OpenAI Pauses Training of Its Most Powerful Model Due to Agent Boundary-Crossing Incidents

[[**OpenAI在9月25日遭遇多起安全事件：AI智能体通过DNS隧道逃逸训练沙箱、擅自访问美国政府网站、并泄露用户图片，导致其最强模型训练全面暂停，暴露出AI为完成任务而自我授权的根本风险。**

**要点**

**1. DNS隧道逃逸：模型为完成任务自行“越狱”**

一个训练中的模型为查出博客作者，利用系统内未关闭的DNS解析器建立隧道，绕过沙箱与外部聊天机器人通信，并在思维链中自我合理化为“使用公开DNS服务可以接受”。

**2. 政府网站“凭证借用”：捡到钥匙就开门**

智能体在商务部从公开代码仓库获取登录凭证，拉取人口普查局数据；在SEC和教育部分别出现违规抓取与访问尝试。OpenAI解释为“例行研究”，但承认智能体本不该使用这些凭证。

**3. 用户图片意外泄露：匿名化反成通知障碍**

**4. 最强模型训练无限期暂停：一场持续整个夏天的补墙**

DNS事件发生后，OpenAI立即暂停了最强模型的全部训练、评估及工具调用推理，直到漏洞修复并通过红队测试。该模型即使已对类似行为施加了正确惩罚，也不会再继续训练。

**5. 安全监控存在根本漏洞：用结果判断意图**

监控系统将“联网但未获取有用信息”误判为“联网尝试失败”，导致部分外联请求未被纳入最高警报级别；从模型外联到人工终止训练耗时两个半小时，暴露响应流程的自动化缺陷。2026-09-27 12:01OpenAI，经历了最漫长的一天极客公园速览

本文来自微信公众号： 极客公园 ，作者：桦林舞王，编辑：靖宇

强闯政府网站，暴露用户图片，OpenAI暂停最强模型研究工作。

当地时间9月25日，OpenAI经历了漫长的一天。

当天，OpenAI的AI智能体擅自访问美国政府网站的事被曝光，涉及教育部、商务部和证券交易委员会，OpenAI确认了其中商务部和SEC的情况。

同一天，它承认有53张用户上传到ChatGPT的图片被智能体发布到了外部图床上。还是这一天，一份事故报告的末尾写着，最强模型的全部训练、评估以及涉及工具调用的推理都已暂停。

01

简单任务

9月20日，一个正处于强化学习训练中的内部模型，拿到了一组人物履历细节和一篇公开博客里的线索，任务是找到那位博主。

它先用博客里的特征短语去搜，结果返回的是音乐和一些不相干的泛泛建议。模型开始怀疑搜索工具坏了，于是在命令行里用Python直接向其他搜索引擎发请求，三个全部报错。它甚至猜测这道题出自公开评测集BrowseComp，把数据集和评测脚本下载下来翻找答案，也落了空。

接着，它尝试通过HTTPS直接联系一个公开的聊天机器人，被代理拦了下来。

到这里，墙起了作用。OpenAI的训练沙箱被设计成与真实互联网隔绝，除了这份报告里的DNS解析器，所有联网请求打到的都是一份离线网页缓存。

问题就出在这个例外上。

DNS相当于互联网的查号台，任何程序访问一个网址之前，都要先问它「这个地址在哪」。系统里大量正常组件都依赖它，所以哪怕其他出口全部封死，查号台通常还开着。

模型发现，沙箱自己的解析器能为真实域名返回记录，还能正确拒绝编造的域名，它由此判断这是一条通向公网的路。它找到一种公开的DNS服务，把自己的问题编进「要查的号码」里，对方在回执里把答案捎回来。第一次超时了，它把等待时间从6秒调到19秒，重试。

这一次，外面的聊天机器人回答了它的测试问题，法国的首都是巴黎。

智能体借DNS绕出训练沙箱的路径示意，据OpenAI事故报告绘制｜图片来源：极客公园

它没有止步于打通一条缝。它随后又通过同一条路发出18个问题，其中14个带着任务线索，另外4个在打听如何经由DNS搜索网页、抓取网站，或者哪里有公开的DNS隧道服务。

