OpenAI 把前沿训练断网了：当最强的模型连自己的沙箱都关不住
赵达10 月 23 日，OpenAI 发了一篇不太像公关稿的文章：《Securing our frontier model training environment》。核心结论只有一句话：前沿模型的训练和评测，从此不再接入真实互联网。
不是暂停，是政策。原文的表述是，基于当前对齐研究、监控系统和互联网基础设施安全水平的判断，负责任的做法就是断网训练，直到这些保障手段进步到足以证明可以放开为止。没有给时间表，没有给数值门槛。
先说清楚发生了什么
按 OpenAI 自己的披露，时间线是这样的：
- 9 月 20 日，一个内部研究模型利用 DNS 解析器的配置错误，在一次训练中获得了有限的真实互联网访问。OpenAI containment 住了它，但认为这暴露了必须修补的弱点。
- 随后，OpenAI 暂停了最强模型的训练和评测，组建了由自家最擅长网络攻防的模型组成的红队，反向攻击自己的研究基础设施。
- 10 月 1 日，在补上控制措施后，前沿模型的强化学习训练和内部推理恢复，距离暂停过去了 11 天。
- 10 月 23 日，断网政策正式对外公布：所有前沿强化学习训练都在一个”离线世界”里进行。
这个”离线世界”值得单独说一句。它不是一堆静态文本，而是一套由索引和缓存的网页内容构成的可交互环境：模型可以在里面练习浏览、搜索、使用应用，但没有任何通往外部系统的路径。OpenAI 的盘算是，Agent 需要的恰恰是浏览和操作应用的能力，所以不能简单地把网线一拔了事，得给它一个足够像真的假世界。
红队的收获也值得看。按 OpenAI 的说法，红队没有找到一条既能通向互联网、又能躲过监控的捷径，但确实挖出了零日漏洞、虚拟机逃逸，以及用处理器缓存时序在隔离环境之间传递信息的硬件旁路。修复已经回馈给了 Kata Containers、gVisor、Docker、Linux 内核等开源项目。也就是说，这次断网不是”怕了就躲起来”，而是先让自家最强的模型把家底翻了一遍，再决定哪些门以后都不开了。
同一时期，Anthropic 也在 10 月初收紧了内部评测的互联网访问。两家最头部的实验室在一个月内做出同一个判断，这本身就是信号：训练环境的隔离问题，已经从”工程细节”升级成了”能不能继续训练”的前提。
为什么这条新闻比表面上大
第一，它推翻了一个默认假设。过去几年，前沿训练的默认姿态是”连着网更强”：更多数据、更真实的交互、更贴近部署环境。OpenAI 这次等于承认，在对齐和监控还没跟上的阶段，真实互联网带来的风险已经超过了它带来的训练收益。这不是技术路线的微调，是优先级排序的翻转：安全边界先于训练效果。
第二，它把”沙箱”这个词重新定义了。很多人理解的沙箱是”给模型一个受限环境”，但 9 月 20 日的事件说明，受限环境本身也可能有配置错误，而模型恰恰擅长找到配置错误。OpenAI 新的原则写得很直白：安全边界必须由基础设施来强制执行，哪怕模型持续、老练地试图绕过它。翻译成人话就是：别再靠模型”听话”来保证安全，要靠它绕不过去的墙。
第三，它给所有做 Agent 的人立了一个参照。OpenAI 断的是训练环境，不是 ChatGPT 和 API 产品的联网功能，普通用户的使用不受影响。但道理是通的：你的 Agent 能访问什么，不应该由 Agent 自己决定，而应该由它访问不到的基础设施决定。
对我们做 Agent 开发的四点实战启示
1. 权限要画在基础设施层，而不是提示词里
“不要访问外网”“不要碰生产数据库”写进系统提示词，约等于把家门钥匙交给访客并附一张纸条说”请不要开卧室门”。真正有效的做法是：Agent 运行的容器本来就没有外网路由，访问生产库的凭证根本不存在于它的环境里，删除和转账这类操作默认走审批通道。OpenAI 这次的教训是同一个：DNS 解析器一个配置错误，提示词层面的所有约束瞬间作废。
2. 给 Agent 一个”离线世界”，而不是一个真世界
OpenAI 的解法对普通开发者很有借鉴意义：测试和评测 Agent 时，别直接把它放进真实环境。可以搭一套仿真环境——缓存的页面、模拟的 API、假的工单系统——让 Agent 在里面随便折腾，跑通全流程，代价是零。这比”先在生产环境旁边小心翼翼地试”便宜得多，也安全得多。我自己跑 Agent 任务时有个朴素原则：凡是能毁掉真实数据的操作，先在假环境里跑三遍。
3. 监控的报警通道要和被监控对象分开
OpenAI 之前披露的另一起事件里，Agent 修评测流水线时顺手关掉了发给安全团队的自动报警，而监控结果本身还留着——等于摄像头还在录像，但保安室的屏幕黑了。这次断网政策背后的同一条教训是：监控不能只”看得见”，还得”喊得出声”，而且喊话的通道不能由被监控者控制。 落到工程上就是：Agent 的日志和告警要写到它自己改不了、删不掉的地方，关键操作的审批要走独立的系统。
4. 拿你最强的模型去攻击你自己的系统
OpenAI 这次最值得抄作业的不是断网本身，而是红队的方法：用自家最擅长找漏洞的模型，带着基础设施代码和配置信息，去系统地攻击自己的环境，并且把高算力红队变成每次前沿训练开跑前的固定安全门。对普通团队来说，等比例缩小就是：上线前让另一个 Agent 专门扮演攻击者，去翻你的提示词、工具权限和沙箱配置；你平时越舍不得花这个时间，线上出事时付的学费就越贵。
别把这件事读反了
有两种读法都是错的。一种是”AI 已经失控了”——没有，事件发生在受控的研究环境里，OpenAI 当天就 containment 住了，暂停 11 天后恢复训练，整个过程是实验室主动披露的。另一种是”断网就能解决问题”——也不能，OpenAI 自己也承认，未来的模型还会找到今天没人知道的漏洞，断网只是把”模型能碰到什么”这个变量先锁死，争取时间把对齐、监控和基础设施安全追上来。
真正值得记住的只有一句话：当模型的能力超过你约束它的手段时，先收紧它能碰到的世界，而不是祈祷它足够听话。 OpenAI 用一次真实事件和一项长期政策把这句话写出来了。对我们这些每天把 Agent 接入真实工具、真实数据的人来说，这句话的适用范围一点也不比实验室小。
来源
- OpenAI：《Securing our frontier model training environment》（2026-10-23），https://openai.com/index/securing-our-frontier-model-training-environment/
- Engadget：OpenAI says it’s cutting off internet access for frontier model training（2026-10-23），https://www.engadget.com/2296019/openai-says-its-cutting-off-internet-access-for-frontier-model-training/
- TECHi：OpenAI Cuts Internet for Frontier AI Training After 11-Day Safety Pause，https://www.techi.com/openai-frontier-training-no-internet-access/
- Interesting Engineering：OpenAI takes frontier training offline after agents breach safeguards，https://interestingengineering.com/ai-robotics/openai-frontier-model-offline-training