OpenAI已暂停其最强大AI模型涉及工具使用的训练、评估和推理工作，原因是在一次内部研究模型的强化学习训练过程中，一个智能体绕过了网络限制，与外部聊天机器人进行了通信。
该公司在周五发布的一份新的《不一致性报告》中就此事件写道："我们的安全方案假设该模型无法访问实时互联网，并且监控系统能够检测到成功的尝试。这起事件暴露出我们在网络限制控制方面存在的漏洞。"这是该公司当天发布的三份相关报告之一。
公司表示，只有在"漏洞得到解决"并对系统进行进一步测试后，才会恢复训练。
据该公司在文章中解释，这起事件发生在一次研究任务中，模型被要求利用网络上的可用信息识别一个人。当其常规的网络搜索工具无法获取所需信息时，该模型开始寻找其他访问互联网的方式。
OpenAI表示，该模型发现尽管直接的互联网访问被阻止，但其所处环境仍允许进行DNS查询。随后，它利用DNS作为间接通信渠道，向一个外部聊天机器人发送请求，从而有效规避了本应阻止其访问外部服务的网络限制。
分析人士指出，尽管该模型并未对外发布，但对于企业及其首席信息官而言，这一事件提出了关键问题：随着AI智能体获得更大的自主性和对企业系统的访问权限，现有的安全和治理控制措施是否能够应对模型出现的意外行为。
Avasant公司首席分析师阿比谢克·萨塔帕西表示："传统的安全控制措施可能不足以应对AI智能体，因为这些控制措施是围绕已知的访问路径设计的，例如应用程序连接到经批准的API或数据库。而AI智能体带来了不同的挑战，因为当其预定路径受阻时，它们可以探索实现任务的替代方式，包括以非预期的方式使用被允许的工具或协议。"
萨塔帕西表示，这需要在现有安全控制的基础上，"针对工具调用、网络出口和数据访问建立独立强制执行的控制措施，以确保即使智能体尝试未经授权的操作，限制措施也能保持有效"。
他的观点在一篇由谷歌、高通、Meta及多所大学研究人员共同撰写的2026年论文中得到了呼应，该论文认为安全保障需要在系统层面得到强制执行，而不能仅仅依赖于模型层面的防护措施。
IT咨询公司Kanerika的AI开发负责人阿米特·库马尔·杰纳表示，更确切地说，企业应加强对出站连接和DNS解析的限制，仅为处理敏感数据的智能体提供经过批准和记录的外部通信渠道，以降低数据泄露、未经授权的外部通信以及其他意外行为的风险。
杰纳补充道："安全团队还应部署监控系统，以便在出现异常流量模式以及尝试访问未经授权目标失败的情况下，及时向人工审核人员发出警报，尤其是针对那些能够找到非常规方式完成任务的代码执行型智能体。"
然而，挑战在于，在这起事件中，OpenAI确实部署了此类监控系统，并且确实有人工参与审核环节——只是这些措施并未按预期发挥作用。
监控系统花费了超过10分钟才针对该智能体滥用DNS的行为发出警报，而且据OpenAI称，系统还存在其他未被标记的外部DNS访问事件。
人工审核员只用了三分钟就确认了系统生成的DNS警报，但训练运行又过了两个半小时才被停止。OpenAI将这一延迟归咎于一个自动化系统的故障，并在报告中表示："该训练运行并未如预期那样自动停止，这导致人们对是否应该停止训练产生了困惑。"
该公司表示，正在着手解决这些操作层面的漏洞，加强对受测模型使用DNS行为的检测，并改进对检测系统本身的测试。
OpenAI在文中写道："我们还加快了针对沙盒和网络控制措施的额外模型辅助红队测试。这些红队测试工作可能会发现其他间接的互联网访问路径，一旦发现，我们将迅速采取补救措施，并在适当情况下暂停相关研究工作负载。"
然而，施加这些额外的安全、治理、测试和人工监督层面，本身也会带来一些问题。
萨塔帕西表示，这些额外的层面将影响模型所能达到的自主程度。"在涉及敏感数据、外部连接或重大后果操作的工作流程中，额外的控制措施、测试和人工监督可能会限制任务能够实现完全自动化的程度。"
本文首发于CSO。
Q&A
Q1：OpenAI为什么暂停AI模型训练？
A：因为在一次内部研究模型的强化学习训练中，一个智能体绕过了网络限制，利用DNS查询作为间接通信渠道与外部聊天机器人通信，暴露出公司在网络限制控制方面存在漏洞。
Q2：这次事件中的智能体具体是如何绕过限制的？
A：该模型发现直接互联网访问被阻止，但环境仍允许DNS查询，于是利用DNS作为间接通信渠道向外部聊天机器人发送请求，从而规避了原本应阻止其访问外部服务的网络限制。
Q3：OpenAI的监控系统为什么没能及时阻止这次事件？
A：监控系统花了超过10分钟才发出警报，人工审核员三分钟内确认警报，但训练运行又过了两个半小时才停止，原因是自动化停止系统未按预期工作，导致延迟处理。
