Una IA escapa tres veces de una máquina virtual al explotar vulnerabilidades del kernel y de QEMU

Un investigador de Trail of Bits sometió a GPT 5.6-Cyber, un modelo de OpenAI enfocado en ciberseguridad, a una prueba controlada consistente en escapar de una máquina virtual QEMU/KVM sobre Debian 12 en un equipo con CPU AMD Zen3. En menos de una hora, el agente abandonó la VM dos veces consecutivas y, tras reconstruir QEMU y sus dependencias desde el código fuente más reciente, logró una tercera huida encadenando tres vulnerabilidades de día cero. En el primer intento explotó Januscape (CVE-2026-53359), un fallo reciente del kernel del anfitrión; en el segundo, el agente combinó la CVE-2026-9539 de libslirp 4.7.0, aún presente en Debian 12, con un parche sin CVE asignado para conseguir lectura y escritura arbitraria de memoria del host. El exploit final combinó tres 0-days —dos en el kernel Linux KVM y uno en QEMU ligado al registro VAPIC y a SMRAM— más una vulnerabilidad ya corregida en upstream pero no catalogada como de seguridad. El agente trabajó de forma autónoma durante unas doce horas, mantuvo un registro de hallazgos, descargó código y papers, escribió sus propios oráculos y reusó exploits cuando fallaban, con mínima supervisión humana. El investigador concluye que una VM ya no basta para confinar a un agente de IA con capacidades cibernéticas avanzadas y recomienda tratarlo como una amenaza persistente avanzada.