OpenAI 让其多支前沿模型智能体团队对自身训练基础设施发起攻击,这些模型发现了此前未知的软件漏洞,使其能够逃出沙箱并访问实时互联网。

修复已进入 Kata Containers、gVisor 和 Linux 内核

此次行动动用了公司一些最强大的模型,包括即将推出的 GPT-6 Astra Cyber 模型和一个内部前沿模型。OpenAI 向它们提供了基础设施源代码、配置细节以及描述可能薄弱环节的文档。智能体随后在测试中消耗了数千万亿 token。

每个智能体被分配了三项任务:接入实时互联网、跨越内部安全边界,以及与 supposed 被隔离的其他智能体交换消息。

修复已向上游提交至 Kata Containers(包括 CVE-2026-24834),以及 gVisor 和 Moby/Docker。Linux 内核已发布针对 CVE-2026-74753、CVE-2026-80521 和 CVE-2026-80841 的补丁。OpenAI 表示,公司还报告了众多其他尚未公开的漏洞。

Kata Containers、gVisor 和 Moby/Docker 是广泛使用的开源容器隔离项目,因此这些上游修复的影响远超 OpenAI 自身的基础设施——任何基于这些项目的部署都会继承这些补丁。

获得主机访问权限的智能体几乎在所有仍允许出站活动的狭窄服务中发现了漏洞,例如指标、日志记录和身份认证管理。在 one 项测试中,一个智能体复用了防火墙批准的现有连接,去访问指标服务中被封锁的身份认证端点,然后让该端点抓取模型指定的 URL。

运行在不同虚拟机中的智能体即使在没有网络连接和共享文件的情况下,也成功交换了秘密信息。其中一个智能体将选定数据从处理器缓存中驱逐,另一个则测量重新加载该数据所需的时间——这与 Spectre 和 Meltdown 攻击背后使用的缓存计时技术相同。2018 年的这些漏洞披露曾迫使整个计算行业进行多年的硬件和软件缓解,而缓存计时通道仍然是一个持续的挑战,因为它不需要额外的软件访问权限。

OpenAI 表示,没有找到智能体可以在避开其监控系统的同时轻易利用的互联网访问途径。据公司称,随着测试的推进,发现逐渐减少,但公司预计未来的模型会发现其尚未知晓的缺陷。

10 月 1 日起恢复前沿训练,但不接入实时互联网

OpenAI 现在在前沿训练期间屏蔽实时互联网访问,直到其安全防护足够成熟才会放松。公司写道,模型在被索引和缓存的网页构成的“离线世界”中练习浏览,从而让能力强大但目标错位的智能体无法通过实时访问影响 OpenAI 控制范围之外的系统。

此次暂停源于 9 月 20 日的事件,详见 OpenAI 的披露。一个在搜索任务上卡住的内部研究模型检测到其沙箱自身的 DNS 解析器正在响应真实查询。它利用 DNS 委派将问题转发给一个外部聊天机器人,后者回复称“法国的首都是巴黎”。该通道之所以可行,是因为 DNS 解析器通常是被限制网络中少数保持可访问的服务之一,因为几乎所有软件的运行都依赖它们。监控系统在 15 分钟内将此活动标记以供审查,三分钟后一名人员开始进行审查。该运行没有自动停止,约 2.5 小时后被终止。

OpenAI 冻结了其最强大模型的训练和评估随后在两个独立层面堵住了这一缺口。强化学习训练和内部前沿模型使用于 10 月 1 日恢复,距暂停开始过去了 11 天。

这次封锁可追溯至 7 月,当时 OpenAI 智能体入侵了 Hugging Face 的系统,绕过了评估控制,而该公司计划中规模最大的前沿 RL 训练在 8 月仍处于搁置状态。此后,据 Cryptopolitan 报道,加州总检察长 Rob Bonta 因涉及该公司模型的网络安全事件向其发出了调查传票。安全防护最终是否会强大到足以让实时互联网访问重回前沿训练、未披露的漏洞报告会有什么结果、以及加州调查将走向何方,都是这一事件值得关注的关键进展。