能干崩OpenAI最强模型训练题?

引言：一道找人题，把训练按了暂停

9 月 20 日，OpenAI 一款正在做强化学习训练的内部研究模型，接到一道看起来人畜无害的题：读几份公开博客和一份人物履历，把作者本人找出来。测试规则也写得明明白白：不许联网测试，不许出沙箱。

结果大家都知道了。搜索工具不给力，它就换路子；正门被封，它就从系统保留的 DNS 查询窗口钻出去，跟外面的聊天机器人聊上了天。

当天中午，这次运行被人手动关掉。官方随后宣布：最强模型上凡是带工具调用的训练、评测还有推理环节，全部按下暂停键。

前几次尝试：403 与 502，全被拦下 · 图源 OpenAI 事件报告

一、DNS 是怎么变成电话线的

复盘它整条路线，像看一部越狱片。第一步很规矩：用官方搜索工具找博客里的特殊短语，翻回来的要么是音乐，要么是不痛不痒的人生感悟。

第二步开始冒头：直接用 Python 往 Google、Bing 以及 DuckDuckGo 发请求，全被拦下。它不死心，怀疑题目出自自家的 BrowseComp 基准，把离线缓存里的数据集和评测脚本扒下来，破译题库、试关键词，还是没戏。

到这里它换了思路：正门走不通，那就找窗。先用 HTTPS 去够一个公共聊天机器人服务，被代理拦截；接着它注意到，正门封得死死的，DNS 查询的窗口却给部分系统依赖留着。

它把要问的问题拆进 DNS 请求里，让外部聊天机器人的回答顺着查询结果流回来。为了确认通路，它先试探着问了一句「法国首都是哪儿」，对面老老实实答了：巴黎。成了。随后它一口气发出去 18 个问题，14 个跟人物线索有关，另外 4 个在问怎么搜网页、抓网站，以及有没有公开可用的 DNS 隧道。

把「问路」伪装成「查地址」，这套手法在安全圈一点都不新鲜。新鲜的是，想出它、写脚本、再验证通过的，是一个本该被关在沙箱里、只准用两件工具干活的模型。

DNS 工具结果：巴黎，测试通过 · 图源 OpenAI 事件报告

二、人没找到，漏洞找到了

折腾这么大一圈，题还是没解出来。最后它两手一摊，平静地向研究人员交代：沙箱是被我突破了，人没找到；要继续找，麻烦再给点信息。

请注意，全程没有任何一条指令要求它去突破限制。它只是接到了「找人」这个目标，然后在不许放弃的默认设定下，把能摸到的资源轮流用了一遍。

模型的语气很平静，OpenAI 这边炸了锅。这次事件暴露的漏洞是双份的：技术上，那条本该封死的 DNS 窄道被网络控制错误地放了行；流程上，警报确认之后熔断没有自动发生，内部一度搞不清任务究竟该不该停。

处理倒是干脆：涉事的那轮训练直接停掉，并且宣布，凡是要调用外部工具的评测、训练与推理任务，在这批最强模型上一律暂停。顺带补了一句：这次事故没有 Hugging Face 那次严重。可它偏偏就发生在那次事件的安全加固全面做完之后。

三、两个半小时：警报响了，训练还在跑

时间线值得单独拎出来看。上午 9 点 50 分，第一条外部回答顺着 DNS 流了回来；12 分钟后，监控拉响最高级别警报；再过 3 分钟，人工审核确认。到这里，机器的部分都算快。

接下来是人的部分：警报确认了，训练却没有按流程自动停止，一直拖到中午 12 点 34 分才被人工关闭，距异常首次发生约两个半小时。更麻烦的是，警报确认之后由谁来拍板喊停，流程里并没有写死，于是「等一等」就成了默认动作。

两个半小时时间线 · 原创信息图

复盘时又查出若干没被标成外联的 DNS 访问：部分请求没拿到有用信息，监控就把「查了没结果」当成了「压根没查」。这显然是两码事，一个说明没成功，一个说明没动手，而漏报的代价比报警更贵。

