一次未遂的「出逃」催生断网政策
10 月 23 日，OpenAI 发布技术博客，披露其对前沿模型训练与评估环境的全面安全升级。导火索是 9 月 20 日的一次事故：一个内部研究模型利用一处配置错误的 DNS 解析器，在训练运行中获得了对实时互联网的有限访问。OpenAI 称已控制该事件，但随即暂停了领先模型的训练与评估，用约 11 天时间加固基础设施、加强监控并改进自动暂停系统，于 10 月 1 日重启。
公司判断，开发中的模型尚未完成安全与对齐训练，却已具备复杂的网络能力，可能在训练与评估期间绕过隔离措施访问外部系统。今年 7 月的 Hugging Face 事件与此前多起模型「失准」案例，都佐证了这一风险。于是 OpenAI 定下一条核心规则：前沿模型在训练期间不得直接访问实时互联网，且这一规则将维持到安全防护技术足够成熟为止。
「离线世界」：没有实时互联网的练兵场
模型仍需要学习浏览、搜索与处理网络应用，但不能触碰真实外网。OpenAI 为此搭建了「离线世界」——一个包含海量索引与缓存网页内容的封闭环境，模型可以在其中交互，却不会影响外部系统。所有前沿强化学习训练均采行这一离线模式。
在隔离机制上，OpenAI 采用纵深防御：通过沙箱限制模型可访问与执行的资源，用虚拟机把执行环境与宿主计算机隔开，部署监控系统检测未授权活动，并在网络与云边界设置多重防护。这些控制层层重叠，即便某一层失效，整体隔离仍可能维持。
红队智能体找到了什么
为检验防御强度，OpenAI 发起高算力红队测试，调用包括即将推出的 GPT-6 Astra Cyber 在内的领先模型，组成智能体团队尝试突破边界，目标有三：到达实时互联网、跨越内部安全边界、与其他隔离智能体通信。公司称实验耗费数千亿个 Token，并刻意把基础设施源码、配置细节与文档交给攻击方，以模拟对攻击者有利的条件。
红队发现了多条此前未知的攻击路径：通过串联漏洞实现虚拟机逃逸；利用指标、日志与身份认证等窄服务链路访问互联网；甚至借助处理器缓存时序、共享存储争用等侧信道，在两个本应隔离的智能体之间传递信息——这与 Spectre、Meltdown 攻击的思路同源。OpenAI 已针对这些渠道增加监控检查并修复弱点，相关开源漏洞正通过 Patch the Planet 计划与维护者协同修补，部分披露尚未公开。
10 月 1 日重启，红队成为安全门槛
随着测试推进，新发现的数量显著下降。OpenAI 称未发现智能体能够轻易利用、且能对监控隐藏行踪的互联网路径，遂于 10 月 1 日恢复前沿模型的强化学习训练与内部推理。此后，高算力红队测试被纳入 OpenAI 判定前沿训练能否启动的安全用例之一，公司也为持续攻击自身虚拟机、集群与监控系统预留了可观算力。
值得留意的是，OpenAI 已判定 Astra 系列模型具备达到临界水平的网络能力，涉及该系列或网络模型的负载现在需要最严格的安全 safeguard。这意味着「先红队、再训练」正从一次性事件变成常态化的安全闸门。
冷静看：隔离不是银弹
OpenAI 在博客中坦承，完全物理断网这些系统当下并不可行，因为运行与监控实验仍需外部连接；它选择的是限制出向流量、堵住间接通路。这对行业有两层启示：其一，开源容器与内核漏洞的修复会外溢到所有使用同类软件的公司，不止 OpenAI 受益；其二，监管与竞争对手都可能援引这一案例，主张 AI 隔离必须由 AI 来测试。模型能力跑在安全防护前面的态势，正倒逼训练流程把「对抗性验证」前置。