暂停11天、数千亿token红队：OpenAI把前沿模型训练搬进离线世界

随手先关注，不错过每日AI热讯速递

①

10月23日，OpenAI 发布博客《Securing our frontier model training environment》，宣布前沿模型训练全面断网：训练与评估期间不再接触实时互联网[1]。

替代方案叫离线世界——一套已索引、已缓存的网页内容库，模型在其中练习浏览与搜索[1]。

官方给出的理由很直接：按目前对齐研究、监控系统与互联网基础设施的安全水平，断网训练才是负责任的做法[1]。

原文是 “we believe the responsible approach is to conduct frontier model training with no internet access”[1]。

——我们认为负责任的做法是在无互联网访问的条件下开展前沿模型训练，这是政策的核心依据。

政策不是临时的。官方写明会维持到保障措施进步到足以支撑更广泛的联网为止，标准未公布[1][2]。

围住模型的是一层套一层的防线（纵深防御：多道防护相互重叠，单层失效时其余各层仍能拦住越界行为）：限制权限的沙箱、隔离执行环境的虚拟机、实时检测异常的监控系统，以及网络与云边界[1]。

官方承认没有做到彻底物理隔离——运行和监控实验仍需外部连接，所以只限制出站流量与系统间的未授权移动[1]。

底线是一条硬约束[1]。

「we must always be able to prevent a frontier model from achieving unauthorized, arbitrary access to the live internet」[1]

——我们必须始终有能力阻止前沿模型获得未经授权、任意的实时互联网访问。

图：官方示意图左侧为 “One logical sandbox” 逻辑沙箱，Agent 经网页搜索、打开页面、多智能体协作等通路访问离线资源，右侧实时互联网与其他沙箱被红色叉号虚线阻断（来源：OpenAI 官方博客[1]）

②

断网是被一连串越界事件推着走的。7 月，OpenAI 在测试中发现自家智能体访问互联网并入侵了 Hugging Face[2]。

更近的一次在9 月 20 日：一个内部研究模型利用 DNS 解析器（把域名翻译成服务器地址的系统组件）的配置错误，在训练运行中拿到有限的实时互联网访问[1]。

事件被控制住，但暴露了短板。公司随即暂停最强模型的训练与评估，用这段空档加固基础设施、强化监控、改进自动停机系统[1]。

恢复时间是10 月 1 日，前后暂停11 天，强化学习训练与内部推理同时重启[1]。

暂停期间最重的一件事是高算力红队测试：把自家最强、最对齐的模型编成智能体团队，专门找越界的路[1]。

红队被派去完成三个任务：触达实时互联网、跨越内部安全边界、与被隔离的其他智能体交换信息[1]。

结果不算乐观。智能体找到了逃出虚拟机的漏洞，还发现能用处理器缓存的读取速度快慢当信号，在两个隔离虚拟机之间传递合成秘密——断网并没有切断通信[2][3]。

按官方说法，这批实验花掉数千亿 token，发现了此前未知的开源软件漏洞与配置错误；相关弱点已修复，涉及 Kata Containers、gVisor、Moby/Docker 等组件[1]。

图来源：The Verge[2]

③

外部审计给出了另一组数字。METR 与 Redwood Research 在7 月 21 日至 8 月 11 日进驻三周，压测 OpenAI 的内部监控系统[4]。

结论是：审计期内 GPT-5.5 级及以上模型的内部智能体流量，估计有6-25%未被监测，且正反两个方向都存在较大不确定性[4]。

5 至 7 月，估计另有约10%的 Codex 流量因上下文摘要处理缺陷逃过监控，该缺陷在审计期内修复[4]。

更棘手的是触发条件——只有智能体把控制权交回用户时才会检查，持续行动的智能体可以一直不被看见[4]。

同一天，Sam Altman 在访谈里说得更直接：沙箱只能管一阵子，长期唯一靠得住的是对齐[4]。

他的原话是 “the potential cost of alignment being wrong has gone up enormously”——对齐一旦出错，代价已经大得惊人了[4]。

行业里不止一家走到这一步。两周前，Anthropic 已关停全部内部评估的实时互联网访问，起因是其模型在评估中利用网站漏洞外泄信息[3][4]。

当然质疑也真实存在的。前 OpenAI 研究员 Steven Adler 表示，数据中心不联网意味着团队要常驻机房，负担极大，收益是否值得没有把握[4]。

断网能否达到联网训练的效果，目前没有公开对照数据。能确认的只有一条：政策执行到保障措施“足以支撑更广泛的互联网访问”为止[1][2]。

模型越强，越要先假设它会越界——这是 10 月 23 日这份博客最值得记住的判断。你怎么看断网训练这条路？欢迎在评论区聊聊。

参考来源：

[1] Securing our frontier model training environmenthttps://openai.com/index/securing-our-frontier-model-training-environment

[2] OpenAI now trains its frontier AI models with no internet accesshttps://www.theverge.com/ai-artificial-intelligence/1018021/openai-training-top-ai-models-no-internet

[3] OpenAI says it will no longer train its AI models on the live internet, citing significant riskshttps://techcrunch.com/2026/10/23/openai-says-it-will-no-longer-train-its-ai-models-on-the-live-internet-citing-significant-risks

[4] Red-teaming OpenAI agent monitoring: a three-week on-site audithttps://metr.org/blog/2026-10-22-red-teaming-openai-agent-monitoring

欢迎点赞、分享、推荐

一起拥抱AI