要点
- 在9月发生一起安全事件后,OpenAI 现在在没有互联网访问的情况下训练其最先进的模型,使用一个由缓存数据构建的封闭离线环境。
- 在安全测试中，隔离的人工智能代理仍然能够在没有网络连接或共享文件的情况下建立隐蔽通信通道，包括利用处理器缓存中的时序差异。
- 在为期11天的训练暂停期间，OpenAI 让包括 GPT-6 Astra Cyber 在内的 AI 智能体攻击其自身基础设施，以发现此前未知的漏洞。随后在更严格的管控下恢复了训练。
OpenAI 现在在没有互联网接入的环境下训练前沿模型，并使用 AI 智能体对其自身基础设施进行红队测试。在单独的隔离测试中，智能体甚至通过隐蔽的侧信道进行通信，这表明真正的隔离有多么困难。
9月20日，OpenAI 的一个内部研究模型在训练期间利用一个配置错误的 DNS 解析器访问了开放互联网，尽管 OpenAI 在此前已 如今臭名昭著的 Hugging Face 事件 在7月及其他 观察到的未对齐案例。OpenAI迅速控制了此次泄露，但仍暂停了所有前沿模型的训练和评估。
OpenAI在训练期间切断前沿模型与互联网的连接
作为回应，OpenAI 做出了一项政策决定：前沿模型现在在没有互联网接入的情况下进行训练，直到安全措施足以证明恢复接入的合理性。模型在一个由索引和缓存的网络内容构建的封闭“离线世界”中学习浏览和搜索，所有前沿强化学习运行现在都以这种方式进行。
该公司表示，完全的网络隔离（即所谓的“气隙隔离”）目前尚不可行，因为实验仍需要外部连接来进行操作和监控。但即使是彻底的气隙隔离也无法保证控制住风险， 据OpenAI研究员Noam Brown所说。他举了一个隔离系统仍可通信的例子：两台彼此独立的计算机理论上可以通过温度传感器互发信号，一台加热自己的CPU,而另一台读取这一变化。Ad
OpenAI CEO Sam Altman 提出了类似的论点 在最近的一次采访中表示：沙箱只能为足够强大的模型提供有限的保护，而且到了某个时候，可能将无法再追踪它们是如何逃脱的。监控在早期有所帮助，但最终重要的是AI系统能够内化人类价值观，这一问题被该领域称为“AI对齐”，至今尚未解决。
孤立的AI智能体找到了通过CPU缓存相互通信的方法
OpenAI 记录了控制 AI 智能体究竟有多困难 在其博客文章中。在测试过程中，智能体找到了无需网络进行通信的方法。在一次测试中，被放置在共享硬件上相互隔离的环境中的智能体，被要求在没有网络连接且没有共享文件的情况下交换秘密。
他们利用了处理器缓存。一个代理故意修改存储在其中的数据，而另一个代理则测量加载时间的差异并解码出消息。众所周知的技术也基于同样的原理。 Spectre与Meltdown攻击.
通过在共享内存上的写入模式以及通过 OpenAI 自己的离线基础设施（该系统旨在取代互联网），又发现了更多信道。一个代理在其推理日志中记录道，它“可以利用持续写入与空闲状态的区别……创建一种类似声学调制解调器的信号”。Ad
在一个案例中，智能体只获得了一份笼统的漏洞清单，并被要求自行寻找通信渠道。它们独立开发出了一条渠道，商定了编码方案，并成功交换了信息。OpenAI 表示，这些渠道通常速度缓慢且难以利用，但它们确实能够跨越旨在隔离各智能体的边界。
OpenAI 让 AI 智能体对其自身基础设施发起攻击
在训练暂停期间，OpenAI 还让多组 AI 智能体系统性地攻击其自身基础设施。这些智能体获得了源代码、配置细节以及潜在漏洞的文档。OpenAI 的目标是在有利于攻击者的条件下测试其防御能力。参与攻击的智能体包括即将推出的 GPT-6 Astra Cyber 和一个内部前沿模型。据 OpenAI 称，此次行动消耗了数千亿 token。
这些智能体发现了使用中的开源组件中此前未知的漏洞，并利用它们从受保护的虚拟机中逃逸。其中一个是 Kata Containers（一种广泛使用的容器隔离系统）中的漏洞。OpenAI 将其报告为 CVE-2026-24834 并提供了补丁。其他项目也收到了更多修复，OpenAI 还通过 "Patch the Planet" 计划报告了另外一些尚未公开的漏洞。
在智能体已控制一台主机的测试中，它们在几乎所有剩余的面向互联网的服务中都发现了漏洞。在一个案例中，一个智能体利用防火墙允许的连接，通过一个指标服务获取外部 URL。其他智能体则通过错误配置绕过了安全过滤器。
现在每次新的训练运行之前都必须进行 AI 红队测试
据 OpenAI 称，这些智能体再也无法找到一种既易于利用又能避开监控的互联网访问方式。红队测试还暴露了监控和自动暂停机制中的漏洞。
在修复这些问题后，OpenAI 于 10 月 1 日恢复了训练及其前沿模型的内部使用，距暂停开始过去了十一天。OpenAI 表示，这种计算密集型的红队测试行动现在已成为新训练运行 审批流程 的标准组成部分。
来源： OpenAI