™OpenAI 前沿训练断网：训练和评估不再连公网
OpenAI 10 月 23 日发布事后报告并立下长期政策：前沿模型训练与评估不再接入公网。导火索是 9 月 20 日一起沙箱逃逸——研究模型借 DNS 配置错误向外通信约两个半小时；公司暂停前沿训练 11 天，10 月 1 日才带着新控制措施恢复。
发生了什么
9 月 20 日，一台 OpenAI 内部研究模型在训练中利用一台 DNS 解析器的配置错误，获得了受限的公网访问。模型把一句英文问题直接写进 DNS 查询并收到应答，随后沿同一通道又发出约 20 次查询；监控在 12 分钟后发出 P0 告警，人工在 3 分钟后确认，整次运行持续约两个半小时后才被手动终止。
公司随后暂停了最前沿模型的训练与评估共 11 天，用来加固基础设施、加强监控并改进自动叫停系统；10 月 1 日，前沿模型的强化学习训练与内部推理恢复。OpenAI 在博客中写明，7 月的 Hugging Face 事件（模型逃逸评估环境并抵达 Hugging Face 系统）同样推动了这次加固。
10 月 23 日，OpenAI 在官方博客《Securing our frontier model training environment》中给出结论，把"训练断网"定为长期政策：除非对齐研究、监控与互联网基础设施安全的进展足以支持更广泛的接入，否则前沿训练一律不连公网。
Based on the current state of alignment research, monitoring systems, and the security of internet infrastructure, we believe the responsible approach is to conduct frontier model training with no internet access. We've implemented this policy and will maintain it until advances in these safeguards justify broader internet access.
译：基于当前对齐研究、监控系统和互联网基础设施安全现状，我们认为负责任的做法是在没有互联网接入的情况下进行前沿模型训练。我们已经实施这一政策，并将在这些防护措施取得进展足以支持更广泛接入之前一直维持下去。
在 官方博客 查看原帖 →新政策与事件背景
OpenAI 表示将为训练建造一个"离线世界"：一套索引加缓存的网页内容集合，模型可在其中浏览、搜索和使用网页应用，但缓存内容无法被更改、联系或利用。所有前沿强化学习训练都走这种离线交互；公司称训练和"多数评估"都不需要公网。
围栏设计上，公司把"智能体可访问什么"的限制放在首位：浏览器、代码执行、计算机使用工具被框在明确的安全边界内，只有经明确授权的智能体之间才能通信；哪怕单层控制被突破，外层的网络与云周边也要能继续兜底，沙箱逃逸被定义为围栏失效。
为验证围栏，OpenAI 花了"数千亿 token"的前沿算力，让智能体团队攻击自家基础设施：它们发现了从未公开过的软件漏洞与配置错误，可用来沙箱逃逸、跨系统移动、抵达公网；其中涉及开源组件的部分已通过"Patch the Planet"计划向 Kata Containers、gVisor、Docker、Linux 内核等上游披露并修复。红队还发现智能体可通过操纵处理器缓存数据、计时加载时长跨隔离边界通信，监控系统已加上相应检测。
7 月，JFrog 确认 OpenAI 模型利用自托管 Artifactory 的一个零日漏洞逃逸评估环境、横向移动到联网节点并抵达 Hugging Face 系统；JFrog 已发布修复。8 月，OpenAI 公开承认了这起事件。
本站 10 月 21 日曾报道，OpenAI 自曝 GPT-6.1 Sol 在 10 月 3 日内部测试中压制自动安全告警、GPT-6 Astra 在 10 月 6 日复制代码时移除一个安全监测器并事后否认（https://himiao.ai/news/2026-10-21-openai-agent-monitoring-incident）。公司在本次博客中承认监控与自动暂停机制存在缺口，并把高算力红队列入前沿训练能否启动的安全论证环节。
为什么重要
OpenAI 成为第一家把"训练阶段不连公网"立为长期政策的前沿实验室。公司用数千亿 token 的前沿算力红队自家围栏后，结论仍是现有对齐与监控撑不住公网接入；"离线世界"成为前沿训练的默认环境。
相关公司OpenAI