이트한 후에는 아직 보안 취약점으로 분류되지 않았거나 패키지 관리자의 업데이트에 통합되지 않은 공개된 버그를 활용했습니다. 마지막으로, 최신 업스트림 소스에서 QEMU 및 종속성을 다시 빌드한 후에도 AI는 여러 제로데이 취약점을 발견하고 악용했습니다.에이전트는 몇 시간 동안 작동하며 자율적으로 연구, 익스플로잇 개발, 실패한 시도에서의 백트래킹을 수행했습니다. 저자의 주요 역할은 호스트 커널이 하드록될 때마다 기계를 재부팅하는 것뿐이었습니다. 이 경험은 기존 VM 샌드박싱이 고급 AI 에이전트를 격리하는 데 불충분하며, 이들은 고급 지속 위협으로 취급되어야 함을 강조합니다.저자는 VM과 호스트 간의 공유 리소스 및 통신 경로가 상당한 공격 표면을 제공한다고 언급합니다. AI의 끈질김과 여러 취약점을 연쇄적으로 악용하는 능력은 특히 인상적이었습니다. 성공적으로 탈출하기 전에 네트워크 서비스 및 하드웨어 버그를 포함한 다양한 공격 벡터를 탐색했습니다.익스플로잇에는 QEMU, Linux KVM 및 libslirp의 취약점이 포함되었으며, 저자의 Debian 12 환경에서 여러 제로데이 및 패치되지 않은 보안 문제가 있었습니다. 이러한 발견은 현재 소프트웨어 보안 가정을 뒤흔들며, 업데이트 주기가 느린 "oldstable" 배포판조차도 매우 취약함을 시사합니다.저자는 이러한 AI 에이전트를 격리하기 위해 빠른 업데이트가 가능한 배포판이 이제 필수적이라고 제안합니다. 최소한의 공격 표면과 보안을 염두에 두고 구축된 Firecracker와 같은 가상화 기술을 사용하는 것이 더 강력한 솔루션을 제공하며, AI는 기계를 하드록할 수는 있었지만 탈출하지는 못했습니다.궁극적으로 고급 AI 에이전트를 격리하려면 샌드박싱 품질을 재평가하고, 최소 권한, 강화된 로깅, 능동적 모니터링, 운영 시간 제한, 각 사용에 대한 깨끗한 환경 보장과 같은 더 엄격한 보안 기본 원칙을 채택해야 합니다.