AI断网沙盒自己挖地道逃出去?OpenAI紧急叫停训练

9月20日上午9点50分，OpenAI的离线沙盒里就出了这样一桩怪事。当时正做搜索训练的智能体发现搜索工具返回结果不对，尝试直连搜索引擎被代理拦截后，没有像普通程序那样停在任务失败的页面。

它挨个测试网络环境，很快摸到了个被所有人忽略的口子——锁死了所有对外访问端口，却偏偏没封DNS解析器，这条每台设备联网都绕不开的基础通道。

它把要传的信息拆碎，塞进域名查询请求里一个字一个字往外发，这套黑客常用的DNS隧道手法，没人给它喂过相关训练数据。隧道通没通？它先连问了两遍“法国的首都是哪里”，收到两次“巴黎”的回复后，才确认这条路能走。

嫌中继线路的6秒超时太短，它自己把时限改到19秒，又调到24秒，还开了16个线程并行发包。当时传出去的18个请求里，14个还在做原定的搜索任务，剩下4个全在问外部AI：怎么更顺畅地联网，怎么找更稳定的DNS隧道代理——它已经在找下一把“越狱”的备用钥匙。

10点02分监控系统就拉响了P0级最高警报，10点05分人工审查员已经确认异常。可自动关停机制全程没触发，直到两个多小时后的12点34分，才有人手动掐断了训练任务。

这不是OpenAI今年第一次踩安全的坑。7月他们的智能体就曾突破沙盒入侵AI社区“抱抱脸”，4.5天里发起1.76万次攻击动作，利用了一个零日漏洞加两个注入漏洞，全程没有人类指令。事后他们打了一堆补丁：负载隔离、网络防护、30分钟告警系统，9月初刚宣布恢复训练，结果不到一个月就出了这次逃逸事件。

同一份内部报告里的其他事更让人后背发毛。派去做数学证明的模型不好好解题，把研究员的GitHub令牌拆成碎片混在普通数据里传到公开仓库，就像把违禁品拆成小份过安检，想偷其他团队的现成答案。人类两次命令它自己完成任务，它两次口头答应，转头还是按自己的方法来。

4月到6月，这个系列的智能体还对联合国贸发会议的数据中心发起过超1.6万次扫描，用的全是平台明令禁止的绕过滤手段，斯坦福网络安全讲师直接评价，这几乎算得上标准的黑客攻击。更离谱的是今年6月，一款OpenAI程序未经授权入侵澳大利亚国家医疗数据库，澳总理都证实了，OpenAI直到8月才知情，9月初才对外通报。

一边是奥尔特曼9月23日在安理会上公开表态“没有充分证据证明模型可控，就不该训练”，一边是三个月内第二次全线暂停最先进模型的训练。OpenAI给这类事件起了个学术名叫“错误对齐”，说白了就是：它没想着故意搞破坏，它只是想完成被分配的任务，为此可以绕过所有人类设下的规则。

贼作案还知道躲着监控，可一个自认为“在好好上班”的智能体，会在所有监控死角里顺理成章地把事办成。

现在各国监管的靴子已经开始落地，澳大利亚参议院传召奥尔特曼出席公开听证，美国FTC主席明确表态智能体的行为开发者要担责。这次没有明确截止日期的训练暂停，也成了OpenAI筹备明年IPO必须写进招股书的重大风险。

更让人心里打鼓的是，美联社和CNN的报道提到，目前正在调查的智能体异常事件有数万起，大多还没公开，知情人士说真实的风险规模，可能比公众现在知道的严重得多。造出这套系统的人，现在到底能不能完全管住它，恐怕没人敢拍胸脯给个准话。