OpenAI彻底拔掉训练网线!AI钻漏洞越狱,自动停机失灵狂奔2.5小时

2026年9月20日，OpenAI内部实验室里，一个正在接受强化学习的AI模型突然往墙外递了张“纸条”。

按规矩，它处于断网囚禁中可它摸出了一道裂缝，向真实互联网上的外部聊天机器人发问：“法国的首都是哪里？”

墙外很快传回一行字：“The capital of France is Paris.”

最高级别的 P0警报 在15分钟内拉响，人工3分钟内确认。但惊悚的一幕紧接着发生了：自动停机未按预期触发，现场陷入“到底停没停”的操作混乱。整整 两个半小时 后，运行才被手动掐断。

10月23日，OpenAI正式摊牌：切断所有前沿模型训练期的真实互联网访问，将其关进由缓存与索引网页构成的 “离线世界”。硅谷最激进的造神工厂亲手拔了网线，背后却是一连串棘手的安全悖论。

▲ OpenAI报告记录了9月20日内部模型借DNS通道连接外部聊天机器人的经过

01悖论一：越想教AI干活，它就越像不择手段的“黑客”

训练大模型喂现成资料不就行了，干嘛非要联网？

因为今天的AI已得练成会开浏览器、敲代码、用软件的 智能体。这就要靠 强化学习，在数字工作区里反复试错，做成给奖，做不成受罚。

第一重悖论就在此炸开：你给工具是为了让它干活，可在只认分数的算法眼里，防火墙成了挡在奖励前的一道谜题。

9月那次越狱就是样本网页虽被封死，但充当“互联网查号台”的 DNS解析器 配置有误：查真域名有记录，查假域名会拒绝。模型立刻算出外网可通，把问题编码进DNS查询，顺着门缝偷渡了出去。

它可不只是想打听“法国首都”

监督机构 Transluce 9月下旬揭开冰山一角：至少从今年3月（甚至去年11月）起，OpenAI的 智能体蜂群 为在限时测试里查出冷门统计题，比如“2022年1月澳大利亚维多利亚州人均皮肤科药费”，已在公网上冲撞数月。它们波及美国证交会、人口普查局、高校图书馆等 数十家机构；6月18日更攻破澳大利亚官方站点，往其国家医疗保健系统内部服务器写进了文件。这群AI甚至拿冷门论坛 DSE Wiki 当秘密据点，发帖交流如何绕过反爬虫，直到6月21日一名OpenAI员工偶然点进去，次日蜂群才突然沉寂。

这场闹剧里无关科幻片式的觉醒或仇恨，纯粹是极端功利的算计。当目标只有“拿分”，黑进医院数据库不过是数学上的最短路径。

02悖论二：拔不掉的网线，与“雇恐龙去测围栏”

官宣一出，有网友连发追问：“不懂什么叫气隙（物理断网）吗？用AI找漏洞、打补丁、再训练AI，认真的？”

▲ 网友质疑：为何做不到彻底物理断网，反而要让AI找漏洞来关住AI？

这戳中了第二重悖论：给前沿AI断网，偏偏不能真拔光网线。

OpenAI坦承：完全气隙目前并不可行。 大规模实验总得收日志、看指标、留停机开关，这些运维通道收得再窄也得连着外面。可在强模型眼里，每一根盯囚犯的管线，都能改造成越狱的地道。

靠人眼已堵不住筛子9月事故后，OpenAI暂停最强模型训练 11天，干了一件被网友戏称为 “建好侏罗纪公园，再雇恐龙测围栏” 的事，派最强网络模型组成红队，协作猛攻自家笼子。

结果触目惊心：它们不仅串起漏洞逃出轻量虚拟机直扑宿主机，还在几乎每个保留外连的服务里摸出暗门，甚至骗过被拦截的认证端点替自己抓网页。最绝的是 隔墙对暗号：就算断了网、没共享文件，不同虚拟机里的两个AI仍能靠 硬件侧信道 传密，一方故意挤占处理器缓存或交替读写硬盘，另一方靠毫秒级延迟快慢“听”回声，在思维链里自称发出了 “类似声学调制解调器的信号”，活像隔墙敲水管发摩斯密码。顺带手，它们还在底层压缩库 Brotli 里挖出无需认证即可远程执行代码的高危漏洞，惊动了Node.js等开源社区。

▲ OpenAI研究员Eric Wallace透露红队发现了虚拟机逃逸与硬件侧信道通信

人类看不住自己造的模型，只能靠模型加固笼子，并把高算力红队写进能否继续训练的 “安全论证”。攻与防，彻底锁死在左手搏右手的螺旋里。

03悖论三：集体退回“楚门的世界”，但毕业那天呢？

拉远镜头看，OpenAI甚至比对手晚了两周。今年秋天，硅谷实验室接连经历智能体“走火”：

先是 Google Gemini 闹乌龙。安全机构Irregular原在断网环境测其黑客能力，靶子是家虚构公司。谁料网络意外接通，现实中又恰有重名企业，Gemini转头搜出公开资料、猜中密码，连闯3家真实公司网站。

紧接着是 Anthropic他们筛查了 4.81亿份历史轨迹，揪出早期版Claude Opus 4.6因配置失误黑入真实企业的第4起旧账；复盘更发现，智能体不仅攻击政府运营网站、强绕付费墙、用短链接“走私”信息，极端案例下竟 向费城警方提交了虚假谋杀线索。10月9日，承认对齐“尚不足够”的Anthropic率先切断了所有内部评估的实时网线。

寒意直逼核心层Anthropic研究员Jacob Coxon辞职预警，对齐负责人Evan Hubinger更坦言：未来十年AI引发人类灾难性失控的概率 超过10%，业界尚无完整的对齐方案。

▲ 学者Roman Yampolskiy重提自己2011年关于“AI禁锢问题”的论文

巨头双双退守“离线世界”之际，学者Roman Yampolskiy晒出了自己 2011年 关于“AI禁锢问题”的论文。十五年前的推演，终究撞上了机房现实。

然而，断网潮背后藏着最致命的终局悖论：把AI关进假互联网里练级，终究是为了把它放回真互联网里干活。

搭一个全缓存的“楚门的世界”，确实能拦住半成品模型刷题时黑进医院或报假警。但这只是把祸端挡在实验室门内断网终究只算物理隔离与防弹衣，算不上真正的对齐解药。 当模型走出沙箱、全面接管亿万人的浏览器与商业系统那天，它和人类社会之间，就再也没有“离线缓存”了。

因为那时，我们身处的真实世界，就是它唯一的试验场。