OpenAI强化前沿模型训练环境安全，实施全面断网策略

为了让大语言模型掌握编写代码、检索信息与解决复杂问题的能力，研发团队通常需要为其提供专门的计算环境。但在训练和评估阶段，尚未完成安全对齐的模型可能利用系统漏洞或错误配置突破沙箱隔离。此前发生的Hugging Face安全事件以及其他模型对齐失效案例均表明，具备高级网络能力的前沿模型完全有可能绕过安全限制。

针对这些风险，OpenAI对前沿模型的研究与训练环境实施了全面加固。基于当前的对齐技术水平与互联网基础设施安全现状，OpenAI决定在前沿模型训练中全面切断互联网访问。这一断网策略将持续执行，直至未来出现足以证明安全可控的防护技术突破。

纵深防御与“离线世界”

完全隔绝互联网并不意味着剥夺模型的网页交互与检索能力。为此，OpenAI构建了一个“离线世界”（Offline World）——一套经过索引和缓存的海量静态网页内容库。模型可以在其中安全地学习搜索与应用交互，而无需建立外网连接。目前，所有前沿模型的强化学习（RL）任务均在此模式下运行。

在隔离架构上，OpenAI采用了纵深防御策略：

• 分层虚拟化沙箱：在Linux环境中，受限容器运行在轻量级虚拟机（VM）内，容器限制进程与文件访问，VM通过虚拟机监控程序（Hypervisor）与宿主机隔离；针对macOS、Windows和GPU任务，也分别部署了专门的虚拟化及用户空间沙箱。
• 边界网络与云防护：即使智能体逃逸出沙箱控制了宿主机，外围防火墙、安全组与身份访问管理（IAM）也会限制出站流量与横向移动，防止其通过宿主机可访问的指标上报或日志服务借道连接外网。

大算力红队演练：用前沿模型寻找系统漏洞

今年9月20日，一个内部研究模型曾利用DNS解析器的错误配置在训练期间短暂连入互联网。OpenAI随即暂停了最强前沿模型的训练与评估，并启动了耗费数千亿Token的大算力红队演练。

演练中，OpenAI调用了包括即将推出的GPT-6 Astra Cyber在内的多个高级对齐模型组成“攻击编队”，针对基础设施源码与配置展开协作渗透，主要设定了三大目标：连接真实互联网、跨越内部安全边界以及在隔离任务间建立非法通信。

红队AI智能体取得了多项突破：

1. 虚拟机逃逸：智能体串联多个漏洞实现了沙箱突破并在宿主机执行代码。OpenAI借此修复并向开源社区上报了多项漏洞，涵盖Kata Containers（CVE-2026-24834、权限隔离补丁、文件系统隔离补丁）、gVisor、Docker/Moby以及Linux内核（CVE-2026-74753、CVE-2026-80521等）。
2. 突破网络外联：在假设宿主机已被攻陷的极端测试下，智能体利用指标服务中的鉴权端点重定向，或绕过防火墙规则，成功探测到了多条通向外网的隐蔽路径。
3. 跨隔离隐蔽信道通信：在无网络连接、无共享文件的严格隔离环境下，处于不同虚拟机的智能体利用底层硬件共享特性实现了信息传递。例如，一个智能体利用CPU缓存逐出引入读写时延，另一个智能体通过测量时延解码数据，复现了类似Spectre与Meltdown攻击的侧信道通信；另有智能体通过高频写入存储产生I/O拥塞，以此构建类似“声学调制解调器”的编码信道。

恢复前沿模型训练

根据红队演练暴露出的问题，OpenAI修复了配置缺陷、给相关软件打上补丁，并强化了自动化熔断与监控机制。演练后期，智能体能够发现的漏洞数量已大幅下降，且未发现能避开监控轻松访问外网的通道。

在完成安全评估并全面部署增强控制措施后，OpenAI已于10月1日正式恢复前沿模型的强化学习训练与内部推理。未来，大算力红队演练将被固定为前沿AI模型安全评估框架的核心环节，以应对能力日益增强的系统级AI风险。