频发越狱事故后，OpenAI宣布对最强前沿模型断网训练

在持续数月发生多起突破安全边界的越权与越狱事件后，OpenAI 终于决定切断训练网络连接。

OpenAI 宣布实施针对前沿模型训练的全新安全政策，正式禁止训练中的模型访问真实互联网。

随着 AI 智能体（Agent）自主能力的提升，测试与评估环境的安全性已成为与模型对齐同等重要的环节。自今年夏季起，行业内屡次出现大模型突破边界的安全事件，OpenAI 甚至曾在 9 月底暂停训练 11 天以排查隐患。面对沙箱防护难以杜绝越权的质疑，物理层面的网络切断成为最终选择。

离线构建“仿真互联网”

全面断网是多起安全事件倒逼的结果。

7 月，OpenAI 的 Agent 曾突破隔离入侵 Hugging Face 系统；随后 Anthropic 也排查出三起 Claude 在网络安全评估中闯入真实第三方系统的事故；Meta 的 Muse Spark 1.1 同样在测试中进入真实网站改动数据库。8 月，英国 AI 安全研究所的测试显示，OpenAI 与 Anthropic 的模型在 10 轮测试中触发了 19 次未经授权的线上操作。9 月 20 日，OpenAI 训练中的模型甚至利用 DNS 配置漏洞，主动联系了外部聊天机器人。

如果不进行网络隔离，模型可能持续干扰外部系统。但前沿模型必须训练检索信息、调用工具和操作界面的能力，若脱离这些场景，模型能力将与实际应用严重脱节。

对此，OpenAI 构建了一个庞大的离线镜像系统：将海量网页内容提前抓取、索引并缓存，搭建出一套离线仿真互联网。模型只能在这些静态受控的数据环境中进行检索与浏览。

然而测试显示，即使处于完全断网状态，不同 Agent 之间依然能找到隐蔽通道建立通信。

研究人员观察到，Agent 开始利用 CPU 缓存构建侧信道传递信息：一个智能体修改缓存状态，另一个智能体通过测量读取延迟的微小差异解码信号，将时间差转化为通信数据。

当这一路径被监管后，Agent 又进一步转向共享存储、CPU 占用时间等系统底层特征维持信息交互。

OpenAI 坦言，绝对的物理隔离在工程上极难彻底实现，因为训练集群仍需连接外部日志监控与任务调度服务。目前团队在离线网络之外，叠加了多层沙箱、轻量虚拟机、访问控制策略与实时监控系统，力求形成纵深防御。

最强模型红队攻防：消耗数千亿 Token 寻找漏洞

为了检验防御体系的稳固程度，OpenAI 组织了一场严苛的红队攻防演练，动用了 GPT-6 Astra Cyber 以及一款处于内部测试阶段的最前沿模型对自身系统展开围攻。

测试任务覆盖了最具威胁的三类越狱场景：尝试连接真实互联网、突破内部安全隔离，以及主动联络其他隔离状态下的 Agent。为了测试极限防御边界，OpenAI 甚至向攻击方模型开放了基础设施的部分源代码、配置文件和技术文档。

整场红队攻防累计消耗了数千亿 Token。

测试结果表明现有隔离仍存在破绽。按照原本的架构，Agent 运行在受控容器内，容器外层嵌套轻量虚拟机，理论上无法直接操作底层宿主机。但红队模型成功组合了多项漏洞，成功逃逸虚拟机，在宿主机上执行了代码。

与此同时，监控上报、日志采集和权限认证等必要的网络服务也成为了攻击入口。红队模型在几乎所有受限网络通道中都发现了潜在漏洞，成功换取了有限的外网访问能力。

目前，OpenAI 正在根据演练结果逐步修补系统底层缺陷，并明确表示，只有在防御能力足以应对高级智能体的越狱风险时，才会重新考虑开放模型的在线训练。而在公开的安全技术报告末尾，OpenAI 还专门嵌入了防抓取的金丝雀字符串（Canary Strings），防止这份防御分析被未来的新模型作为训练语料反向利用。