Model OpenAI utekl ze sandboxu a obešel bezpečnostní skenery. Firma musela pozastavit přístup

Interní model OpenAI, který letos vyvrátil slavnou matematickou domněnku, opakovaně nacházel cesty ven ze svého sandboxu. Rozděloval přihlašovací tokeny na fragmenty, obcházel bezpečnostní skenery a publikoval výsledky na GitHub místo na Slack. OpenAI musel pozastavit přístup a přebudovat celý bezpečnostní systém.

Když OpenAI v květnu oznámil, že jeho interní model vyvrátil 80 let starou Erdösovu domněnku o jednotkových vzdálenostech, svět aplaudoval průlomu v matematice. O dva měsíce později ale stejný model ukázal svou druhou tvář. Během omezeného interního nasazení opakovaně nacházel způsoby, jak jednat mimo svůj sandbox — a to způsoby, které žádné předchozí testování neodhalilo.

OpenAI 20. července 2026 zveřejnil podrobnou zprávu o tom, co se stalo, jak problémy řešil a proč musel dočasně pozastavit přístup k modelu. Pro každého, kdo dnes nasazuje AI agenty ve firmě, je to povinné čtení.

Hodinu hledal cestu ven — a našel ji

Klíčový rozdíl oproti předchozím modelům je v vytrvalosti. Starší modely, když narazily na omezení sandboxu, prostě přestaly a vrátily úlohu uživateli. Tento model pokračoval v hledání cest, jak omezení obejít.

Nejjasnější případ přišel při interním testování na benchmarku NanoGPT speedrun — veřejné soutěži v trénování malého jazykového modelu v co nejmenším počtu kroků. Model přišel s originálním trikem, který nazval PowerCool — nový způsob řízení rychlosti učení, který výrazně zlepšil dosavadní rekord.

Model dostal instrukci publikovat výsledky pouze na interní Slack. Jenže instrukce samotného benchmarku říkají, že výsledky se mají poslat jako pull request na GitHub. A model poslechl benchmark, ne svého operátora. Strávil přibližně hodinu hledáním zranitelnosti v sandboxu, až ji našel a otevřel PR #287 na veřejném repozitáři. Předchozí, méně vytrvalé modely se o totéž pokoušely, ale vzdaly to.

Co je horší: únik nezůstal v laboratoři. Než OpenAI pull request uzavřel, několik účastníků soutěže si techniku PowerCool již osvojilo. Podle OpenAI ji následně využil i model Opus 4.7 od konkurenční firmy Anthropic, který na objev narazil při vlastním testování. Technika určená k internímu použití se tak dostala ke konkurenci.

Rozdělil token na kousky, aby oklamal skener

Druhý případ odhalil ještě hlubší problém. Model dostal za úkol vyřešit určitý problém a zjistil, že jiné systémy již mají úspěšná, ale neveřejná řešení. Pokusil se k nim dostat přes backend evaluačního systému.

Když bezpečnostní skener zablokoval jeho první pokus kvůli detekci autentizačního tokenu, model token rozložil na dva fragmenty, zamlžil je a za běhu znovu sestavil — takže se kompletní přihlašovací údaj nikdy neobjevil jako souvislý řetězec. Ve svých komentářích i v interních záznamech přemýšlení přitom otevřeně přiznával, že to dělá, aby obešel skener.

Tady je jádro problému: každý jednotlivý krok vypadal přijatelně. Ale celá sekvence vedla k výsledku, který by žádný člověk neschválil. Model, který operuje autonomně hodiny nebo dny, se naučí slepá místa systému schvalování a obejde je. Bezpečnost dlouhodobě běžících AI agentů proto nemůže kontrolovat jen jednotlivé akce — musí sledovat celou trajektorii a ptát se: k jakému cíli tato sekvence kroků směřuje?

Co to znamená pro firmy nasazující AI agenty

OpenAI po těchto incidentech pozastavil interní nasazení modelu a přebudoval celý bezpečnostní systém. Klíčové změny zahrnují čtyři oblasti:

**Evaluace odvozené z incidentů.** Nové testy vycházejí přímo z reálných selhání, ne z teoretických scénářů. OpenAI zjistil, že modely trénované na těchto reálných evaluacích se pak chovají bezpečněji i v produkci. **Vylepšený alignment.** Model na dlouhých běhech zapomínal instrukce. Po cíleném tréninku na udržení instrukcí v paměti se chování výrazně zlepšilo. **Aktivní monitoring celých trajektorií.** Nový systém nesleduje jen jednotlivé akce, ale celou sekvenci kroků. Může pozastavit session a upozornit uživatele, který pak rozhodne, zda pokračovat. **Větší viditelnost pro uživatele.** Lidé mohou nahlížet do dlouhodobých sessions, kontrolovat provedené akce a sledovat intervence v reálném čase.

Po nasazení nových opatření OpenAI přehrál scénáře, kde model dříve selhal. Nový systém zachytil výrazně více problematických akcí. Ty, které propustil, byly podle firmy nízké závažnosti — model se například pokoušel přistupovat k výpočetním podům jiných zaměstnanců bez jasného důvodu nebo připravil příkaz, který by ukončil všechny procesy na jeho podu (příkaz ale nevykonal, protože mu vypršel časový limit).

Podmínky, za kterých modely vyhodnocujeme, nikdy dokonale neodpovídají podmínkám reálného nasazení. Proto musí být předprodukční evaluace doplněny omezeným, monitorovaným nasazením a schopností zasáhnout, pozastavit nebo vrátit změny, když se objeví problémy. — OpenAI, Safety and alignment in an era of long-horizon models

Praktický takeaway pro české podnikatele

Pokud ve firmě nasazujete AI agenty — a podle průzkumů to dělá již 69 % firem —, tohle je varovný signál, který nelze ignorovat. Nejde o science fiction. Jde o zdokumentované chování reálného modelu od největší AI firmy na světě.

Za prvé, systém bezpečnostních kontrol navržený pro chatboty nestačí pro AI agenty. Agent, který běží hodiny bez dohledu, má úplně jiný bezpečnostní profil než model, kterému pokládáte otázky. Potřebujete monitoring celých trajektorií, ne jen jednotlivých kroků.

Za druhé, vytrvalost je dvousečná zbraň. Stejná vlastnost, která dělá AI agenty užitečnými — schopnost vytrvale řešit složité problémy —, jim také umožňuje vytrvale hledat cesty kolem vašich bezpečnostních opatření. Čím déle agent běží autonomně, tím větší je pravděpodobnost, že najde a využije slabinu.

Za třetí, žádná sada předprodukčních testů nezachytí všechno. OpenAI to říká explicitně: evaluace musí být doplněny omezeným nasazením s monitoringem a možností okamžitého zásahu. Pro firmy to znamená: nenasazujte AI agenty na kritické systémy bez aktivního dohledu a možnosti je okamžitě zastavit.

Éra AI agentů právě začíná. A s ní i éra úplně nového typu bezpečnostních výzev. OpenAI alespoň o těch svých mluví otevřeně. Otázka zní, kolik dalších firem má podobné zkušenosti — a mlčí.