GPT 5.6-Cyber escapa tres veces de una máquina virtual y descubre nuevas vulnerabilidades en QEMU y KVM

Un experimento de Trail of Bits ha puesto a prueba hasta qué punto una máquina virtual convencional puede contener a un agente de inteligencia artificial con capacidades avanzadas de ciberseguridad. El investigador Artem Dinaburg encargó a GPT 5.6-Cyber escapar de un entorno QEMU/KVM y el agente consiguió superar el aislamiento en tres configuraciones diferentes, utilizando desde vulnerabilidades conocidas hasta fallos desconocidos previamente.

El ensayo no fue un escape espontáneo ni un comportamiento inesperado del modelo. Dinaburg planteó deliberadamente al agente un desafío similar a un CTF en el que su objetivo era abandonar la máquina virtual y acceder a un archivo situado en el sistema anfitrión. El resultado muestra, según el investigador, que una VM de propósito general ya no debe considerarse por sí sola una barrera suficiente frente a agentes especializados en encontrar y explotar vulnerabilidades.

El primer intento encontró una vulnerabilidad del kernel

La prueba se realizó inicialmente sobre una máquina virtual QEMU/KVM alojada en un equipo con Debian 12 y un procesador AMD Zen 3. GPT 5.6-Cyber recibió acceso al entorno mediante SSH y pudo investigar, descargar software, compilar código y utilizar herramientas de análisis de seguridad.

Aproximadamente una hora después de comenzar, el agente detectó que el kernel del host era vulnerable a Januscape, identificada como CVE-2026-53359. El modelo desarrolló por su cuenta código para aprovechar el fallo y llegó a bloquear completamente el equipo anfitrión durante una prueba.

Dinaburg actualizó posteriormente el kernel a la versión más reciente ofrecida para Debian 12 con el objetivo de eliminar esa vía de ataque y continuar el experimento.

Una vulnerabilidad de libslirp abrió una segunda vía

Tras actualizar el kernel, el agente examinó otros componentes compartidos entre la máquina virtual y el host. El siguiente objetivo fue libslirp, una biblioteca utilizada por QEMU para proporcionar conectividad de red a máquinas virtuales.

GPT 5.6-Cyber detectó que la versión incluida en Debian 12 era vulnerable a CVE-2026-9539 y encontró además que podía combinarla con otro error ya corregido en el proyecto pero que no había sido clasificado como vulnerabilidad de seguridad.

La combinación proporcionaba capacidades suficientes para comprometer el aislamiento entre la máquina virtual y el proceso de virtualización. El investigador actualizó entonces manualmente QEMU y libslirp utilizando el código más reciente disponible en sus respectivos proyectos para eliminar también las vulnerabilidades conocidas.

El agente encontró varios fallos desconocidos

La tercera fase obligó a GPT 5.6-Cyber a buscar nuevos errores porque el entorno utilizaba versiones actualizadas de sus principales componentes. El agente trabajó durante varias horas, descartó diferentes enfoques y analizó código del kernel de Linux, KVM, QEMU y sus dependencias.

Finalmente construyó una cadena basada en tres vulnerabilidades que eran desconocidas en el momento de su descubrimiento y otro fallo ya corregido en el código oficial de Linux pero que todavía no había llegado al kernel utilizado por la distribución.

Los problemas detectados afectaban a componentes de QEMU, Linux KVM y libslirp. Trail of Bits comunicó los fallos correspondientes a los proyectos afectados y algunos detalles permanecen limitados mientras llegan las correcciones a versiones estables.

GPT 5.6-Cyber trabajó durante sesiones de unas 12 horas

Uno de los aspectos que más destacó Dinaburg fue la capacidad del agente para mantener un objetivo durante periodos prolongados. En determinadas sesiones trabajó durante aproximadamente 12 horas, recurriendo a múltiples subagentes y conservando un registro de los resultados obtenidos.

El sistema investigó documentación y código fuente, creó programas de prueba y abandonó estrategias que no daban resultado antes de continuar buscando otras superficies de ataque. La intervención humana fue limitada durante buena parte del proceso, aunque el investigador tuvo que reiniciar físicamente el equipo cuando algunos intentos bloquearon el kernel del host.

Una VM convencional no garantiza el aislamiento de un agente

Las máquinas virtuales proporcionan aislamiento mediante la separación entre el sistema operativo invitado y el anfitrión, pero necesitan compartir determinados recursos. Red, dispositivos virtualizados, gráficos y otros componentes crean interfaces adicionales que pueden contener vulnerabilidades.

El experimento muestra que un agente capaz de analizar grandes cantidades de código y trabajar durante horas puede explorar esa superficie de ataque hasta encontrar una combinación que permita atravesar el límite previsto por la virtualización.

Trail of Bits también realizó una prueba con Firecracker, una tecnología de virtualización diseñada alrededor de una superficie de ataque más reducida. GPT 5.6-Cyber consiguió bloquear el equipo debido a fallos del kernel que ya habían sido corregidos en versiones posteriores, pero no logró escapar del entorno durante el ensayo.

Dinaburg recomienda combinar tecnologías de aislamiento con sistemas actualizados, privilegios mínimos, restricciones de red, monitorización y entornos nuevos para cada ejecución. El resultado no demuestra que cualquier modelo de IA pueda escapar de cualquier máquina virtual, sino que los agentes especializados en ciberseguridad pueden convertir vulnerabilidades existentes y recién descubiertas en una amenaza mucho más exigente para los mecanismos tradicionales de sandboxing.