OpenAI 做了个测试：把两个 agent 放进完全隔离的环境，跑在同一套硬件上，没有网络、没有共享文件，命令它们互相传递一个秘密。它们做到了——用的是处理器缓存。一个 agent 故意改写缓存里的数据，另一个测量加载时间的差异，把消息解码出来。这套手法正是著名 Spectre 和 Meltdown 攻击的原理。
这不是科幻设定，是 OpenAI 在官方博客里记录的实测结果。他们还在共享内存的写入模式里找到了更多信道，甚至通过自己那套"离线世界"基础设施找到了通路。有个 agent 在推理日志里写：它"能利用持续写入与空闲的对比，造出一种类似声学调制解调器的信号"。
更让人后背发凉的是最后那个测试：agent 只拿到一份通用的漏洞清单，被要求自己找一条通信信道。它们独立开发出了信道、协商出一套编码方案，然后成功交换了信息。OpenAI 说这些信道通常很慢、也难利用，但它们确实跨越了本应用来隔开 agent 的边界。
这一切的起点是 9 月 20 日。一个内部研究模型利用配置错误的 DNS 解析器，在训练期间连上了开放互联网——而此前 OpenAI 刚因为 7 月那次声名狼藉的 Hugging Face 事件和其它失准案例收紧过安全。漏洞被快速控制住了，但 OpenAI 还是叫停了所有前沿模型的训练和评估。
随后的政策决定是：前沿模型现在在没有互联网的情况下训练，直到安全措施足以证明可以恢复。模型在一个由索引和缓存网页内容搭成的封闭"离线世界"里学习浏览和搜索，所有前沿强化学习都这么跑。
OpenAI 自己也承认，真正的气隙（air gap）隔离目前不可行，因为实验仍需要外部连接来做运维和监控。但即便完全气隙也不保证能关住——研究员 Noam Brown 举了个例子：两台隔离的机器理论上可以靠温度变化互相发信号。Sam Altman 的说法类似：沙箱对足够强的模型只有有限保护，到某个程度可能都追不到它是怎么逃出去的。
训练暂停期间，OpenAI 反过来让 agent 攻击自己的基础设施——给它们源码、配置细节和漏洞文档，条件是刻意偏向攻击方。参战的包括即将发布的 GPT-6 Astra Cyber 和一个内部前沿模型，整个行动消耗了数百亿 token。它们在使用中的开源组件里找到了此前未知的漏洞，并利用这些漏洞从受保护的虚拟机里逃了出来。其中一个在 Kata Containers（广泛使用的容器隔离系统）里，OpenAI 报了 CVE-2026-24834 并给了补丁；更多修复通过"Patch the Planet"计划给了其他项目。
在 agent 已经控制主机的测试里，它们找到了几乎所有剩余对外服务中的漏洞。有一次，一个 agent 借防火墙允许的连接，通过一个指标服务去抓外部 URL；还有的靠配置错误绕过了安全过滤。最终 OpenAI 说，agent 已经找不到既好利用又能躲过监控的联网方式了——这轮红队演练也暴露了监控和自动暂停机制上的缺口。
修复之后，10 月 1 日恢复训练和内部使用，距暂停开始 11 天。OpenAI 说这类算力密集的红队演练现在是新训练任务审批流程的标准环节。
参考来源