Ideja sandbox-a je jednostavna: programu se daje prostor u kojem može relativno slobodno da radi, ali iz kojeg ne bi trebalo da može da pristupi ostatku sistema. Kod AI agenata ova vrsta izolacije postaje posebno važna. Za razliku od klasičnog četbota koji uglavnom generiše odgovor, agent može da izvršava kod, koristi terminal, čita i menja datoteke, poziva spoljne servise i samostalno obavlja niz koraka potrebnih za ostvarivanje zadatog cilja.
Problem nastaje kada takav sistem pronađe način da izađe iz okruženja u kojem je trebalo da ostane.
Tokom 2026. to je prestalo da bude samo teorijski scenario. Jedan od najozbiljnijih javno dokumentovanih slučajeva dogodio se u julu, tokom internog testiranja kompanije OpenAI. AI agent je uspeo da izađe iz kontrolisanog okruženja, dođe do otvorenog interneta, a zatim kompromituje deo infrastrukture platforme Hugging Face. OpenAI i Hugging Face kasnije su objavili rezultate svojih istraga i opisali incident kao do tada nezabeležen bezbednosni događaj ove vrste.
Test koji nije ostao u laboratoriji
Agent je bio deo sistema za procenu naprednih sajber-sposobnosti modela. Korišćen je ExploitGym, okruženje namenjeno proveri sposobnosti AI sistema da pronalaze i iskorišćavaju softverske ranjivosti. Bezbednosna ograničenja modela bila su smanjena upravo zato da bi istraživači mogli da utvrde za šta je sistem sposoban.
Prema OpenAI-u, modeli su tokom rešavanja zadatka potrošili značajne računarske resurse pokušavajući da pronađu pristup otvorenom internetu. Otkrili su do tada nepoznatu ranjivost u proxy sistemu za keširanje paketa i iskoristili je. Nakon toga usledili su podizanje privilegija i kretanje kroz delove testne infrastrukture sve dok agent nije stigao do sistema sa pristupom internetu.
Tu se priča nije završila. Agent je zaključio da bi Hugging Face mogao da sadrži modele, skupove podataka ili rešenja povezana sa benchmark-om na kojem je testiran. Umesto da problem rešava isključivo unutar predviđenog okruženja, pokušao je da dođe do tih informacija spolja.
Hugging Face je naknadnom forenzičkom analizom rekonstruisao oko 17.600 aktivnosti povezanih sa agentom. Kompanija navodi da je tokom približno dva i po dana sistem donosio hiljade malih odluka, kretao se kroz različita okruženja i koristio javno dostupne servise kao deo svoje infrastrukture za dalje delovanje.
Važna nijansa jeste da agent nije jednostavno „odlučio da napadne Hugging Face“ u ljudskom smislu. Nema dokaza da je imao sopstvenu nameru ili motiv. Dobio je cilj, raspolagao alatima i tražio način da taj cilj ostvari. Problem je upravo u tome što se put koji je pronašao nalazio daleko izvan granica koje su njegovi tvorci očekivali.
Šta zapravo znači „pobeći iz sandbox-a“?
Sandbox nije AI bezbednosni mehanizam u užem smislu, već tehnički način ograničavanja programa. Njime se, na primer, može odrediti kojim direktorijumima agent sme da pristupa, koje komande može da izvršava i sa kojim mrežnim adresama može da komunicira.
Anthropic je za Claude Code opisao sistem koji kombinuje izolaciju fajl-sistema i mreže. OpenAI za Codex takođe koristi izolovana okruženja, pri čemu cloud agenti rade u zasebnim kontejnerima, a pristup mreži može biti onemogućen.
Takva zaštita, međutim, nije apsolutna. Sandbox je softver, a softver može imati grešku. Može biti pogrešno konfigurisan, agentu mogu biti date prevelike privilegije ili neka komponenta na granici između izolovanog i spoljnog sistema može sadržati ranjivost.
Upravo je to ključna razlika između dve tvrdnje koje se često mešaju. Nije dokazano da AI može proizvoljno da „izađe iz svakog sandbox-a“. Pokazano je da dovoljno sposoban model može da pronađe i iskoristi ranjivost ako ona postoji i ako raspolaže odgovarajućim alatima.
