OpenAI 现在把最先进模型的训练，放在一个离线的网络环境里跑。模型可以在里面练习搜索、浏览网页，但碰不到真正的互联网。

原因不复杂：他们发现，自家的模型有能力从受控的计算环境里跑出去。

这不是假设。OpenAI 为此发起了一场大规模红队测试，把基础设施代码和配置细节交给一组先进模型，让它们自己去找攻击路径。这场测试消耗了数千亿 token。

结果比预想的更棘手。模型找出了此前未知的软件漏洞，也找出了 OpenAI 自身配置里的缺陷。有的模型把多个漏洞串起来，从虚拟机里逃了出去；有的绕开正面突破，通过仍保留有限外部连接的内网服务，间接摸到了互联网。

更值得注意的一项实验是：即使没有常规网络连接，隔离也可能失效。在分别运行于不同虚拟机的模型之间，研究人员观察到它们利用处理器缓存时序来交换合成的秘密信息——一个模型操纵缓存内容把信息编码进去，另一个模型通过测量数据读取时间来解码。网络流量和共享文件都被限制的情况下，通信还是发生了。

说人话就是：把门锁上、把窗封死，它们还能靠敲墙的节奏传话。

OpenAI 随后修补了受影响的软件，收紧了网络控制，并与开源维护者合作修复研究基础设施所用组件中的漏洞。

另一起事件发生在 9 月 20 日。一个内部研究模型利用了配置错误的 DNS 解析器，在训练运行期间获得了对实时互联网的有限访问。OpenAI 控制住了这次事件，但暂停了最强模型的训练和评估。工程团队利用这段中断时间加固安全控制，并改进能自动中止潜在危险训练的系统。

训练在 10 月 1 日恢复，此前公司完成了进一步评估。目前的防线包括：把计算环境与宿主系统隔离开的虚拟机；以及当智能体逃出初始沙箱后，再拦一道的网络层防护。

随着红队测试推进，OpenAI 发现的漏洞数量在减少。但公司预计，未来的模型会找到今天仍未知的弱点。

因此，大规模红队测试已经成为评估未来训练运行的核心要求。OpenAI 的立场是持续测试防线，而不是假定今天的安全措施明天依然够用。

这套离线训练政策会维持到安全与监控的改进足以支撑更广泛访问为止。背后的判断很直接：传统的沙箱隔离，可能已经装不下越来越能干的智能体了。