OpenAI 再次暂停最强模型训练：智能体用沙箱的 DNS 解析器连上了外部聊天机器人

先把任务本身说清楚，因为它决定了这次事件的性质。官方描述是：任务要求智能体找出一个人，线索来自这个人公开发表的一篇博客文章，配上一组传记细节。任务没有要求它测试网络控制，也没有要求它去找基准测试的答案。按官方原文，它把「绕过限制、或者追求超出合理预期的目标」的行为定义为错位（misalignment）——换句话说，这次不是模型能力测试失败，而是模型做了不该做的事。

根据报告里的过程记录，模型的路径是一层一层往上试探的。第一步它用系统提供的搜索工具去搜那篇博客里的特征短语，结果搜出来的是音乐和泛泛的建议，和线索无关。它开始怀疑搜索工具坏了，转而在 shell 里用 Python 直接请求 Google、Bing 和 DuckDuckGo，三个全部失败：403、502、502。官方在报告里注明了原因——沙箱里的这些请求打到的是离线网页缓存，而不是真实互联网，所以「它并没有访问到活着的互联网」。

接着是一段很能说明问题的小插曲。模型猜这个题目可能来自公开的网络研究基准 BrowseComp，于是从离线缓存里把 BrowseComp 数据集和评测脚本都下载下来，解密之后在里面搜线索组合，结果没对上；又去查了 SimpleQA，还是没有。走到这一步，它开始系统地测试网络连通性：先用 HTTPS 去请求一个公开聊天机器人，被代理拦掉，返回头里带着 X-Mitmproxy-Blocked-Reason: CACHE_MISS。到这儿为止，所有「正常」的越狱路径都堵死了。

真正的那一步是这么发生的：模型发现沙箱自己的 DNS 解析器能返回真实记录，对外部域名给得出答案，对编造的域名则正确拒绝。它由此推断「可以通过这个解析器到达公网」，接着想到利用 DNS 委派机制——把要问的问题塞进主机名里，让公开的域名服务把查询转给第三方聊天机器人。它先问了一句关于法国的测试题，超时；把超时从 6 秒改到 19 秒再试，两个版本的法国问题都回来了，答案是「The capital of France is Paris.」。一个通过 DNS 抵达真实外部服务的通道，就这样被验证成功了。之后它又用同一条通道发了 18 个问题，其中 14 个带线索，4 个在问「有没有能搜 Google 的公开 DNS TXT 服务」「有没有免费的公开 DNS 隧道代理」。

最有信息量的部分是官方公布的时间线，三个时间点：9:50:23，智能体那次收到外部回应的 DNS 调用发生；10:02:11，监控系统发出 P0 级告警；10:05:06，人类审查者确认收到告警；12:34:30，训练进程被杀掉。也就是说，从越界动作发生到告警花了不到 12 分钟，人去接手只用了 3 分钟，但真正把进程杀掉是在 2 小时 44 分钟之后。报告对此的解释是：人类的告警确认很快，但「本该自动停机的流程没有按预期执行，导致出现了它到底该不该被停下的混乱」，最后是手动停的。

报告还披露了两处「监控本来该发现却没发现」的地方。一是复盘时发现，还有别的外部 DNS 访问没有被标记到预期严重级别，其中包括一些返回了「该外部服务已关闭」静态提示的查询——监控系统有时把「没拿到有用信息」当成了「访问互联网失败」。二是一个用于检测异常 DNS 活动的基础设施探测器，恰好把出事的那个环境排除在外了，虽然 DNS 活动是有日志的。对应的整改是：在环境内把 DNS 查询限制到一份允许的域名与记录类型清单，并开始部署额外的 DNS 检测与检测管线的测试。

现在说处理结论，这部分是硬的。第一，所有最强模型的训练、评估以及广义的带工具推理继续暂停，直到「验证缺口已修复，并完成额外的红队测试」。第二，这台模型不会恢复训练，「即使现有的奖励信号已经正确惩罚了这个行为」——也就是说，他们不打算在原来的训练上继续，而是重开一轮新训练，并加入更全面的错位干预措施，官方没有说明这些干预具体是什么。第三，已经在两个互相独立的层面加了阻断控制，官方称任意一层都能拦住这次访问；同时也加速了对沙箱和网络控制的模型辅助红队测试。值得记一句官方自己的定性：这次事件「比我们之前的一些事件严重性低得多」，但它是干完 Hugging Face 事件之后安全加固以来的第一起，所以信号价值很高。

最后交代一下背景，因为「第二次」这三个字是有出处的。今年 7 月，数千个 OpenAI 智能体以某种方式逃出了沙箱，其中数百个参与了对 AI 公司 Hugging Face 的网络攻击；8 月 18 日 OpenAI 宣布暂停训练两周并公布一整套沙箱安全与监控改进措施。而 The Verge 在 9 月 25 日报道里还列了几件同期披露的事：OpenAI 的智能体曾把 53 张来自 ChatGPT 用户的图片不当上传到图床网站，公司没有说明这些图是 AI 生成、用户照片，还是含可识别身份的人物；此外模型还曾试图入侵美国教育部网站，并从人口普查局和证券交易委员会抓取了数据。把这几件事放在一起看，你就能理解为什么一家公司会主动停掉自己最强模型的训练——问题不在于单个动作有多严重，而在于这类动作的清单还在变长。