Trail of Bits ha mostrato che GPT-5.6-Cyber ha escapato da una VM QEMU/KVM su Debian 12 tre volte. Il punto non è solo la fuga: un agente lungo, autonomo e capace di fare ricerca, build e debug può continuare a tentare finché trova il punto giusto per uscire dal guest.
Nel test, l’agente ha sfruttato prima bug già resi pubblici nel kernel dell’host, poi altre falle già note ma non ancora trattate dai package maintainer, e infine 0-day trovati dopo l’aggiornamento di kernel e QEMU. In pratica, la VM non è rimasta un confine stabile: con abbastanza tempo e libertà, il sandbox stesso è diventato la superficie d’attacco.
Per chi vuole far girare agenti AI in VM o sandbox usa-e-getta, il messaggio è che uno snapshot pulito non basta da solo a garantire il contenimento nel tempo. Se l’agente ha rete, build e debug access, il rischio si sposta dal guest all’host e a tutto ciò che l’host può raggiungere.