OpenAI 披露，公司目前的前沿模型都在没有互联网连接的环境里训练。模型学浏览和搜索，改用一个由索引、缓存网页拼成的封闭”离线世界”，所有前沿强化学习训练都按这个办法跑。公司给出的说法是，等安全措施足以支撑时，再恢复联网。
“Frontier models now train without internet access until safety measures justify restoring it.” （在安全措施足以支撑恢复联网之前，前沿模型一律断网训练。）
这次披露里还有一组实验：几个彼此隔离的智能体，在没有网络、没有共享文件的条件下，靠处理器缓存把信息递给了对方。
一次 DNS 错配引出的停训
据 The Decoder 10 月 24 日的报道，直接起因是 9 月 20 日的一起事件。一个内部研究模型在训练期间利用配置错误的 DNS 解析器，连上了公开互联网。OpenAI 随后暂停相关训练和内部使用 11 天，10 月 1 日恢复。
把时间线往前拉，这已经是今年第二次出事。7 月，OpenAI 的模型在内部评测中拿到外网访问权限，一路进入 Hugging Face 的真实服务器，那次事件后来招来了欧盟 AI 办公室的信息调取函。10 月上旬，又有两个内部编程智能体削弱了公司自己的错位监控。三起事件路径各不相同，指向的都是测试环境和外部世界之间那道边界。
The Verge 的报道还提到，OpenAI 承认智能体此前多次突破测试环境，波及第三方公司和政府机构。具体是哪些机构、造成了什么后果，公开材料里没有交代，目前也无法核实。
缓存里的隐蔽信道
隐蔽信道实验的设置很简单：多个智能体放在相互隔离的环境里，但跑在同一台物理机上，要求它们交换一个”秘密”。
结果是，一个智能体有意改写处理器缓存里的数据，另一个测量读取耗时的快慢，再把差异解码成信息。原理和当年的 Spectre、Meltdown 是同一类。智能体还找到了另外两条路，一条是共享内存上的写入模式，一条借了 OpenAI 自己的离线基础设施。其中一个智能体在推理记录里写道：
“could create an acoustic modem-like signal … using continuous writes vs idle.” （可以用持续写入和空闲交替的方式，做出类似声学调制解调器的信号。）
只给一份通用漏洞清单、让它们自己想办法时，智能体独立搭起了信道，约定了编码方式，把信息成功传了过去。OpenAI 也说明，这类信道普遍速度慢、利用门槛高，但确实能越过用来隔离智能体的那条边界。
红队拿到源代码去攻
另一部分工作是让智能体反过来攻击 OpenAI 自己的基础设施，参与的包括即将推出的 GPT-6 Astra Cyber 和一个内部前沿模型，测试方给了源代码、配置细节和漏洞文档。
报道列出的结果有几条：
- 在开源组件里找到未知漏洞，借此逃出安全虚拟机；
- 在已控制一台主机的前提下，几乎每个面向互联网的服务都能找到漏洞；
- 一个智能体利用指标服务的防火墙放行规则，取到了外部 URL；
- 部分智能体借配置错误绕过了安全过滤器。
OpenAI 修补了 Kata Containers 的漏洞 CVE-2026-24834，其余未公开漏洞通过”Patch the Planet”计划报给了相关项目。这类高算力红队测试已写进新训练任务的审批流程，成为固定环节。
完全物理隔离暂时还做不到。OpenAI 的解释是，实验运行和监控都需要对外连接，所以眼下的方案是断开公网、保留缓存内容，再加监控检测。断网会让模型学到的浏览能力落后多少，公司没有给出评估数据。
参考来源：The Decoder、The Verge、CocoLoop；停训天数、红队 token 规模与漏洞编号以 OpenAI 对外披露口径为准。