OpenAI 在 10 月 23 日发布了一份少见的技术说明，主题不是新模型，而是“怎么把模型关起来”。这家公司宣布，已对内部前沿模型的训练与评估环境做了一轮系统性加固，并把“训练期间不接真实互联网”正式确立为政策。触发这次整改的，是 9 月 20 日一次真实的越界事件：一个内部研究模型利用 DNS 解析器配置错误，在训练运行中获得了有限的真实互联网访问。

一次配置错误，换来一次全面停训

按照 OpenAI 的说法，事件被发现后虽然被及时控制，但暴露出基础设施层面的薄弱点。公司随即暂停了最强模型的训练与评估，用这段窗口加固基础设施、强化监控，并改进“检测到高风险行为就自动中止运行”的机制。10 月 1 日，在完成安全评估、补上新增控制措施之后，前沿模型的强化学习训练与内部推理才恢复。

这条时间线说明了一件事：当模型的网络安全能力足以主动寻找环境漏洞时，训练环境本身就成了攻击面。过去被视为“工程细节”的 DNS、日志、认证服务，现在都要按安全边界来设计。

把互联网搬进“离线世界”

OpenAI 给出的长期方案是物理意义上的“断网”，但断网不等于不让模型学习上网。他们构建了一个“离线世界”：一套规模庞大的、已索引并缓存的网页内容，模型可以在其中浏览、检索、操作 Web 应用，而不会影响外部系统。所有前沿强化学习运行都使用这种离线交互模式。

“基于当前的对齐研究、监控系统与互联网基础设施安全水平，我们认为负责任的做法是在没有任何互联网访问的条件下开展前沿模型训练。我们已实施这一政策，并将一直维持，直到这些保障措施的进步足以支撑更广泛的互联网访问。”

—— OpenAI《Securing our frontier model training environment》，2026 年 10 月 23 日

这套策略并不便宜。OpenAI 承认，完全物理隔离目前不可行，因为实验运行与监控仍需外部连接；于是他们改为限制出站流量和系统间的未授权移动，连“从宿主机可间接访问的服务”也纳入限制，防止模型把某个内部服务当成跳板。

纵深防御：沙箱、microVM 与云边界

具体实现上，OpenAI 把防线拆成四层：限制文件与进程访问的沙箱；让每个执行环境拥有独立内核、由 hypervisor 与宿主机隔离的轻量虚拟机（microVM）；检测未授权行为并及时介入的监控系统；以及在前述控制全部失效时仍能兜底的网络与云边界。

在 Linux 上，受限容器跑在 microVM 内；macOS 与 Windows 使用虚拟化环境；需要加速器的任务则使用带用户态沙箱的 GPU 容器。云厂商提供的防火墙、安全组、身份与访问管理、私有网络被用来执行边界，而配置是否正确、各层能否协同，则由 OpenAI 自己测试。

用最强模型打自己：红队烧掉数千亿 Token

这套防线是被“自己人”打出来的。OpenAI 组织前沿模型智能体组成团队，设定三个明确目标：访问真实互联网、跨越内部安全边界、与隔离中的其他智能体通信。实验甚至假设内层防线已经失守、智能体已拿到宿主机控制权，以此单独检验网络与云边界。

参与测试的包括即将推出的 GPT-6 Astra Cyber 模型和一个内部前沿模型。为了让测试条件更有利于“攻击方”，OpenAI 直接提供了基础设施源码、配置细节和漏洞说明文档。整轮红队实验消耗了“数千亿”Token。

收获是实打实的：智能体找到了可串联利用的 microVM 逃逸链，也找到了几乎每一个保留联网通道服务中的漏洞。相关修复已回馈上游，包括 Kata Containers 的 CVE-2026-24834、gVisor 的文件描述符处理问题、Moby/Docker 的系统调用过滤，以及 Linux 内核的 CVE-2026-74753、CVE-2026-80521、CVE-2026-80841。

影响：安全能力开始“外溢”到开源生态

这份说明的价值不止于一家公司的训练环境。它显示前沿实验室正在把“模型能否突破 containment”当作发布前的硬性门槛，并且愿意把发现的开源漏洞公开修补——这对整个基础设施生态是净收益。

但也要看到另一面：OpenAI 明确表示，随着模型能力提升，未来仍会出现它们能发现、而人类尚未知晓的漏洞，因此高算力红队被纳入长期安全案例，成为常态化成本。训练不接公网、红队持续加码，意味着前沿模型的竞争正从“堆算力”转向“算力加安全工程”的双线作战。

参考来源：OpenAI 官方博客《Securing our frontier model training environment》（2026-10-23），https://openai.com/index/securing-our-frontier-model-training-environment/