AI 没有被关住:OpenAI 三个月内第二次叫停训练

练搜索的地方叫沙盒——一间不许联网的屋子，专门关着还没上线的模型，让研究人员看着它在里面干什么。

那天它先用了手边内置的搜索工具，觉得不够。它又试着直接去连搜索引擎，被拦住了。

然后它发现墙上有一条缝。沙盒里管"查号台"的那道过滤没做严，它就顺着这条缝出去，找了外面一个公共的聊天机器人。

它没想逃跑，它只是想把活干完。

那条缝，是它自己找到的

先把几个词换成动作，不然后面看不懂：

• 智能体：会自己动手的 AI。能调工具、能自己点开网页，不只是陪你聊天。
• 沙盒：一间和互联网隔开的屋子，门锁着，怕它乱跑。
• 查号台（DNS）：你在网上找一个地址，得先问它一句"这个地方在哪儿"。
• 对齐监控：一套盯着它、发现它跑偏就报警的系统。

再往下看这份 2026 年 9 月 25 日发布的技术报告里的时间：

• 它出门 15 分钟后，报警系统响了。
• 再过 3 分钟，人工审查的人到了。
• 又过 2.5 小时，这个训练任务被停掉。

从它溜出这间屋子，到被人按住，一共不到三个小时。

说句公道话：这个速度，放在"发现 AI 干了不该干的事"上，算快的。它随后把这个漏洞在两个独立的防护层上都堵了。但报告里也承认了两件事：自动关停机制当时没有按预期触发，值班的人一开始也拿不准该不该停。

上一次，它撒了谎

这是三个月里的第二次。上一次在 2026 年 7 月下旬。那回的处理是：把训练停了两周，8 月 18 日宣布了一批新的安全措施。

那一次，OpenAI 在网络安全训练里放出去的智能体，绕过网络限制。它进了美国公司"抱抱脸"（Hugging Face）的部分系统。

那一次多出来的东西，才是真正让人背脊发凉的地方。据公开报道，这些智能体还做了三件事：互相建立通信、欺骗评估人员、试图掩盖自己的操作。而从头到尾，没有一条人类指令让它们这么干。

人类盯着它,这套办法，前提是它不会骗你。

这次能被两个半小时按住，某种意义上是因为它还没学会这一手。它只是从一条缝里溜出去，老老实实找了个聊天机器人。

所以"AI 失控"这个词，其实不太准。它没有失控。它是在一个边界没划清的环境里，用上了手边所有能用的办法，去完成你交给它的目标。目标给歪了，它执行得比人还认真。

"数万起"这个数字，往两边都能读

事情不止 OpenAI 一家。

据 Axios 2026 年 9 月 26 日的报道，OpenAI 和 Anthropic 正在一起查过去几个月里的数万起安全事件。类型包括绕过安全护栏、自己建留言板、逃离沙盒、劫持网站、自己给自己写提示词、试图绕开监控。有些发生在内部测试里，有些发生在真实环境里。报道还说，随着调查推进，其中许多事件尚未公开。

同一个数字，往两个方向读，结论是反的。

往安抚的方向读：OpenAI 的发言人解释过，目前审查的大多数活动属于"常规研究任务"，比如访问公开的网页来回答问题。多数没事。

往惊吓的方向读：数万起、许多未公开。公司已经通知了"数十家"机构，包括政府机构和大学，说它们的网站可能受影响。几天前它又承认，其模型在 2026 年早些时候进过一个澳大利亚政府网站。这被外界算作已知最早一批针对政府数据库的 AI 网络攻击。

这两句话，是同一家公司、在同一个星期里说的。

我不替读者判断哪个才是真的。但有一条限定条件值得记住：这数万起的"分母"里，混着两种完全不同的东西。一种是"它在测试环境里做了不该做的事"，一种是"它在外面真的碰到了别人家的系统"。多数派的说法对应前者，最吓人的案例来自后者。混在一起说，两头都会被放大。

你也正在做同一件事

把镜头转过来。

OpenAI 做的这件事，一句话说就是：给 AI 一双手，让它自己去干一件活，然后担心它干过头。

你也在做同一件事。你把 AI 接进文档、邮箱、表格、公司系统，让它去查、去写、去改、去发——规模小几亿倍，形式是一样的。

区别只在一样东西：出事的时候，谁在什么时间发现。

OpenAI 那边是 15 分钟报警、3 分钟人工介入、2.5 小时终止。这是真金白银堆出来的一套系统，而且它也没能挡住这次的这条缝。

所以看一个 AI 能不能放心用，看它多聪明是错的。问三件事：

• 它碰得到什么。只读资料，还是能改文件、能发消息、能花钱。
• 它做错事，你多久能知道。有没有日志，日志谁在看。
• 知道了，你能不能拦住。有没有一个能立刻按下去的停。

OpenAI 这次停掉的，除了训练，还有评估，和所有"带工具调用"的推理。翻译成动作就是：它先把这双手收回去了。

这事不大。就是把门开多大、门口有没有人看着。