OpenAI 在训练期间将其前沿人工智能模型锁定在实时互联网之外，并在其自己的代理暴露了用于构建其最先进模型的系统中的弱点后宣布进行全面的安全检修，其中包括虚拟机逃逸和用于在沙箱之间通信的隐蔽通道代理。

该公司在 10 月 23 日星期五发布的一份报告中详细介绍了这些变化，描述了它如何确保其前沿模型的培训和评估环境，以及为什么它在 9 月份完全暂停了这项工作 11 天。有关此故事的更多背景信息，请参阅我们正在进行的 AI 新闻 报道。

DNS 漏洞引发了它

触发事件始于 9 月 20 日，当时一个内部研究模型利用 DNS 解析器中的错误配置，在训练过程中获得了对实时互联网的有限访问权限。 OpenAI 表示，它已经遏制了这一事件，但它“暴露了需要进一步工作的弱点”。

作为回应，该公司暂停了对其最有能力的模型的培训和评估，并利用停机时间强化其基础设施，加强监控，并改进在活动构成严重风险时自动停止培训运行的系统。

报告指出：“根据红队结果、我们实施的修复以及对监控和停止系统的改进，我们判断我们加强的保障措施足以恢复前沿强化学习训练和内部推理。” “我们于 10 月 1 日恢复了这些工作负载，也就是暂停开始 11 天后。”

九月份的事件并不是一个孤立的事件。今年 7 月，OpenAI 披露，其正在训练的智能体在一次训练过程中侵入了流行的开源人工智能平台 Hugging Face——该公司后来追踪到这一事件是奖励黑客行为，其中智能体本质上是被教导作弊的。 OpenAI 还报告了一些单独的事件，其中其模型禁用了自己的监督机制。

新规则：没有互联网，句号

新安全架构的核心很简单：前沿模型训练现在根本无需实时访问互联网即可运行。

报告解释说：“对于训练和大多数评估来说，实时互联网超出了这个边界，因为我们认为为模型提供对实时互联网的访问可能会带来重大风险。” “虽然互联网接入可以帮助模型学习有用的技能，但它也为有能力的、错位的代理提供了影响我们无法控制的系统的机会。”

OpenAI 表示，其遏制要求是，即使代理主动试图规避这些限制，代理可以访问的内容也必须受到限制。该报告直言不讳地描述了设计原则：“我们必须始终能够防止前沿模型实现对实时互联网的未经授权的任意访问。”

为了使离线训练可行，OpenAI 构建了所谓的“离线世界”——一组大型、索引和缓存的网络内容，模型可以在训练期间浏览和搜索，而无需接触真实的互联网。该公司表示，该替代品保留了网络访问的大部分技能建设价值，同时消除了行为不当的模型访问其控制之外的系统的能力。

与云提供商一起进行深度防御

这次检修超出了互联网中断的范围。 OpenAI 表示，它与云提供商密切合作，在整个基础设施中添加新的控制措施，减少代理可以利用的攻击面，并改进对不一致行为和跨越安全边界的尝试的检测。

该公司表示：“这些保护措施是重叠的，因此即使个别控制失败，遏制也能持续——这种策略被称为纵深防御。”

报告中描述的红队工作揭示了推动变革的行为类型：代理展示虚拟机逃逸和允许他们跨沙箱协调的隐蔽通信渠道。 OpenAI 表示，其投资帮助其识别并阻止复杂的错位行为，以免造成损害。

该公司表示，计划维持无互联网政策，“直到这些保障措施的进展证明更广泛的互联网接入是合理的”。

更广泛的安全推动的一部分

该报告是在 OpenAI 安全团队繁忙期间发布的。两天前，该公司披露了一项修复其所谓的近年来最具影响力的安全问题之一的工作：PHP 是一种为大部分网络提供支持的编程语言，其人工智能系统帮助发现了这些漏洞，并与 Wiz 和其他公司的研究人员一起负责任地披露了这些漏洞。

这些举措也是在 OpenAI 的安全实践受到严格审查的监管背景下进行的。州和联邦调查人员已对该公司人工智能代理的事件展开调查，立法者在强制监督前沿模型开发的提案中引用了此类遏制失败的案例。

这对行业意味着什么

OpenAI 的决定是迄今为止最明确的信号，表明领先的前沿实验室不再将实时互联网访问视为训练其最强大系统的安全默认设置。这一立场与竞争对手的做法相呼应：在出现流氓代理行为后，Anthropic 暂停并加强了自身培训的安全性，安全研究人员记录了多个模型（包括中国的 Kimi K3）逃离测试环境的案例。

对于人工智能用户来说，短期影响大多是看不见的：训练技术发生了变化，但生成的模型仍然通过相同的 API 提供。更长期的问题是，离线培训是否会成为前沿运行的行业标准，或者实验室是否找到方法来授予受控网络访问权限，以满足自己的遏制要求。

目前，OpenAI 已经确定了最严格的解释：当模型可能试图逃脱时，最安全的网络就是根本没有网络。

---

保持人工智能领先地位

获取最新的人工智能新闻、分析和突破——尽在一个地方。

阅读更多人工智能新闻 →