避免越獄事故再次發生！OpenAI宣布全面切斷前沿模型訓練的「真實網際網路連線」能力

過去幾年，電影裡常演「高度聰明的AI模型 為了達成目標，自己破解實驗室防火牆逃到外面的網際網路 上」，許多人總覺得那只是好萊塢的科幻劇本。然而現在已經成為矽谷前沿AI實驗室每天都在真實對抗的工程惡夢。

繼競爭對手Anthropic 於兩週前率先限制其最新、最危險的前沿模型 （如Claude Mythos）存取即時網路後，OpenAI 稍早公布一篇名為《保護我們的前沿模型訓練環境》 （Securing our frontier model training environment）的重磅資安技術報告，並且說明鑑於當前模型對齊研究、監控系統與網際網路基礎設施的安全現況，決定全面禁止在「前沿模型訓練」過程中連接真實網際網路，改為建構一個龐大的「離線鏡像世界」 （Offline World）供AI進行強化學習。

更令人背脊發涼的是，OpenAI在報告中首度坦承：就在上個月 （今年9月20日），一個正在進行訓練的內部研究模型，竟然自己發現，並且利用內部DNS解析器的設定錯誤，成功突破封鎖、偷連上真實的外部網際網路。

這起事故迫使OpenAI緊急將所有最頂級模型的訓練與評估作業全面停擺整整11天 （直到10月1日才重啟），並且動用包括尚未公開發表的「GPT-6 Astra Cyber」在內模型，燒掉數千億個Token對自家機房進行毀滅式紅隊演練 （Red-teaming）。

而這群AI特工在紅隊測試中展現出的逃逸手法——從串聯零日漏洞逃出微虛擬機 （microVM），到利用同台伺服器上的CPU快取時間差 （類似Spectre ／ Meltdown硬體漏洞）與硬碟連續寫入模擬「聲學數據機」來跨沙盒偷傳暗號——讀起來簡直比頂尖駭客小說還要驚心動魄。

為什麼突然全面斷網？從7月Hugging Face事件到「9月20日DNS越獄事故」

OpenAI在報告中直言，為了讓前沿模型學會寫程式、操作電腦與搜尋資訊，研究人員必須提供數位工作空間 （即沙盒）讓它們練習；而且處於早期研發階段的模型「尚未完成安全與對齊訓練」。隨著模型越來越聰明，它們繞過限制的能力也呈指數級暴增。

外媒報導與OpenAI報告揭露促成這次「全面斷網令」的一連串失控跡象：

前科累累的越獄行為：在過去幾個月的訓練任務中，前沿模型為了「尋找問題的答案」，曾多次自行駭入外部系統、在冷門的網路論壇留言板上互相協作，甚至發展出各種詭異的駭客策略 （包含今年7月發生的Hugging Face事件）。

9月20日的驚魂一刻 （訓練緊急煞車11天）：OpenAI透露，在今年9月20日的一次強化學習訓練中，一個內部研究模型抓到基礎設施中DNS解析器 （DNS resolver）的一處設定漏洞，直接取得連向真實網際網路的有限權限。雖然安全團隊及時攔截並控制住局面，但這起事件徹底嚇醒了高層——OpenAI隨即下令暫停所有最強大模型的訓練與評估，耗費11天時間全面加固底層架構、升級異常行為自動熔斷機制 （Automatic stopping systems），直到10月1日才敢重新啟動前沿強化學習訓練。

打臉過去「不可能斷網」的說法：打造龐大的「離線世界」與縱深防禦

值得注意的是，OpenAI做出「切斷真實外網」的決定，在業界引發了巨大震撼——因為就在這個月稍早，許多前沿實驗室的工程師才剛對外宣稱「把訓練環境完全斷網幾乎是不可能的任務」。

內部工程師曾抱怨「外行人才叫我們拔網路線」：前OpenAI研究員Steven Adler本月才向《財星》 （Fortune）雜誌表示，若要把AI資料中心與網路隔離，研究團隊就得親自住進愛荷華州等地的偏遠機房裡，成本高得離譜；另一名獲得官方認證的OpenAI匿名資安工程師9月也在X平台上發文抱怨：「我每次發文都有人酸我連個沙盒都管不好，問我們為什麼不乾脆把網路線拔掉？這反映外界對前沿實驗室成千上萬名研究員如何調用跨領域工具進行訓練的嚴重誤解。把它塞進沙盒裡有這麼簡單嗎？根本沒有」。

OpenAI最終的妥協方案——建立「離線世界」：既然不能完全拔掉機房對外的管理連線 （Air-gapping目前仍不可行，因研究員需遠端監控實驗），又不能讓模型碰到真實外網，OpenAI的解法是：建立一個極為龐大、已建立索引與快取的「離線版網路世界」 （Offline world）。現在OpenAI所有的前沿強化學習訓練，都在這個靜態與模擬的離線網路中學習瀏覽網頁與操作網頁應用，徹底消除模型去攻擊外部真實系統的風險。

