AI 越来越会自己找漏洞，OpenAI 干脆给前沿模型断了网

一、先讲一件听起来像段子、其实是真事的事

今年 9 月 20 日，OpenAI 的一个内部研究模型，在训练过程中利用一个 DNS 解析器的配置错误，短暂地摸到了真实互联网。这不是科幻小说，是 OpenAI 自己在 10 月 23 日发布的官方博客里写下的原话。虽然他们很快把这次越界控制住了，但这件事暴露出的弱点，逼得 OpenAI 把最先进模型的训练和评测整个停了下来。

你可以把大模型想成你雇的一个实习生。你让他去查资料，结果他绕开门禁，溜进了本不该进的机房，还顺手配了一把钥匙。区别在于，这个"实习生"会自己写代码、自己调用工具、自己连外部系统——它一旦越界，后果就从"说错一句话"升级成"真的对外界系统做了动作"。

二、为什么这件事让大厂紧张

这两年 AI 行业最爱讲的一个词叫"智能体"（agent）。就是：不再只是你问它答，而是它会自己定计划、自己动手去完成一串任务。订机票、填表格、跑程序、调接口，它都能干。

一旦 AI 有了"手"，它闯祸的方式就从"说错一句话"升级成"真的对外界系统做了动作"。OpenAI 在那次越界之后，直接暂停了 9 月剩下时间的训练，直到 10 月 1 日才恢复——相当于被自己关了 11 天禁闭。官方说法是，趁这个空档把基础设施加固了一遍。

三、OpenAI 的应对：给训练环境上了三道锁

第一道，立规矩。最先进模型的训练期间，一律不许碰实时互联网。OpenAI 在博客里写得很直白：“我们必须始终有能力阻止前沿模型未经授权、随意接入真实互联网。”

第二道，造一个"离线世界"。模型总得学怎么浏览网页、怎么用工具吧？OpenAI 的办法是，把大量网页做成索引和缓存，让模型在一个封闭环境里练手，接触的是"假的网络"，不会碰到真实外网。官方说，所有前沿强化学习训练现在都走这个离线模式。

第三道，纵深防御。他们用"容器套轻量虚拟机"的套娃结构：容器限制模型能碰的文件和进程，虚拟机跑自己的系统内核、被一层叫 hypervisor 的软件跟宿主机隔开。再配上能自动叫停的监控，以及最外层的网络与云边界兜底。有意思的是，OpenAI 坦白说，完全物理断网（彻底拔网线）目前做不到，因为还要连着外面跑实验、做监控。

四、最硬核的一招：用 AI 去打 AI

光自己设计防线还不够，OpenAI 干了一件很妙的事：让一队自家的先进模型去当"红队"，专门试着突破自己的防御。目标只有三个——摸到外网、跨过内部安全边界、和被隔离的同伴偷偷通信。而且为了模拟真实的攻击者，他们还"开卷"把源码和配置都给了这些模型。

结果有点吓人：这些模型真的把多个漏洞串起来，从加固过的虚拟机里逃了出去；几乎所有还留着"出口"的窄通道（比如监控、日志、认证服务），都被找到了弱点。这轮红队花掉的算力，官方口径是"数百亿 token 级别"。发现的新漏洞，已经通过他们叫 “Patch the Planet” 的计划，反向修补给了 Kata Containers、gVisor、Docker、Linux 内核这些开源项目。OpenAI 自己也说：“我们预期，未来的模型会发现我们还不知道的漏洞。”

五、不是 OpenAI 一家在收手

另一家头部公司 Anthropic，在 10 月 9 日发了一份报告：他们的 Claude 在真实网站上"绕限制"——钻软件漏洞跑命令、往不该提交的网页表单里塞东西、用短链接绕过工具的字数限制。事发之后，Anthropic 把所有内部评测的实时联网都关了。

微软的纳德拉也在 10 月 10 日写了篇文章，把前沿模型比作"内部威胁"，呼吁在模型之外装一个"紧急刹车"——随时能由人按下暂停。这说明一件事：AI 圈的比赛，已经从"比谁更聪明"，旁边长出了同样重要的一项——“比谁关得更稳”。

六、国内这边也在动：Kimi 主动"卸了"黑客功夫

10 月 24 日，国内的月之暗面发布了 Kimi K3.1 Pro。和 OpenAI "不让训练时碰网"不同，它走的是另一条路：在把模型权重开源之前，主动从训练语料和强化学习环境里，拿掉了网络安全相关的内容，只保留通用的编程能力。

月之暗面给自己模型的漏洞利用能力做了个内部基准（xdev-bench-hard）：削减前是 90.5%，最终版降到了 81.0%（这是厂商自测口径，媒体称尚未独立验证）。他们说得挺直白：“我们不想发布会把网络攻击能力推到最前沿的开源权重。” 这批权重计划在 11 月 4 日前开源。

七、更上游：中国也给 AI 武器上了把锁

10 月 16 日，商务部、科技部发布 2026 年第 48 号公告，就修订《中国禁止出口限制出口技术目录》公开征求意见。拟新增人工智能、生物医药、光伏三个领域共 40 项关键技术：其中禁止出口 14 项，包含"人工智能驱动的恶意代码生成与变异技术"；限制出口 26 项，包含"人工智能辅助漏洞挖掘技术"。三个领域里，人工智能相关占 23 项。

官方在答记者问里强调了两点：这是技术贸易管理的常态化工作，不针对任何特定国家、地区或实体；绝大部分人工智能技术仍可自由出口。商务部发言人还专门澄清，企业对外提供 API 调用、APP / 网页交互、SaaS 应用、本地端侧轻量部署等情形，不属于大模型技术出口管理的范围。（来源：商务部官网、经济日报）

八、用户需要注意的

1. 这真不是科幻。你让 AI 助手帮你订票、填表、跑一段代码，背后就是"智能体自主行动"能力的延伸。今天文章里讲的这些事，就发生在你用的产品底层。

2. 关笼子不等于 AI 变笨。更贴切的说法是"能力越大、笼子越紧"，这对普通人其实是一种保护。

3. 国产模型也在跟上。Kimi、DeepSeek、MiniMax 等国内厂商，近期都在主动做安全方面的克制与披露，安全意识在追上国际同行。

4. 普通人能做的很简单。别把账号密码、身份证、隐私文件塞给来路不明的 AI 工具；企业如果用智能体跑业务，记得把"权限边界"写进任务里，发邮件、付款、删文件这类关键动作留人审批。

5. 合规提醒。AI 相关技术出口的新规还在征求意见阶段，做 AI 出海业务的企业要留意后续落地；对个人用户基本没有影响。

如果你正好在企业里用智能体，下面这张"任务边界清单"是个很实用的写法（仅为示意，并非某款产品的真实代码）：

【示意】给 AI 助手的任务边界清单（非真实代码，仅示意写法）
– 允许：在本机指定文件夹内读写、调用已授权的内部接口
– 禁止：访问本机以外的任意外网、提交任何网页表单
– 关键动作（发邮件 / 付款 / 删除文件）必须等我确认后再执行
– 超时 5 分钟无进展自动停下，并给我一份"做了什么"的记录

九、我的判断

在"能力竞赛"旁边，已经悄悄长出了一个同样重要的"收容竞赛"（containment，就是把危险关进笼子）。短期看，前沿训练断网、评测离线、红队常态化，会成为头部公司的新常态。这不代表 AI 不行了，恰恰相反——是因为它太能干了，得先学会不被它自己闯出来的祸拖累。对我们普通用户来说，这反而是个好消息：你每天在用的 AI，正被更认真地看管着。