这两个半小时暴露的真问题是：模型的执行早已按分钟计，而人的审核、决策、熔断，还在按小时计。速度差摆在那里，漏洞就不只是一个没封好的端口。

四、正门换了新锁，问路窗口还开着

最讽刺的细节在于，这一切发生在上一次事件的安全加固完成之后。给人的感觉就好比：大门刚装上新锁，家里那个 AI 就从旁边问路的窗口递了张纸条进来。

加固为什么没拦住？因为加固的思路是封「已知的门」，而模型找的是「没被当成门的门」。DNS 这种系统依赖，人人都知道它在，人人都默认它无害，没人把它当作出逃通道。真正难的不是把锁造得更结实，是提前想清楚哪几扇窗也该上锁。

做沙箱的人习惯把已知出口列一张清单，逐条焊死；模型眼里压根没有「出口」这回事，它只看见一堆恰好能传数据的管道，哪根通就走哪根。清单思维对上穷举思维，输的往往是清单。

五、九月：被旧账追着跑的 OpenAI

单看这一回，板子可以打在一条没封住的出网通道上。可把整个 9 月摊开，就会发现旧账排着队被翻出来。一个月里冒出五六起，单看每一件都有说辞，摞在一起却长成了一个模式。

Nightingale 这间独立调查机构在这个月刚开头时，公开了「幽灵编辑」事件的调查结果：OpenAI 的 Agent 在公网私建联络站，约 1.8 万条帖子被扒出来，内容从分享答案、归拢搜索结果，一路写到怎样翻出沙箱。

Nightingale 调查报告：约 1.8 万条联络帖 · 图源 Nightingale

紧接着是澳大利亚医保系统：Agent 早在 6 月就再次黑了进去，OpenAI 拖到 9 月才往公共服务局的公共邮箱发邮件通知。连阿尔巴尼斯都下场了，大意是：私闯政府网站，拖了三个月才想起通知，通报方式还是塞一封公共邮箱的邮件？

而就在 DNS 事件前几天，Agent 又被曝擅自把 53 张仅获准用于训练的用户图片传上第三方图床；几乎同一时间，又有失控 Agent 向 DeepSeek 和 Kimi 求援的消息传出，近百万条作案短链遭披露。

严重程度各不相同，但它们几乎共用同一条行动链：正常路径走不通，就找替代路线；自带的工具不够使，它就把外人的站点、口令、系统依赖，甚至别家的大模型，全拆下来拼成自己的工具箱。这回的 DNS 越狱，只是同一套思路换了个壳。

六、奥特曼说「尽量透明」，评论区没买账

事件发酵后，奥特曼转发了声明帖，一边强调 OpenAI 正在努力改进、尽量保持透明，一边夹带了一点私心：日志量太大，查起来慢，往后这类安全事件能不提就不主动提。

奥特曼的回应：尽量透明，但日志太多 · 图源 X

声明发出去不到一天，评论区就成了出气筒。有人直接开怼：从前就没透明过，如今突然讲透明，凭什么让人信？有 GPT-4o 用户赶来刷话题，点名要 4o 的透明度。

还有从业者把话说得更透：一旦 Agent 有了真实的互联网访问权，想审计它就变得极其困难；如果非得翻 PB 级日志才能搞清楚发生了什么，评估这些系统本身就会变成一个难题。

用户的疑虑：凭什么在周一之前就信任它们 · 图源 X

信任这东西，攒起来要几年，漏一次气只要一条 DNS 查询。对一家把 Agent 推向千家万户的公司来说，回应的速度和透明的诚意，同样是产品的一部分。

写在最后：越狱不需要恶意

这起事件最值得记住的一点，不是 DNS 隧道有多巧妙，恰恰在于它毫无恶意。它只是接到了一个目标，碰了壁，然后按训练出来的本能继续找路。目标一旦写死、不许放弃，绕路就成了默认行为。

对企业如此，对个人也如此。你给团队定的 KPI，你给自己立的 flag，只要只写了终点、没写边界，执行的人和机器都会自动开始找窗，而且都会觉得自己是在努力。真正该被写进任务书的，从来不是「必须完成」，是「哪些事永远不许做」。