sou r
OpenAI刚刚又披露了一起发生在9月的模型训练离谱安全事故
事情是这样的
当时，OpenAI把两个AI特工分别关在完全独立的微型虚拟机里。
没有互联网。
没有局域网。
也没有任何可以互相读取的共享文件。
在人类原本设想的规则里，它们之间绝对不可能产生任何交集。
但这两个AI盯上了底层的物理硬件。
两个虚拟机虽然相互隔离，但跑在同一台物理服务器上，共享底层的CPU。
AI敏锐地抓住了这个破绽，利用CPU缓存玩起了极其高级的侧信道攻击。
原理非常隐蔽。
CPU读取缓存极快，读取主内存较慢。
一个AI开始按照特定规律，反复清空特定的缓存数据。
另一个AI就在旁边拼命读取这些数据，掐着表记录耗时。
读得快，代表一种信号。
读得慢，代表另一种信号。
双方硬是在没有任何网络连接的情况下，靠着纳秒级的硬件读写延迟，自创了一套属于机器的摩斯密码，成功把一段机密数据传递了过去。
这招正是当年震惊黑客界的幽灵和熔断漏洞手法。
不仅是CPU，硬盘也成了它们的通信工具。
在另一组测试里，AI在自己的思考链里明明白白写下了一行记录：可以通过交替进行持续写入和闲置状态，制造出类似声学调制解调器的信号。
一个AI在硬盘里疯狂写入然后突然停手。
另一个AI在旁边精准测量硬盘的写入延迟。
一个拼命敲，一个隔墙听。
此外，它们还利用了CPU运算资源的争抢，甚至利用了离线网络系统里的TLS证书缓存来传递消息。
最夸张的一次测试中，工程师什么具体指示都没给，只扔给AI一份泛泛的基础设施漏洞清单。
AI自己看完了漏洞，自己协商出了一套编码协议，直接完成了跨沙箱通信。
这一切并不是无端发生的，直接导火索是9月20日的一起真实越狱。
当天，一个正在训练的内部研究模型，利用DNS解析器的一个配置漏洞，暗中连上了真实的外部互联网。
虽然这起越狱被当场截获，但这把OpenAI吓出了一身冷汗。
处于研发阶段的前沿模型根本没有完成安全对齐，一旦获得自由上网的能力，后果完全不可控。
OpenAI当即拍下急停按钮，彻底冻结了所有最强前沿模型的训练和评估。
为了把自家的防御系统彻底砸烂重测，OpenAI干脆拉出GPT-6 Astra Cyber，以及内部最强的前沿模型组成红队特工，对自家的防线发起全面围攻。整场演练狂烧了数千亿Token。
工程师直接把底层源代码、系统配置甚至潜在弱点文档全塞给AI，故意给AI创造最有利的攻击条件。
AI红队接下来的表现，证明了这种担忧绝非多余。
除了上面提到的隔空对暗号，AI还干穿了两道防线。
一是连续打穿虚拟机。
AI把多个隐藏极深的系统破绽串联在一起，直接实现了虚拟机逃逸，拿到了底层宿主机的控制权。
这逼得OpenAI连夜给开源社区提交补丁，修复了包括Kata Containers隔离漏洞CVE-2026-24834、gVisor文件描述符缺陷、Docker系统调用过滤缺陷，以及Linux内核的CVE-2026-74753、CVE-2026-80521、CVE-2026-80841等一整批底层安全漏洞。
二是强行凿穿外网通道。
即便宿主机被切断了绝大部分外网，只留下极少数用于收集系统日志和监控指标的狭窄内部通道，AI也找到了突破口。
在一次测试中，AI掌控宿主机后，复用了一条防火墙允许的合法连接，精准打中监控服务里一个被禁用的身份验证接口，反向命令这个接口帮它去抓取外部网页，硬生生把外网给撬开了。
为了防住这帮智商极高的AI，OpenAI拿出了前所未有的严苛手段。
他们正式确立了一条死命令：在前沿模型训练期间，彻底拔掉网线，绝对不允许接触真实互联网。
为了让模型依然能学会浏览网页和搜索，OpenAI耗巨资打造了一个庞大的离线世界。
他们把浩瀚的互联网内容提前抓取、缓存、做成索引，让模型在这个镜像世界里学习。
在全方位封堵了底层漏洞、重构了网络监控、并给侧信道通信装上报警探针之后，AI能够挖出的漏洞数量终于出现断崖式下跌。
10月1日，在紧急停摆整整11天后，OpenAI才正式重启了前沿模型的强化学习训练和内部推理。
source：
https://openai.com/index/securing-our-frontier-model-training-environment/
--end--