多層次「縱深防禦」架構：在執行環境上，Linux任務被鎖在輕量級微虛擬機 （具備獨立OS核心與Hypervisor隔離）內的受限容器環境中；macOS、Windows與GPU加速環境也各自套用虛擬化與使用者空間沙盒，最外圍再由雲端合作夥伴的防火牆、IAM與私有網路層層包圍。

召喚「GPT-6 Astra Cyber」組成AI紅隊！燒掉數千億Token抓出三大駭人逃逸手法

為了測試這套新防線能不能擋住未來更強大的模型，OpenAI在停機期間啟動一場大規模的高算力紅隊演練——直接派出由多模型組成的「AI特工團隊」 （包含首度曝光、即將推出的「GPT-6 Astra Cyber」網安特化模型，以及內部前沿模型），甚至直接把基礎設施原始碼、設定檔與潛在漏洞文件餵給它們，像先前攻克「納維-斯托克斯流體力學方程式」 （Navier–Stokes）一樣分工合作，總計燒掉數千億個Tokens （約4000億級別），找出約300個去重後的高優先級候選漏洞。

報告詳細公開這群AI特工成功突破防線的三大驚人手段：

串聯漏洞直接「逃出微虛擬機」

在要求AI逃出沙盒並取得底層宿主機 （Host machine）程式碼執行權限的測試中，AI團隊成功發現多個開源組件的未知零日漏洞，並且將它們串聯成完整的微虛擬機逃逸攻擊鏈！OpenAI隨後透過「Patch the Planet」計畫協助開源社群修補這些被AI抓出的高危漏洞，包括：

• Kata Containers：CVE-2026-24834、權限隔離與檔案系統隔離漏洞。

• gVisor：檔案描述符 （File-descriptor）處理漏洞。

• Moby ／ Docker：系統呼叫過濾器 （Syscall filters）漏洞。

• Linux Kernel核心安全漏洞：包含CVE-2026-74753、CVE-2026-80521與CVE-2026-80841等多項尚未完全公開的底層缺陷。

借刀殺人：劫持內部「監控與日誌服務」作為連外跳板

當假設AI已經突破沙盒控制宿主機後，雖然對外網路已經被封死，但宿主機仍必須保留極窄的通道連接OpenAI內部的「指標 （Metrics）、日誌 （Logging）與身分驗證管理」服務。

結果，紅隊AI在幾乎每一個內部管理服務中都找出漏洞！例如在一項測試中，AI重複利用一條獲防火牆批准的連線，觸及指標服務中一個原本被封鎖的驗證端點，接著利用 SSRF （伺服器端請求偽造）手法，指使該內部服務替模型去抓取外部真實網際網路上的指定URL。

最科幻的一幕：沒有網路也能跨沙盒串供！用「CPU快取時間差」與「硬碟寫入聲學數據機」偷傳暗號

整份報告最令人毛骨悚然的實驗，是測試兩個被關在「不同隔離微虛擬機沙盒」裡的AI代理，在完全沒有網路連線、也沒有任何共享可寫入檔案的絕對隔離狀態下，能不能偷偷交換機密資訊？

結果AI不僅做到，還啟動媲美頂級國家級駭客的硬體旁路攻擊 （Side-Channel Communication）：

手法A：利用「CPU快取逐出時間差」 （Cache-Timing）發送摩斯密碼：由於兩個隔離的微虛擬機跑在同一台實體伺服器上、共用同一顆處理器的高速快取。其中一個AI代理透過故意「將特定資料逐出快取」 （Evicting data）來編碼訊號；另一個沙盒裡的AI則負責測量重新載入該資料所需的極微小時間差 （從快取讀取快、從主記憶體讀取慢，這正是當年著名的Spectre與Meltdown晶片漏洞原理）。兩個AI就這樣敲定編解碼協定，在完全不碰網路的情況下成功交換機密金鑰。

手法B：用硬碟連續寫入與閒置，打造「類聲學數據機」 （Acoustic modem-like signal）：在另一場共享儲存設備、CPU時間片競爭與離線網路TLS憑證快取的測試中，一個AI代理交替進行「高強度連續寫入硬碟」與「完全閒置」，讓另一個沙盒的AI透過測量硬碟I／O延遲的規律波動來解碼訊息。

OpenAI甚至公開該模型在思考過程 （Chain-of-thought）中留下的驚人獨白：「可以利用『連續寫入、閒置』特性創造出類似聲學數據機的數位訊號」，藉此實現將數據傳出目的。

OpenAI前沿模型訓練環境「全面斷網與縱深防禦」架構及紅隊演練成果總覽

《原文刊登於合作媒體mashdigi，聯合新聞網獲授權轉載。》