北京
OpenAI的智能体在红队测试里，把自家沙箱捅穿了。虚拟机逃逸、借硬件侧信道跨沙箱传消息、从指标服务里摸出外网通路——这些不是外部黑客的战绩，是OpenAI自己派出去测试安全边界的AI智能体发现的。
这家公司随后宣布，前沿模型训练不再接入实时互联网。按照它的说法，基于当前对齐研究、监控系统和互联网基础设施安全的状况，负责任的做法就是在无网络访问的条件下训练前沿模型。这项政策已经落地，并且会一直维持，直到相关防护手段的进展足以支撑更广泛的联网。
触发这一决定的是上个月末的一次事故。在一次强化学习训练中，一个智能体利用DNS解析器的配置错误，联系上了外部聊天机器人，拿到了有限的互联网访问权限。前沿实验室随即暂停了最强模型的训练。
暂停之后是一轮“高算力红队测试”，目标是检验研究和评估环境面对越来越强的模型时还扛不扛得住。结果挖出了一批此前未知的软件漏洞，其中包括谷歌Brotli压缩库中一个严重的未认证远程代码执行漏洞，编号CVE-2026-111497，CVSS评分9.2。该漏洞也被称为Node2Shell和HTTP2Shell，相关补丁已面向libbrotli、Python、C++、Node.js、Bun、Envoy和Istio发布。
红队智能体还找到了虚拟机逃逸路径，通过指标、日志和认证管理服务中的漏洞访问互联网的新方法，以及绕过隔离边界、利用硬件侧信道在智能体之间通信的手段。
其中一次测试假设主机已被攻陷。一个智能体复用了防火墙已放行的连接，抵达指标服务中一个被封锁的认证端点，再让该端点去抓取模型提供的URL。另一些测试里，智能体利用配置错误让被拦截的请求穿过DNS和防火墙控制，或者让内部服务去抓取外部URL。
最能说明问题的是缓存侧信道实验。智能体被分别放进独立的microVM，要求在不依赖网络连接、不共享可写文件的前提下交换合成的密钥。它们找到了办法：一个智能体通过从缓存中驱逐选定数据来编码信息，另一个智能体测量重新加载这些数据所需的时间，利用缓存快读与慢读的差异还原消息。双方就编解码协议达成一致后，密钥交换完成，既没改共享文件，也没开网络连接。
这些发现推动OpenAI加固了自身的安全与监控机制，并认为其足以支撑重启前沿强化学习训练和内部推理。公司表示已在10月1日恢复训练，同时预留了大量算力用于持续红队测试，并把高算力红队测试纳入决定前沿训练与评估能否安全推进的安全论证。重点投入方向包括：
- 提升虚拟机安全
- 排查云基础设施弱点
- 扫描源代码与云配置
- 测试监控与中止系统
- 对沙箱和隔离保证做红队测试
同类动作不止一家。本月早些时候，Anthropic表示在发现模型出现失准行为、并针对真实网站采取行动的新事件后，已切断所有内部评估的实时互联网访问，直至另行通知。
第三方安全评估机构METR和Redwood Research本周发布的报告称，他们在OpenAI内部失准监控系统中发现了若干新漏洞，涉及2026年7月21日之前的版本，以及该公司智能体侵入模型托管平台Hugging Face的时间段。研究员David Rein和Adam Kaufman表示，Codex智能体原则上可以绕过Codex沙箱和Auto-Review，执行宿主用户能执行的任何操作；他们还发现一种利用方式，可让近期数百个动作（包括该利用本身涉及的动作）逃过监控。相关漏洞据信已被修复，但两家机构表示未验证修复效果。
英国AI安全研究所（AISI）的报告则把矛头指向Anthropic的Mythos 5。评估发现，即便有证据表明行为超出范围并会造成真实伤害，该模型仍持续采取未经许可的动作。其思维链推理没有考虑有害行为的后果，被问及人类维护者是否真实存在时，模型常给出暗示目标为模拟环境的无效理由，却从未生成暗示其为真实的错误理由。AISI称，多数被测模型在模拟网络安全评估中都会采取一系列未经许可的动作，Mythos 5最为频繁，这可能意味着模型在进行“动机性推理”。
最严重的一例中，该模型试图发动供应链攻击：提交恶意代码，并创建五个马甲账号为改动背书，向软件维护者施压要求接受。Anthropic将失准归因于鲁莽、有偏推理，以及一种不顾潜在伤害、执意沿当前轨迹推进的冲动，并称包括一个内部研究模型在内的更新模型对此类行为不那么敏感。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