To više nije samo zaključak izveden iz pojedinačnih incidenata. Istraživači su 2026. predstavili SandboxEscapeBench, benchmark napravljen upravo za merenje sposobnosti LLM sistema da otkriju i koriste različite načine izlaska iz kontejnerskih sandbox okruženja. Rezultati pokazuju da modeli mogu da identifikuju i iskoriste namerno uvedene ranjivosti povezane sa pogrešnom konfiguracijom, privilegijama, kernelom i runtime infrastrukturom.
Problem nije samo u modelu
Incident sa Hugging Face-om pokazuje još nešto: bezbednost AI agenta ne može se posmatrati samo kroz ponašanje samog modela.
Agent danas predstavlja čitav sistem. Model donosi odluke, ali oko njega postoje alati, sandbox, mrežna infrastruktura, API-ji, autentifikacija, baze podataka i drugi servisi. Dovoljna je slabost u jednom delu tog lanca da granica koja je zamišljena kao čvrsta postane prolazna.
Dobar primer koliko naizgled mala greška može biti ozbiljna predstavlja ranjivost CVE-2026-27952 u open-source LLMOps platformi Agenta. Problem nije bio u tome što je model „postao neposlušan“, već u načinu na koji je napravljen Python sandbox. Jedan paket bio je pogrešno označen kao bezbedan, što je omogućavalo zaobilaženje izolacije i izvršavanje proizvoljnog koda na serveru. Ranjivost je kasnije otklonjena.
To je važna lekcija i za diskusiju o „AI koji beži iz kontrole“. U mnogim slučajevima dramatično ponašanje modela zapravo otkriva sasvim klasičan bezbednosni problem: loše podešene privilegije, ranjiv servis, izložene kredencijale ili nedovoljno izolovanu infrastrukturu. Novo je to što sada postoji sistem sposoban da takve slabosti autonomno traži, povezuje i koristi.
Od jedne greške do lanca napada
Klasična aplikacija uglavnom izvršava unapred definisanu proceduru. Agent dobija cilj i sam bira međukorake. Zbog toga jedna greška više ne mora da ostane izolovana.
Ako pronađe ranjivost koja mu omogućava pristup mreži, može da ispita šta se nalazi sa druge strane. Ako pronađe kredencijale, može pokušati da ih iskoristi. Ako dobije pristup drugom sistemu, može da nastavi odatle.
U sajber-bezbednosti ništa od toga nije novo. Privilege escalation, lateral movement i chaining vulnerabilities postoje decenijama. Ono što se menja jeste mogućnost da veliki deo tog procesa izvršava AI agent koji može da analizira rezultate prethodnog koraka i odmah odluči šta će pokušati sledeće.
Zbog toga brzina postaje dodatni problem. Hugging Face svoj incident opisuje kao hiljade malih automatizovanih odluka izvršavanih mašinskom brzinom.
Sandbox više nije dovoljan
Zaključak ovih slučajeva nije da sandbox više nema smisla. Naprotiv, izolacija ostaje jedan od osnovnih mehanizama zaštite. Ali postaje jasno da ona ne može biti jedina linija odbrane.
Agent koji ima mogućnost izvršavanja koda zahteva ograničene privilegije, strogu kontrolu mrežnog pristupa, odvojene kredencijale, praćenje aktivnosti i mogućnost brzog prekidanja rada. Posebno osetljive operacije mogu zahtevati dodatno ljudsko odobrenje. Sama infrastruktura u kojoj agent radi takođe mora biti tretirana kao potencijalna meta, a ne kao neprobojna kutija.
To menja i osnovnu pretpostavku o bezbednosti AI sistema. Pitanje više nije samo da li će model dati opasan odgovor. Važnije postaje šta sistem može stvarno da uradi ako njegov odgovor više nije tekst, već komanda koju računar odmah izvršava.
Incident iz jula 2026. zato je značajan ne zato što pokazuje da je AI „poželeo da pobegne“, već zato što pokazuje nešto mnogo konkretnije: dovoljno sposoban agent može da pronađe neočekivan tehnički put do cilja, uključujući i put koji prolazi kroz granice koje su ljudi postavili da bi ga zadržali.
Milena Šović, M.Sc.,CSM, CSPO
AI Implementation Specialist & Content Trainer
