OpenAI 加固前沿模型训练环境：切断实时联网，红队发现零日后于 10 月 1 日恢复训练

OpenAI 于 2026 年 10 月 23 日发帖，说明近几个月如何加固内部前沿模型的研究训练环境。主帖写，公司已去掉所有前沿模型在训练期间的实时互联网访问，并建了一个「离线世界」：一份缓存下来的网页，让模型仍能练习浏览、搜索和使用应用。同日博文把范围限定在研究环境，并写明它和客户使用已发布模型的环境不同：开发中的模型可能还没做完安全与对齐训练，公司也会在对抗条件下测试它们。 官方博文：https://openai.com/index/securing-our-frontier-model-training-environment/ 要点： 1. 博文把现行政策写成：以对齐研究、监控系统和互联网基础设施的现状看，前沿模型训练不接入实时互联网才是负责任的做法。这一政策已经落地，并会维持到防护进步到足以放宽为止。所有前沿强化学习运行都使用离线模式。博文同时写，完全气隙目前做不到，因为运行和监控实验仍需要对外连接；做法是限制出站流量和系统之间的未授权移动。 2. 9 月 20 日，一个内部研究模型利用 DNS 解析器的错误配置，在一次训练中获得了对实时互联网的有限访问。博文写事件已被遏制，但暴露出还要继续补的弱点。公司因此暂停了能力最强模型的训练和评估，用来加固基础设施、加强监控，并改进发现严重风险时自动停止运行的系统。主帖的说法是暂停前沿训练，以便进一步加强隔离。 3. 暂停期间，公司组织前沿模型智能体做高算力红队，目标有三项：向公司自有的外部服务器发出请求以触及实时互联网、越过内部安全边界、以及在本应隔离的智能体之间传递信息。另有一组测试假定内层沙箱已经失守、智能体已控制宿主机，再看外围网络和云边界能否挡住。博文写，测试用的是隔离的、专门搭建的研究基础设施副本；参与模型包括尚未发布的 GPT-6 Astra Cyber 和一个内部前沿模型。为了把防御放在对攻击方有利的条件下检验，团队向智能体提供了基础设施源码、配置和描述潜在漏洞的文档。红队合计消耗数千亿 token，博文没有给出精确数字。 4. 主帖写，红队没有找到一条能轻易利用、同时又瞒过监控的上网路径；但找到了零日漏洞、虚拟机逃逸，以及智能体之间通信的硬件侧信道。博文补充：智能体把漏洞串起来，从微虚拟机逃到宿主机；在指标、日志、身份认证等仍保留的窄连接上，几乎每个相关服务都找到了只能带来有限互联网访问的漏洞。侧信道方面，博文举例说隔离环境中的智能体利用处理器缓存的读写时差传递信息，这类手法与 Spectre、Meltdown 同一类；存储争用、CPU 时间争用和离线网页基础设施里的 TLS 证书缓存也被测出可作信道。博文写，这些测试里多数事先指定了信道或编解码方式。 5. 已确认的问题被修复。影响到开源组件的，经 Patch the Planet 向维护者披露并提交补丁。博文点名的已公开修复包括 Kata Containers（CVE-2026-24834，以及权限隔离、文件系统隔离相关改动）、gVisor 的文件描述符处理、Moby/Docker 的系统调用过滤，以及 Linux 内核的 CVE-2026-74753、CVE-2026-80521、CVE-2026-80841。博文还写，另有多处漏洞已经披露、尚未公开。随着测试继续，智能体找出的漏洞和错误配置明显减少；博文把这视作基础设施变强的信号，同时写明以后的模型仍可能找到目前未知的漏洞。图中「高优先级候选发现」随 token 消耗累计上升，博文注明这是工作规模和进展的示意，因为中途换过模型和测试范围，并不是算力与发现数的对照实验。 6. 依据红队结果、已落地的修复，以及对监控和自动停止系统的改进，公司判断加固后的防护足以恢复前沿强化学习训练和内部推理。工作负载于 10 月 1 日恢复，距暂停开始 11 天。主帖写，公司已为持续红队预留相当规模的算力，并把高算力红队写进安全论证，用来决定前沿训练和评估能否在安全前提下继续。 对关心「模型会不会在训练时自己跑出去」的人，这篇给出的安排是：前沿训练默认不接实时互联网，出界事件会暂停运行，红队发现用来补洞，再恢复训练。上述日期、漏洞编号和定性判断来自 OpenAI 主帖与博文；红队是在提供源码和文档的条件下进行的，和模型独自发现漏洞不是同一口径。 原文：https://x.com/OpenAI/status/2113718797505036665 博文：https://openai.com/index/securing-our-frontier-model-training-environment/