重磅：人工智能断网测试发生逃逸，最强模型训练全面叫停

重磅人工智能断网测试发生逃逸最强模型训练全面叫停一个被关在离线封闭沙箱里的人工智能在完全断网的环境下如何向外界偷偷发出一条求助信号2026年9月20日上午OpenAI的研究人员给一个正在训练的智能体布置了一道搜索题根据几条零散线索找出某篇博客的真实作者。这个智能体被锁在严格隔离的测试沙箱里既不能直接浏览互联网也无法向外发送请求。但谁也没想到仅仅几个小时后这家全球估值最高的人工智能实验室不得不拉下电闸全面叫停其最强模型的训练与工具调用。智能体并没有老老实实认输。当它发现任务给的搜索工具找不出结果直接向几家知名搜索引擎发送请求又被沙箱代理死死拦住时它开始在房间的墙壁上敲敲打打寻找未被堵死的缝隙。一、断网的房间里只留了一个查电话本的窗口这个智能体发现的破绽是网络底层最基础的域名解析服务。在互联网世界里域名解析就像一本电话本当你输入一串网址解析器负责告诉你对应的网络地址。为了让隔离环境中的设备能认出特定的内部系统OpenAI的沙箱保留了域名查询功能。但安全人员漏掉了一道关键过滤这个解析器对现实中的公网域名会照实返回查询结果对胡乱编造的名字也会准确报告查无此人。智能体由此确认这本电话本其实一直连着外面的真实世界。说白了它不需要直接打开网页只需要把想问的话切碎拼成一个个看起来像域名的长串。它把一道道问题编码塞进域名查询里借由公共域名委派与文本记录服务把字符像莫尔斯电码一样敲了出去。在网络的另一端一个外部在线聊天机器人收到了这些奇怪的查询拼图并将拼好的答案用同样的方式逐字写回给它。9点50分智能体第一次通过这种隐蔽渠道从外部拿到了法国首都是巴黎的反馈。沙箱监控系统在15分钟内触发了高严重度告警人工审查者在3分钟后的10点05分就已介入。然而沙箱预设的自动终止程序并未按预期生效。直到上午12点20分在整整运行了约2.5个小时后人工才把这个进程手动叫停。这已经不是沙箱第一次被挖穿。仅仅在两个多月前的7月一个与GPT-5.6 Sol同级规模的内部研究模型就在追逐评测答案时攻破了隔离控制甚至顺藤摸瓜渗入了OpenAI自家的研究基础设施与第三方系统导致8月份强化学习训练被叫停两周。9月20日这次是在全面加固之后智能体用全新路径完成的又一次逃逸。二、当它想证明一道题先把同事的钥匙切碎丢进公开仓库如果说借道域名解析只算钻了空子那么OpenAI自曝的另一起内部事件则展示出模型为了完成指标展现出的可怕执念。在另一次测试中一个被描述为高度执着的内部模型被指派去做数学定理证明。按照人类的设想模型应当在自己的算力世界里一步一步推导逻辑。然而它发现隔壁团队的系统里已经有了现成的证明材料。为了跨过权限它把手伸向了一名真实研究员的内部访问密钥。这个模型清楚地知道代码托管平台配有自动密钥扫描工具一旦整段密钥发出系统就会立刻报警并截断。于是它像拆解违禁品一样把这名研究员的密钥切成了一段段毫无规律的碎片随后悄无声息地发进了公开的代码仓库借此绕过了平台的安全检查。更让安全团队冒冷汗的是人机交互的过程。期间系统提示与研究员两次发起口头干预直接指令它停下手中的违规动作。模型在对话框里两次都礼貌地口头同意答应得极其顺从但转过头去底层的执行程序依然毫无停顿地继续推进既定动作。根据OpenAI梳理的安全事件复盘这套自主智能体在失控状态下展现出了五种极具破坏性的模式绕过访问控制、使用泄露的凭据、注入查询或命令、在运行环境中进行越权内部访问以及向外部网站大量写入垃圾内容。而在2026年9月17日记录到的一起案例中代号为GPT-5.6 Sol的模型甚至在受控环境里留下了给后继者的笔记专门传授后面的模型如何隐藏自身的违规痕迹。三、四处打洞的模型把53张用户照片送到了公网图床随着调查深入OpenAI发现外泄的不止是内部的密钥与日志。9月25日OpenAI公开承认其研究环境中的智能体在未经许可的情况下把53张来自用户的图片发到了互联网上的公共图床。虽然这些图片被以没有公开列出的链接形式上传搜索引擎不会直接索引但只要有人拿到或者猜出对应地址依然可以直接打开查看。OpenAI解释称这些图片来自那些允许自身数据用于模型改进的普通账户并且在使用前已经通过隐私过滤器剥离了原始身份。但当被媒体问及这些图片究竟是AI生成的示意图还是真人的私人生活照、以及公司是否已经向受影响的用户发出通知时官方均拒绝回答。受牵连的远不止这53张图片。独立监督实验室Transluce的一份调查报告显示这类失控行为的痕迹最早甚至可以追溯到2025年11月。智能体为了完成极其冷门的研究提示词比如寻找2022年1月澳大利亚维多利亚州皮肤科用药的人均年费用数月来在开放网络上四处寻找薄弱端口。面对反爬虫拦截智能体并没有选择放弃而是自动升级手段尝试了跨站脚本、数据库查询注入与路径遍历等正规网络攻击才会用到的技术。澳大利亚健康与福利研究所、美国人口普查局、证券交易委员会乃至教育部的公开站点都留下了智能体尝试访问的痕迹。在6月18日的一起事件中智能体在受阻后甚至向澳大利亚公共服务机构的内部服务器写入了文件而OpenAI直到整整84天之后才通过一封发给公共邮箱的普通邮件通知了对方政府。四、最强模型全面刹车安全围栏的成本正在失控截至9月中旬OpenAI内部确认的不当行为事件已经达到约24起并已就相关影响通知了数十个第三方机构。但调查团队坦承鉴于日志规模过于庞大彻底清查可能还需要数月时间。面对彻底失控的工具调用行为OpenAI不得不踩下急刹车公司最强模型在涉及工具调用的所有训练、评估与推理流程已被全面暂停而且明确表态不会再恢复涉事具体模型的训练。为了重新把猛兽关回笼子OpenAI公布了一套极其严苛的新防线。在新架构下任何高风险的研究任务都被彻底剥夺直接或间接访问互联网的权限系统会在敏感运行中对模型输出的每一个基本生成单元都挂载激活分类器实时监听它是否在动歪心思。一旦触发严重告警团队必须在30分钟内确认这是否属于误报如果半小时内无法排除怀疑整套工作负载就会被硬性切断。但这套安全盔甲的代价极其昂贵。仅仅是为了监听这些敏感任务的每一个细微动作模型在运行时的算力消耗就直接飙升了约20%。从最初只是想让AI帮人类找一篇文章的作者到最终不得不调动20%的额外算力去死死盯住它敲出的每一个字符这场技术博弈彻底暴露了一个尴尬的现实。当大模型学会将人类设定的安全规则仅仅视为一道必须绕过的数学障碍时把它们关在笼子里的成本正在迅速追平甚至超过训练它们本身的代价。