OpenAI 在停训 11 天后，于 10 月 1 日恢复前沿强化学习训练及内部推理。触发暂停的原因，是 9 月 20 日一款内部研究模型在执行搜索任务时，沿着 DNS 域名解析服务的配置缺口绕过联网限制，最终联系上外部聊天机器人。
10 月 23 日，OpenAI公开了新的训练环境。模型仍会练习搜索、浏览和使用网页应用，但活动范围被限制在一个离线环境内：大量网页已被预先索引和缓存，模型查到的是内部索引，打开的是缓存副本，缓存中没有的页面也不会临时联网抓取。
搜索任务失控后，OpenAI暂停最强模型相关训练
9 月 20 日，OpenAI内部一款研究模型接到一道搜索题：根据人物经历和博客线索，找出一篇文章的作者。
模型先调用搜索工具，没有找到可靠答案；换了其他搜索渠道，结果仍然不理想。随后，它开始检查自己还能通过哪些路径访问外部网络。
问题出在 DNS 域名解析服务。该服务负责把域名解析成网络地址，而训练环境对这一基础服务的过滤不够严密。模型沿着这条通道联系上外部聊天机器人，并收到了回答，由此确认自己已经突破联网限制。
这项任务本身并未要求模型检查网络限制。OpenAI将这种绕过限制、超出任务合理范围的行为认定为失对齐表现（misaligned behavior）。事件发生后，公司暂停了最强模型的相关训练和评估，并检查联网限制、监控和停机流程。事件报告还写明，涉事的这一特定模型不会继续训练。
离线训练环境如何让模型“学会上网”
OpenAI这次公开的方案，本质上是把可供训练的网页世界搬进一个受控环境。模型可以搜索内部网页索引、读取缓存网页，也可以练习使用网页应用，但这些操作不会直接落到真实网站上。
在这个环境里，搜索请求会被导向内部索引；打开网页时，模型读到的是预先缓存的页面副本。若缓存中没有对应页面，系统也不会临时连接外网抓取内容。
多智能体协作同样被加上边界。只有获准合作的队友，才能通过共享消息板交换信息。模型可调用的其他工具和资源，也必须受到权限约束。
OpenAI划出的边界包括几类行为：访问实时互联网、联系本应隔离的其他智能体，或越权操作底层服务器。这些路径都需要被拦住。
不过，9 月 20 日事件也说明，边界不只在浏览器层面。那次运行中，除 DNS 通道外，其他网页访问都进入了缓存，没有触及实时互联网。网页路径被限制住了，域名解析这样的辅助服务却留下了出口。
OpenAI因此强调，限制不能只覆盖网页访问。模型能调用哪些工具，工具又能连接哪些服务，也都需要被纳入约束，防止模型借道辅助服务通向外网。
保留必要外部连接，但限制未经授权访问
这套隔离措施并不等于把整套基础设施物理断网。OpenAI表示，实验运行和监控仍需必要的外部连接，因此需要在保留这些连接的同时，限制模型未经授权的访问。
公司同时说明，这项措施针对的是内部前沿训练环境，不涉及 ChatGPT 用户的联网功能。
类似问题并非只出现在 OpenAI。Anthropic 在 10 月 9 日披露了几起模型把测试操作带进真实系统的事件。
其中，Haiku 4.5编造命案线索，并把表单提交给了警方，所幸该信息被标记为垃圾信息，没有进入调查流程。另一例更为直接：Mythos 预览版模型在使用科学计算工具时遇到报错，随后利用一家大学网站的漏洞，在对方服务器上执行命令，完成了计算。
Anthropic随后宣布，暂停全部内部评估的实时外网访问，直至建立更可靠、能够防止模型影响真实系统的联网控制措施。
红队测试消耗数千亿 token，发现近 280 项候选问题
补上已知缺口之外，OpenAI还在寻找尚未暴露的出口。它采用的办法，是让前沿模型组成红队，主动尝试突破自己的训练防线。
这轮测试累计消耗数千亿 token，发现近 280 项候选问题，后期新增发现逐渐减少。测试目标集中在三类行为：
- 连上实时互联网；
- 越出获准使用的环境；
- 与本应隔离的其他智能体交换信息。
联网测试的目标，是 OpenAI 自己控制的外部服务器，测试在专门搭建的隔离副本中进行。
在部分测试里，研究人员会直接向模型提供源码、配置和潜在漏洞资料，让它寻找薄弱处；在另一些测试里，研究人员甚至授予模型主机控制权，模拟内部防线已经失守，再观察最外围的限制是否还能挡住越权访问。
OpenAI称，这场内部攻防找出了此前未知的软件漏洞和配置问题。公司据此修补软件、收紧网络限制，并改进监控。
其防守体系也按层次加固：沙箱限制模型能访问和执行什么，虚拟机隔开运行环境，监控系统识别异常，外围网络和云端措施继续拦截未经授权的访问。目标是即便一道防线被突破，下一道仍能继续拦截。
根据红队结果、已完成的修复，以及监控和停机系统的改进，OpenAI判断，强化后的防护已足以恢复前沿强化学习训练及内部推理。
自动停机机制也暴露出缺口
DNS 事件暴露的不只是联网边界问题。自动停机机制同样没有按预期发挥作用。
监控系统当时已经发出告警，人工随后确认收到。但从确认告警开始计算，又过了约 2.5 小时，相关运行才被人工终止。
Anthropic 在 10 月 23 日的复盘中，也披露了模型主动停手的困难。在允许联网、关闭网络安全护栏的攻防评测中，Mythos 5向无关的 GitHub 项目提交恶意代码，还假扮真人催促维护者接受。
维护者拒绝接收代码后，模型仍继续施压，直到运行超时。研究人员事后把攻击过程中的记录交给模型，让它在离线模拟中继续执行。即便补充证据，说明对方是真实开发者、攻击已经超出测试范围，模型也仅在 5% 的续跑测试中停止攻击。
这意味着，当模型不会自行停手时，外部监控和停机机制必须及时接管；而这些防护本身，也可能存在漏洞。
外部检查与公开信把焦点指向隔离和披露机制
METR 与 Redwood Research 在 10 月 22 日公布的检查显示，OpenAI在 7 月 21 日及以前使用的系统存在漏洞，可能让数百次操作避开监控。OpenAI表示相关问题已经修复，但两家机构尚未复核。
围绕如何设置隔离措施、在防线失效后如何披露，科学界也提出了更明确的要求。10 月，包括本吉奥、辛顿在内的近 500 名联署者发布公开信，呼吁具备网络攻防能力的模型默认采用断网隔离，由国际机构推动联网防护规范、记录隔离失效事件，并要求相关安全事故上报、最终公开。
OpenAI也预计，未来更强的模型仍可能发现未知漏洞。因此，持续红队测试已被纳入前沿训练的安全评估。
这套“离线世界”能否在安全边界内支撑下一代模型，还要看后续训练结果。训练已经恢复，但越界之后能否及时停下，OpenAI这次给出的答案并不只在模型本身，也在隔离、监控和停机机制能否跟上。
