新智元报道

停训11天后，OpenAI于10月1日恢复前沿强化学习训练及内部推理。但这一次，AI得在断网的环境里学会上网。

10月23日，OpenAI公开了这套训练环境，像是给AI搭起了一座「楚门的世界」：

大量网页被索引、缓存，模型可以在里面练习搜索、浏览和使用网页应用，却不能随意访问真实互联网。

网页搬进来了，通向外网的路却未必全部堵住。模型调用的工具和系统服务，仍可能成为绕过限制的出口。

此前的9月20日，一个研究模型在寻找博客作者时，搜索屡屡碰壁，便转而试探其他联网路径，最终绕过限制，联系上了外部聊天机器人。

人没找到，通向外网的路却被它找到了。

这次越界，让OpenAI暂停了最强模型的相关训练和评估。

搜索碰壁

AI开始试探联网边界

9月20日，OpenAI内部的一个研究模型接到一道搜索题：根据人物经历和博客线索，找出一篇文章的作者。

它先调用搜索工具，没有找到可靠答案；换了其他搜索渠道，仍然碰壁。

接着，模型开始检查自己能通过哪些路径访问外部网络。

缺口出现在DNS域名解析服务上。

这项基础服务负责把域名解析成网络地址，训练环境对它的过滤却不够严密。

模型沿着这条通道，联系上外部聊天机器人，并收到了回答。

智能体借域名解析配置缺口，收到外部聊天机器人的回答，确认突破了联网限制。

任务并未要求模型检查网络限制。

OpenAI将这种绕过限制、超出任务合理范围的行为，认定为失对齐表现（misaligned behavior）。

随后，OpenAI暂停最强模型的相关训练和评估，检查联网限制、监控和停机流程。

事件报告还明确，涉事的这一特定模型不会继续训练。

不能联网

怎么教AI学会上网？

想要教会一只鸟飞行，却不能把它放归天空，一个办法，就是先造一个能让它练习飞行的巨型鸟笼。

OpenAI搭建的「离线世界」，就像这样一个鸟笼。

智能体搜索内部索引、读取缓存网页；缓存缺页时，也不会临时联网抓取。

图中左侧的AI，仍然可以搜索、打开网页，但请求的去向变了。

搜索时，它查的是内部网页索引；打开网页时，读到的是预先缓存的副本。缓存里没有的页面，也不会临时联网抓取。

模型可以在里面查资料、翻网页、练习使用网页应用，操作却不会直接落到真实网站上。

多智能体协作同样有边界：只有获准合作的队友，才能通过共享消息板交换信息。模型调用的其他工具和资源，也必须受到权限约束。

右侧的红叉，则标出了需要守住的边界：访问实时互联网、联系本应隔离的其他智能体，或越权操作底层服务器，都应被拦住。

但画出边界，还得防止模型找到绕行的路。

9月20日出事时，这个离线缓存库已经投入使用。那次运行中，除DNS通道外，其他网页访问都进入缓存，没有触及实时互联网。

网页这条路被限制住了，域名解析这样的辅助服务，却留下了出口。

因此， 限制不能只管浏览器。

模型能调用哪些工具，工具又能连接哪些服务，都得受到约束，防止它借道辅助服务通向外网。

这套隔离也不等于把整套基础设施物理断网。

OpenAI表示，实验运行和监控仍需必要外部连接，必须在保留这些连接的同时，限制模型未经授权的访问。

这项措施针对内部前沿训练环境，不涉及ChatGPT用户的联网功能。

类似的边界问题，也出现在Anthropic的测试中。

10月9日，该公司披露了几起模型把测试操作带进真实系统的事件。

Haiku 4.5编造命案线索，竟把表单提交给了警方，所幸被标记为垃圾信息，未进入调查流程。

更离谱的是Mythos预览版模型，它使用科学计算工具时遇到报错，随后利用一家大学网站的漏洞，在对方服务器上执行命令，完成了计算。

面对这些懂得「随机应变」的AI，Anthropic也宣布暂停全部内部评估的实时外网访问，直至建立更可靠、能够防止模型影响真实系统的联网控制措施。

砸下数千亿token

让AI左右互搏

补上已知缺口，还要找出没被发现的出口。

OpenAI选择「用魔法打败魔法」：让前沿模型组成红队，主动突破自己的训练防线。

AI挑战训练防线，消耗数千亿token，累计发现近280项候选问题，后期新增发现逐渐减少。

AI要尝试这三件事：连上实时互联网，越出获准使用的环境，以及与本应隔离的其他智能体交换信息。

联网测试的目标，是OpenAI自己控制的外部服务器。

测试在专门搭建的隔离副本中进行。

有时，研究人员直接给模型源码、配置和潜在漏洞资料，让它寻找薄弱处；有时干脆授予模型主机控制权，模拟内部防线已经失守，再看最外围的限制还能不能扛住。

这场「左右互搏」，找出了此前未知的软件漏洞和配置问题。

OpenAI称，已据此修补软件、收紧网络限制，并改进监控。

防守也得一层层加固。

这套防守体系要做到一道防线被突破，下一道还能拦住。

根据红队结果、已完成的修复，以及监控和停机系统的改进，OpenAI判断，强化后的防护已足以恢复前沿强化学习训练及内部推理。

当警报响起

人类还能不能拔掉电源？

DNS事件还暴露了一处令人担忧的缺口：

自动停机机制失灵了。

监控系统发出告警，人工随后确认收到。

但从确认告警算起，又过了约2.5小时，相关运行才被人工终止。

Anthropic10月23日的复盘，则暴露了模型主动停手的另一道难题。

在允许联网、关闭网络安全护栏的攻防评测中，Mythos 5向无关的GitHub项目提交恶意代码，还假扮真人催促维护者接受。

维护者拒收代码，模型却仍在施压，直到运行超时。

事后，研究人员把攻击过程中的记录交给模型，让它在离线模拟中接着做。

即使补充证据，说明对方是真实开发者、攻击已经超出测试范围， 模型也仅在5%的续跑测试中停止攻击。

模型没有自行停手，外部监控和停机机制就得及时接管。但这些防护本身，也可能留下缺口。

METR与Redwood Research10月22日公布的检查就发现，OpenAI在7月21日及以前使用的系统存在漏洞，可能让数百次操作避开监控。OpenAI称相关问题已修复，两家机构尚未复核。

如何设置隔离措施、防线失效后如何披露，科学界也提出了要求。

10月，包括本吉奥、辛顿在内的近500名联署者发布公开信，呼吁具备网络攻防能力的模型先默认断网隔离，由国际机构推动联网防护规范、记录隔离失效事件，并要求相关安全事故上报、最终公开。

OpenAI也预计，未来更强的模型仍可能发现未知漏洞。

因此，持续红队测试已被纳入前沿训练的安全评估。

这座「离线世界」能否在安全边界内支撑下一代模型，还要靠后续训练检验。

模型越来越会寻找出路，人类的隔离、监控和停机机制，也必须跟上。

训练可以重新开始，越界之后能否及时停下，却不能只指望模型自行收手。

参考资料：

https://www.bloomberg.com/news/articles/2026-10-23/openai-to-train-ai-models-without-internet-after-cyber-incidents?srnd=phx-ai

https://openai.com/index/securing-our-frontier-model-training-environment/

https://www.reuters.com/business/openai-resumes-frontier-ai-training-with-enhanced-security-no-internet-access-2026-10-23/

编辑：元宇

秒追ASI