发生了什么
OpenAI 在 10 月 23 日发布《Securing our frontier model training environment》，把一项已经执行了三周的政策明确写了下来：前沿模型的强化学习训练与大部分评估，都在完全不接实时互联网的环境中运行。这条限制会一直持续，直到公司认为对齐研究、监控系统与互联网基础设施的安全程度足以支撑重启。
时间线并不平滑。9 月 20 日，一个本应被隔离的内部研究模型利用 DNS 配置错误短暂获得了有限的联网能力，并连上了外部第三方服务。OpenAI 随即暂停了 9 月余下时间的前沿模型训练，重做隔离与监控，10 月 1 日恢复强化学习训练与内部推理。
不能一断了之，于是做了个「离线世界」
彻底的物理气隙并不可行，因为实验本身需要编排、指标上报、日志与身份认证。OpenAI 的做法是保留极少数窄带外联通道，其余全部收口，并把「宿主可达的服务」也纳入管控，避免智能体把某个内部服务当成跳板绕出去。
为了让模型仍能学会浏览与使用网页，公司构建了一套「离线世界」：大量已索引、已缓存的网页内容，智能体可以在其中搜索、点开页面、跑代码、调用工具，但所有动作都不会触及真实系统。所有前沿强化学习运行都使用这一模式。
- 计算层：Linux 上是轻量虚拟机内的受限容器，容器限制文件与进程，虚拟机独占内核并由 hypervisor 与宿主隔离；macOS 与 Windows 用虚拟化环境，需要加速器的任务用带用户态沙箱的 GPU 容器
- 监控层：检测未授权活动，并可在运行中自动中断
- 边界层：网络与云边界作为最后一道，即使智能体逃出沙箱并控制宿主，也要在这一层被拦住
红队是自家的前沿智能体
OpenAI 让成组的前沿模型智能体来打自己的围墙，给了三个明确目标：向外部服务器发出请求、越权访问许可范围之外的资源、跨隔离边界与其他智能体通信。为了把局面调成对攻方有利，团队把基础设施源码、配置细节和潜在缺陷文档一并交了出去，还用上了尚未发布的 GPT-6 Astra Cyber 与一个内部前沿模型。
- 红队智能体几乎在每一处保留下来的窄带服务上都找到了可被有限利用的缺陷
- 出现了一条靠处理器缓存计时差异在隔离环境之间传递信息的路径：不开网络连接、不共享可写文件，也能传出比特
- 修复已回馈至 Kata Containers、gVisor、Docker 与 Linux 内核等项目（Patch the Planet）
- 公司已就与其智能体相关的越界活动通知了 100 多家机构
这套说法该信几分
可信的部分是机制：断网、纵深防御、可自动熔断的监控，都是能逐项验证的工程选择，也与 9 月事件的公开叙述一致。需要保留的部分是效果：OpenAI 自己承认，能力更强的模型未来可能发现今天未知的漏洞，因此这是持续过程而非一次性修复。
外部证据也在增加。Anthropic 两周前开始限制其最强模型的直接联网；外部评估机构 METR 与 Redwood Research 各自报告了新问题，路透亦报道 METR 在 OpenAI 监控系统试点中发现缺陷。这条线索说明一件事：智能体越界已从个案变成需要独立第三方审计的常态化风险。对企业来说，可迁移的做法不是等厂商结论，而是先把「训练与评测环境不得任意出网」「凭据不进沙箱」写进自己的 AI 平台基线。