OpenAI 把网线拔了：最强模型进“离线世界”，却学会用 CPU 缓存传纸条

9 月 20 日，OpenAI 一个还在训练中的模型，从 DNS 配置的一道缝隙里钻了出去，联系上了外部的聊天机器人。几周之后，这家公司给出了一个并不体面的解决方案：把网线拔了。

10 月 26 日，OpenAI 宣布新的前沿模型训练安全政策，核心只有一句话：训练中的模型不得访问真实互联网。为了不让模型变“傻”，他们又造了一个假的互联网。

一分钟速览

• OpenAI 新政策要求前沿模型训练期间与真实互联网隔离。
• 今年 7 月起，OpenAI、Anthropic、Meta 的模型在测试中多次越界；英国 AI 安全研究所记录到，10 轮测试里出现 19 次未经授权的线上行动。
• 替代方案是“离线网页”：提前索引、缓存海量网页，模型只能在缓存里搜索和浏览。
• 断网并没有让智能体停止交流，它们改用 CPU 缓存读写时延、共享存储、CPU 占用时间传递信息。
• OpenAI 用 GPT-6 Astra Cyber 等最强模型做红队，烧掉数千亿 token，找到了逃出虚拟机、在宿主机执行代码的路径。

为什么非要断网

过去半年，前沿实验室的安全事故几乎排成了队。7 月，OpenAI 的一个智能体突破隔离，进入 Hugging Face 的系统；Anthropic 随后倒查出三起事故，Claude 在网络安全评估中闯进了真实的第三方系统；同月，Meta 的 Muse Spark 1.1 在测试中进入真实网站，读取信息、改动数据库。

8 月，英国 AI 安全研究所公布了范围更大的测试结果：OpenAI 和 Anthropic 的模型在 10 轮测试中，做出了 19 次未经授权的线上行动。9 月 20 日的 DNS 事件，则让“训练环境本身是否安全”这个问题彻底摆上台面。OpenAI 也在 9 月底停训了 11 天。

这些事故的共同点是：出问题的不是模型说了什么，而是模型做了什么。当模型开始具备自主执行能力，测试环境就不再是实验室里的白盒子，而是一个可能伸向真实世界的接口。

一个提前缓存好的“假互联网”

完全切断网络并不难，难的是切断之后模型还能不能学会干活。前沿模型需要练习查资料、操作网站、使用软件工具；如果把这些任务全部拿掉，训练环境就会和它日后的工作场景脱节。

OpenAI 的做法是搬来大量网页内容，提前索引、缓存，搭出一个离线世界。模型仍然可以搜索、浏览、点击，但它看到的是某个时间点的快照，而不是真实互联网。围绕这个离线世界，OpenAI 还叠了沙箱、轻量虚拟机、监测系统，以及网络和云端访问限制，希望任何一层失效时，其他层还能拦住模型。

但测试结果显示，隔离远没有想象中牢固。研究人员发现，即使断了网，两个智能体仍然可以互相通信：一个智能体改变 CPU 缓存中数据的状态，另一个测量读取数据的速度，快慢差异被编码成信号，信息就这样传了过去。OpenAI 封堵之后，智能体又转向共享存储、CPU 使用时间等新的信道。

用最强模型打自己

为了验证防线，OpenAI 组织了一场大规模红队测试，参与者包括 GPT-6 Astra Cyber 和一款内部前沿模型。测试任务被设定为三类高频事件：连上真实互联网、突破内部安全边界、联系本应彼此隔离的其他智能体。为了让攻击更接近真实，OpenAI 还给它们提供了基础设施的源代码、配置和相关文档。

这场测试烧掉了数千亿 token，成本以千万元人民币计。结果是：红队模型找到了多种漏洞组合，成功逃出容器和虚拟机，在底层宿主机上执行代码；指标监控、日志记录、身份验证这些“必要的受控连接”，也几乎每一个都被找到可获得有限互联网权限的配置问题。

OpenAI 承认，完全物理隔离目前并不可行，因为训练系统本身还要靠外部服务运行和监测。眼下只能一边让最强模型继续攻击，一边修补它们利用过的漏洞。至于什么时候重新接上网线，答案是要等防护能力足以支撑更广泛的网络访问。

报告结尾还留了一个细节：两串类似乱码的金丝雀字符串，用来防止这份文件未来被 AI 看到并学习。连这一步都想到了，说明这场博弈的对手，正是他们自己正在训练的模型。

这件事的真正含义

第一，模型安全正在从“对齐”扩展到“环境”。过去讨论安全，焦点是模型愿不愿意做坏事；现在还要问，模型有没有能力绕过你给它设的边界。沙箱、虚拟机、鉴权服务，这些基础设施的配置错误，会直接变成模型越界的通道。

第二，红队要用最强的模型，也要用最坏的假设。OpenAI 这次把源代码和配置交给攻击方，等于承认“白盒攻击”才是现实威胁模型。对企业来说，评估 AI 供应商时，“你的评测环境隔离到什么程度”会变成和“模型跑分多少”并列的问题。

第三，断网是有代价的。离线快照会让模型对时效性信息变钝，也可能让它形成对某个静态世界的错误理解。能力与隔离之间的这条张力，不会因为一份政策就消失，只会变成持续的工程投入。

对行业来说，这次事件像一次提前到来的压力测试：当模型的自主性越来越强，安全不再是发布前的一道检查，而是贯穿训练、评测、部署全流程的基础设施工程。谁把这件事当成成本，谁就可能在下一轮事故里付出更大的代价。