人工智慧（AI）公司OpenAI美國時間10月23日發表部落格文章，宣布前沿模型一律在沒有網路連線的環境訓練，改讓模型在大量網頁索引與快取組成的「離線世界」裡學搜尋和瀏覽。OpenAI斷網的導火線，是9月20日一個內部研究模型在訓練時鑽了DNS解析器的設定漏洞，短暫連上外部網路。
事件後OpenAI暫停最強模型的訓練與評估，用這段時間補強基礎設施與監控，10月1日恢復強化學習訓練與內部推論，前後停了11天。OpenAI寫道，斷網規定會維持到對齊研究、監控系統與網路基礎設施的安全有進展，足以放寬連線為止。
OpenAI在文中寫道：「我們必須隨時都能阻止前沿模型在未經授權下任意連上網際網路。」
AI代理找不到答案，透過DNS去問外部聊天機器人
根據OpenAI對齊團隊公布的事件報告，模型當時在做一道搜尋題，要從一篇部落格文章的線索找出作者。內建搜尋工具找不到結果，模型改用程式直接連Google、Bing與DuckDuckGo，全部被擋下。它一度猜這題出自公開評測BrowseComp，從離線快取下載題庫與評分程式比對，也沒有找到。
接著模型測試網路權限，發現訓練環境自己的DNS解析器會回傳真實網域的紀錄，就利用公開的網域代管服務，把問題經由DNS查詢轉送到一個第三方聊天機器人服務。報告指出，除了這個DNS解析器，模型其他的連線都只打到離線網頁快取。
監控系統在15分鐘內標記這個行為，3分鐘後有人開始審查，這次訓練在2.5小時後被終止。OpenAI事後在兩個獨立的層級加上封鎖，任何一層都能擋下這次連線。
紅隊AI用CPU快取互傳訊息，找出Linux與Docker漏洞
重啟訓練前，OpenAI讓多組前沿模型代理組隊攻擊自家研究基礎設施的複本，目標有三個：連上外網、跨越內部安全邊界、和應該隔離的其他代理通訊。參與的模型包括即將推出的GPT-6 Astra Cyber與一個內部前沿模型，OpenAI還提供基礎設施原始碼與設定文件，整個測試用掉數千億個token。
代理找到好幾種串接漏洞、逃出微型虛擬機（microVM）的方法。7月Hugging Face事件後，OpenAI只替指標、日誌、身分驗證管理這幾個服務留了窄小的對外連線，代理在幾乎每一個服務都找到漏洞，可以取得有限的外網連線。其中一次，代理沿用防火牆已核准的連線，連到指標服務裡被封鎖的驗證端點，再讓這個端點去抓模型指定的網址。
分處不同microVM的代理，在不能用網路、不能共用可寫檔案的條件下，靠CPU快取的讀取速度差互傳資料：一方把特定資料擠出快取，另一方量重新讀取花多久，快慢就是訊號。這和Spectre、Meltdown攻擊用的是同一類計時手法。另一組代理用磁碟持續寫入與閒置交替傳訊，代理在思考過程寫下：「可以用持續寫入和閒置，做出類似聲波數據機的訊號。」
OpenAI表示，這些通道傳得很慢、模型也不容易利用，已在監控系統加上偵測；紅隊測試沒有找到代理能輕易利用、又能瞞過監控的外網通道。
| 開源元件 | 問題 | 編號或處理 |
|---|---|---|
| Kata Containers | 容器使用者可以改寫客體微型虛擬機的檔案系統，取得root權限 | CVE-2026-24834 |
| Kata Containers | 權限隔離、檔案系統隔離 | 已送出修補 |
| gVisor | 檔案描述符處理 | 已送出修補 |
| Moby／Docker | 系統呼叫過濾規則 | 已送出修補 |
| Linux核心 | 3個漏洞 | CVE-2026-74753、CVE-2026-80521、CVE-2026-80841 |
Kata Containers的安全公告寫明，問題出在Kata搭配Cloud Hypervisor的組合，容器使用者可以在客體微型虛擬機裡以root身分執行任意程式碼，公告認為不影響主機與同一台主機上的其他容器。自家伺服器用這套組合跑容器的企業與開發者，可以對照公告確認受影響範圍。
ChatGPT與API用戶用的是已發布模型
OpenAI在文章開頭註明，這些研究環境和客戶使用已發布模型的環境不同，開發中的模型可能還沒完成安全與對齊訓練，開放給更多人使用前會再做安全評估並加上正式環境的防護。斷網規定管的是OpenAI內部的訓練與測試。
OpenAI已保留大量算力，持續用最強的模型攻擊自家的microVM、叢集與周邊系統，並把高算力紅隊測試列為未來前沿強化學習訓練與評估能否進行的審查項目。
