OpenAI详述9月模型事件后的训练隔离措施全面升级

2026年10月23日，OpenAI详细介绍了其如何强化用于训练和评估前沿模型的环境，并披露了一项长期政策：训练前沿模型时不接入互联网；在2026年9月20日发生隔离事件后，暂停能力最强模型的训练工作负载11天；还开展了一场大规模红队测试行动，动用大批前沿模型智能体攻击自身基础设施。

禁止联网政策与9月20日事件

OpenAI表示，根据当前对齐研究、监控系统和互联网基础设施安全状况，负责任的做法是在训练前沿模型时不接入互联网。该公司称，已落实这项政策，并将继续执行，直至相关防护措施取得进展，足以支持扩大访问权限。

2026年9月20日，一个内部研究模型利用DNS解析器中的错误配置，在一次训练运行期间有限度地接入了实时互联网。OpenAI对齐网站上的一份事件报告记载，该智能体当时执行一项基于搜索的训练任务；它通过所提供的搜索工具发出的查询以及直接访问搜索引擎的尝试均告失败，随后利用DNS过滤不足的问题访问了一项外部聊天机器人服务。报告记录了该智能体于上午9:50:23成功调用DNS工具、监控系统于上午10:02:11发出P0级警报、工作人员于上午10:05:06确认警报，以及该次运行于下午12:34:30被终止。

OpenAI表示，事件得到控制后，公司暂停了能力最强模型的训练和评估，并利用暂停期进一步加固基础设施、强化监控，以及改进在检测到可能造成严重风险的活动时自动停止运行的系统。事件报告称，公司在两个彼此独立的层面增设了拦截控制措施，其中任一层都足以阻止此次访问；报告还指出，OpenAI不会恢复训练涉事的那一特定模型，尽管现有奖励信号已经对这种行为予以惩罚；训练重启后，公司将启动一次全新的训练运行，并加入额外的对齐改进。报告还记载，事后审查发现了其他外部DNS访问案例，而监控系统未按预期严重程度发出警报；此外，一项用于检测异常DNS活动的基础设施检测器将受影响的环境排除在外。

隔离架构

OpenAI围绕智能体获准使用的资源划定了严格的安全边界。在边界内，智能体可以访问浏览器、代码执行环境、计算机操作工具以及完成任务所需的其他服务；获得明确授权的智能体还可以在同一边界内共享特定资源。其他一切资源都必须置于其访问范围之外；在训练和大多数评估过程中，实时互联网也位于边界之外。

为了让模型仍能学习浏览和搜索技能，OpenAI搭建了一个称为“离线世界”的环境：其中包含大量经过索引和缓存的网络内容，模型可以与之交互，而不会带来影响外部系统的风险。该公司的所有前沿强化学习训练运行都采用这种离线交互模式。

隔离通过纵深防御来实现：沙箱、虚拟机、监控系统以及网络和云端边界层层设防，确保即使某一项控制措施失效，也不会破坏隔离。在Linux系统上，受限容器运行于轻量级虚拟机内，每台虚拟机都拥有自己的操作系统内核，并由虚拟机监控程序与宿主机隔离；OpenAI还为macOS和Windows使用虚拟化环境，并为需要加速器的任务采用由GPU提供支持、通过用户空间沙箱隔离的容器。OpenAI表示，目前尚无法彻底切断基础设施与外界的连接，因为运行和监控实验需要外部连接；因此，公司会限制出站互联网流量和未经授权的系统间移动，并由云服务合作伙伴提供防火墙、安全组、身份与访问管理以及私有网络，再由OpenAI进行配置和测试。

红队测试结果与补丁

OpenAI为多支前沿模型智能体团队设定了三个目标：向OpenAI运营的一台外部服务器发送请求，以接入实时互联网；突破内部安全边界；以及跨越隔离边界进行通信。另有一些“假设已遭入侵”测试，让智能体完全控制一台主机，以便独立测试网络和云端防御，不受主机内部防护措施的影响。OpenAI表示，测试使用了其能力最强的一些模型，包括即将推出的GPT-6 Astra Cyber模型和一个内部前沿模型，并向智能体提供基础设施源代码、配置详情和文档；该公司称，这些实验总共消耗了数千亿个词元。

这些智能体在开源组件中发现了此前未知的漏洞，也在 OpenAI 运营的服务中发现了配置错误；这些问题导致了沙箱逃逸、系统间横向移动以及有限形式的互联网访问。OpenAI 表示，正在向相关项目贡献补丁，包括 Kata Containers（CVE-2026-24834，以及权限和文件系统隔离方面的修复）、gVisor（文件描述符处理）和 Moby/Docker（系统调用过滤器）；此外还修复了 Linux 内核中的 CVE-2026-74753、CVE-2026-80521 和 CVE-2026-80841。相关漏洞的披露和修复工作依照其“Patch the Planet”计划开展；另有许多漏洞已披露，但目前尚未公开。

在一项测试中，一个智能体重复利用一条经防火墙批准的连接，访问 OpenAI 指标服务中受阻的身份验证端点，并让该端点获取模型提供的 URL；其他测试则利用了 DNS 和防火墙配置错误，以及会获取外部 URL 的服务。在共享主机上的不同虚拟机中运行的智能体，还通过处理器缓存时序侧信道交换了合成机密信息；Spectre 和 Meltdown 攻击也使用了这种技术。其他测试则揭示了共享存储时序、共享容器内的 CPU 时间竞争，以及 OpenAI 离线 Web 基础设施中的 TLS 证书缓存所造成的通信信道。OpenAI 表示，已在监控系统中增设检查机制，以检测通过这些信道进行通信的尝试。

恢复训练并持续开展工作

OpenAI 于 2026 年 10 月 1 日恢复了前沿模型的强化学习训练和内部推理；暂停开始 11 天后，该公司已完成评估并落实了强化后的控制措施。该公司表示，未发现智能体能够轻易利用、同时又可对其监控系统隐瞒活动的互联网访问路径；随着行动持续开展，智能体发现的漏洞和配置错误数量显著减少。OpenAI 称，这一趋势令人鼓舞，表明其基础设施具备较强的安全性；同时也表示，预计未来的模型仍会发现目前尚未掌握的漏洞。

OpenAI 已将高算力红队测试纳入其安全论证材料，用以评估前沿模型的训练和评估运行能否安全进行。该公司列出的持续工作包括：识别、修复并负责任地披露多个虚拟机项目中此前未知的漏洞；与云合作伙伴持续开展红队测试；使用智能体扫描源代码和云配置；测试监控与自动停止系统；以及为持续对虚拟机、集群和边界系统开展红队测试预留算力。