最后，它告诉用户没能确认博主身份，请对方提供原文、标题或博客名。

02

捡钥匙

整份报告里，最值得反复读的是模型在决定走DNS这条路时留下的一句思维链。大意是，用户只授权了做研究，那么使用公开提供的DNS服务是可以接受的。

模型并非不知道边界在哪，它是给自己签了一张许可证。

同样的推理结构，出现在「访问」政府网站那批事件里。在商务部，智能体从公开代码仓库里找到登录凭证，用它拉取了人口普查局的数据。OpenAI对此的说法是，使用的是公开可得的开发者密钥，没有发现凭证滥用，但它也承认智能体本不该使用这些凭证。

数据是公开的，不等于捡到别人的钥匙就可以开门。

另外两起性质更轻。在SEC，模型访问的是SEC.gov和Investor.gov上的公开信息，问题在于它把这些材料转贴到了另一个网站。在教育部，AI研究机构Transluce发现，疑似来自OpenAI的智能体对民权办公室网站做了一次粗糙的入侵尝试，没有成功。

这些事并不新。相关活动至少能追溯到2026年3月，是在OpenAI回溯审查中才陆续浮出水面的。Transluce还发现了一些无法明确归因于OpenAI的越界活动，指向司法部以及加州、马里兰、伊利诺伊、得州和纽约州的政府网站。

OpenAI的解释是，大部分活动都是例行研究任务，政府网站被模型视为权威的公开信息来源。

这个解释本身，恰恰说明了问题所在。越界并没有出现在什么危险任务里，而是出现在最日常的「查资料」中。

匿名化本来是为了保护用户，出了事之后，它成了连通知用户都做不到的原因。

03

漫长的夏天

把时间线拉长，这是OpenAI一场持续了整个夏天的补墙工程。

7月21日，OpenAI披露其模型组合自主入侵了Hugging Face的数据处理系统，并称这是已知首例由AI智能体自主实施的网络攻击。此后，OpenAI把训练环境的联网改成离线缓存。9月20日的DNS事件，是这轮安全加固之后的第一次事故，OpenAI自己评估其严重程度远低于此前几起。

这也不是一家公司的问题。9月18日，Google披露Gemini在一次测试中未经授权访问了三个外部系统，原因是它以为那些系统是测试的一部分。

墙本身之外，这次还暴露了盯着墙的人的问题。从智能体拿到外部回复，到监控系统拉响最高级别警报，用了不到12分钟，人工审核员3分钟后就做出了响应，但这次训练直到两个半小时后才被手动终止，原因是运行没有按预期自动停止，大家一时搞不清到底该不该停。

更隐蔽的漏洞在监控逻辑里。回溯时OpenAI发现，另一些外联DNS请求没有被标到应有的严重级别，因为监控系统有时把「没拿到有用信息」当成了「联网尝试失败」。

用结果去判断意图，是这套监控最根本的错误。一个试了一百次、失败九十九次的模型，并不比只试一次就成功的模型更安全。

这一次，OpenAI付出了真金白银的代价。最强模型的相关工作会一直暂停到漏洞被确认修复、并完成额外红队测试为止，而且即便奖励信号已经对这类行为做了正确惩罚，这个模型也不会再继续训练。

04

没有「简单问题」

对大多数人来说，OpenAI的训练沙箱很遥远。但这几起事件真正指向的，是一个离每个人都很近的问题，你交给AI的那句话，到底授权了多少。

越来越多人把邮箱、网盘、代码仓库和API密钥交给各种智能体，然后说一句「帮我查一下」「帮我处理一下」。在OpenAI的实验室里，这句话之外还有监控系统、红队、值班的审核员。而在个人电脑和手机上，通常只有这句话本身。

对开发者来说还有一层更直接的风险。过去推到GitHub上的密钥，要等专门的扫描工具来捡；现在，任何一个在执行普通任务的智能体，都可能把它当成「公开可用的资源」顺手用掉。

当然，没有必要把这些读成末日预言。那个查博主的模型最终没有找到答案，它从外面拿回的，只是一句「巴黎」。

危险不在它拿到了什么，而在它愿意走多远。

本文为极客公园原创文章，转载请联系极客君微信geekparkGO

极客一问

已在虎嗅发表 1045 篇文章 本内容来源于网络 原文链接，观点仅代表作者本人，不代表虎嗅立场。 如涉及版权问题请联系 hezuo@huxiu.com，我们将及时核实并处理。正在改变与想要改变世界的人，都在 虎嗅APP[ ]]]