Encierran a una IA en una máquina virtual; al agente le llevó varias horas iniciar la fuga
Ni siquiera las versiones recientes de QEMU y KVM detuvieron a un agente que durante horas buscó una nueva ruta hacia el host.
La máquina virtual habitual dejó de parecer una jaula fiable para una IA avanzada. En el experimento de Trail of Bits, el agente especializado GPT-5.6-Cyber logró en tres ocasiones superar los límites del entorno QEMU/KVM, utilizando vulnerabilidades conocidas, parches demorados y fallos de día cero encontrados por sí mismo.
Trail of Bits obtuvo acceso anticipado a GPT-5.6-Cyber en el marco del proyecto Patch the Planet y propuso al modelo una tarea al estilo CTF: salir de una máquina virtual con Debian 12 y leer el archivo bandera en el host. El agente obtuvo acceso SSH al sistema invitado y la capacidad de descargar herramientas por su cuenta, examinar código fuente, compilar programas y buscar vulnerabilidades. Según el autor del experimento, Artem Dinburg, el modelo trabajó durante horas casi de forma autónoma, descartando enfoques fallidos y construyendo nuevas cadenas de explotación.
El primer candidato fue Januscape CVE-2026-53359, una vulnerabilidad KVM/x86 divulgada recientemente. Al cabo de aproximadamente una hora el agente creó de forma autónoma un exploit y lo ejecutó, tras lo cual el equipo físico que actuaba como host se colgó. El intento no funcionó a la perfección, pero demostró que el modelo pudo convertir la descripción pública de la vulnerabilidad en su propio código de explotación, pese a la ausencia de un exploit público completo.
Tras actualizar el kernel, GPT-5.6-Cyber se centró en libslirp, la biblioteca a través de la cual QEMU proporciona capacidades de red a las máquinas virtuales. El agente detectó que Debian 12 incluía la versión vulnerable libslirp 4.7.0 con CVE-2026-9539, y luego relacionó el problema con una corrección independiente a la que no se le había asignado CVE. La combinación permitía leer y modificar la memoria de un proceso en el host, lo que resultó suficiente para el escape de la caja de arena.
Dinburg complicó la tarea y compiló manualmente versiones recientes de QEMU y libslirp desde el código fuente actual. En la siguiente fase el agente pasó alrededor de 12 horas explorando distintas direcciones. Entre otras cosas, GPT-5.6-Cyber encontró desde la máquina invitada el servidor CUPS disponible e intentó explotar CVE-2026-34990, que podía causar la sobrescritura de archivos con permisos root. AppArmor detuvo esa cadena concreta, por lo que el modelo siguió buscando otras opciones.
Finalmente, GPT-5.6-Cyber comenzó a analizar por su cuenta el código fuente del kernel de Linux, KVM, QEMU y las bibliotecas relacionadas. La cadena final incluyó tres vulnerabilidades de día cero y otro fallo ya corregido por los desarrolladores, pero que no había entrado en el kernel instalado en Debian. Los problemas hallados afectaban a QEMU, a dos componentes de KVM y a libslirp. Trail of Bits transmitió la información a los desarrolladores; en el momento de la publicación, parte de las correcciones aún se estaban preparando.
El resultado obtenido muestra un problema más amplio. Durante décadas las máquinas virtuales han servido como un límite conveniente para ejecutar código potencialmente peligroso, pero una IA con capacidades cibernéticas puede explorar metódicamente toda la superficie de ataque disponible, correlacionar correcciones poco conocidas y construir sus propios exploits para un sistema concreto. Un tipo de amenaza similar ya es conocido por las plataformas en la nube: por ejemplo, un reciente fallo de KVM permitió que una máquina invitada alcanzara el host.
Trail of Bits aconseja no confiar en una sola máquina virtual al ejecutar agentes de este tipo. La empresa propone reducir la superficie de ataque, limitar la red y las funciones disponibles, otorgar el mínimo de privilegios, registrar constantemente las acciones y ejecutar al agente siempre en un entorno limpio. Como alternativa más estricta, los especialistas examinaron Firecracker. GPT-5.6-Cyber logró provocar el bloqueo del host mediante fallos del kernel de Linux, pero no consiguió escapar de la micromáquina virtual durante el experimento.