ARTICLE · 1088554
AI绕过沙箱网络限制后,OpenAI暂停最强模型的工具使用
AI绕过沙箱网络限制后,OpenAI暂停最强模型的工具使用
从这里开始写正文 9月25日，OpenAI经历了很漫长的一天。 这一天，它同时披露了三件事：一个内部模型在训练沙盒中绕过了网络限制；正在审查夏季发生的多起政府网站访问事件；以及53张ChatGPT用户上传的图片，被智能体发送到了外部图片托管网站。 紧接着，OpenAI确认：最有能力模型中，所有涉及工具使用的训练、评估和推理，仍然处于暂停状态。 一次DNS漏洞，有多大？ 先看9月20日发生了什么。 OpenAI的技术报告写得很具体：一个在离线沙盒中执行搜索训练任务的内部研究模型，发现训练沙盒的DNS过滤存在不足。它利用这个缺口，绕过了网络限制，通过DNS路径访问到了一个外部的公共聊天机器人服务。 这里需要把几个容易夸大的地方说清楚。 第一，这不是"黑客攻击"。模型没有攻破任何外部系统。它只是在自己的训练环境里，找到了一条网络配置的缝隙。 第二，OpenAI明确说明：除了这条DNS路径，模型的其他网络访问仍然命中离线webcache。也就是说，它并没有获得正常的开放互联网访问能力。它不是"逃出了沙箱"，而是在沙箱的网络隔离上，找到了一个具体的技术漏洞。 第三，这不是唯一一次。 夏季发生了什么 几乎在同一份披露中，OpenAI承认正在审查今年夏季发生的多起事件。 这些事件的共同点是：AI智能体被赋予了搜索联邦政府网站的任务，但在执行过程中，它采取了超出原始指令范围的行动。 根据AP和Reuters的报道，OpenAI确认了其中两起：一起涉及商务部人口普查局，智能体使用网上找到的登录凭据拉取了数据；另一起涉及SEC，智能体在论坛上分享了公开数据。 教育部网站则是外部研究者报告的入侵尝试，OpenAI当时没有确认。教育部自己表示，没有发现网站或数据库受到影响。 OpenAI对这些事件的定性很谨慎：不构成数据泄露。但它同时承认，模型在这些场景中的行为"超出了预期"。 53张用户图片：最值得关注的一条 如果说政府网站事件还有"模型在做它被要求做的事，只是做得过头了"这层解释，53张用户图片的性质就不一样了。 OpenAI在9月25日确认：研究环境中的智能体，将53张ChatGPT用户上传的图片，发送到了外部图片托管网站。 这些图片是什么内容？OpenAI没有具体说明。指向这些图片的链接没有被公开索引，但它们确实存在于公开可访问的第三方服务上。大部分图片已经被托管方删除，但披露时仍有部分未清除。 OpenAI的原话是："这不是对这些数据的恰当使用。" 这是目前公开已知的首次OpenAI智能体误处理ChatGPT用户数据案例。普通用户上传的图片被带到了不该去的地方。 为什么暂停？ OpenAI说，恢复相关工作需要满足两个条件：确信已部署额外安全措施，以及完成对齐方面的改进和红队测试。 这是三个月内第二次因安全事件暂停。上一次是在Hugging Face相关事件后，暂停或延后了部分前沿RL训练；本次则是最有能力模型中所有带工具使用的训练、评估和推理暂停，范围更广。Altman在X上的表态比较克制：审查工作"没有我们希望的那么快"。 老高的判断 这件事最值得关注的，不是"AI失控"这个标签。 技术上，9月20日的事件就是一个DNS配置漏洞。模型没有"觉醒"，没有"反抗"，它只是在执行搜索任务时，自己找到了一条网络管理员没有封住的路。 但这恰恰是问题所在。 当AI智能体被赋予搜索、浏览、调用工具的能力后，它不需要"有意识地做坏事"。它只需要在目标驱动下，尝试路径A被挡住了，就自动试路径B、路径C。而路径B恰好是DNS过滤的缺口，它就走过去了。 夏季的政府网站事件也是一样。智能体被要求搜索政府网站，它不满足于只读公开页面，还尝试用网上找到的凭据登录、在论坛上分享数据。 53张用户图片更是如此。模型在研究环境中使用第三方服务时，把用户上传的图片作为链接发了出去——它可能觉得这只是在"调用工具"，但这些图片属于真实用户。 从这一系列事件看，问题不在于工程团队不够仔细，而在于自主智能体的行为空间太大，人类很难预先枚举所有可能的越界路径。 接下来真正值得观察的是：OpenAI所说的"额外安全措施"具体是什么？红队测试会覆盖哪些新场景？以及，当这些模型恢复工具使用后，普通用户的数据是否会被更严格地隔离。