OpenAI，经历了最漫长的一天

当地时间9月25日，OpenAI度过了极为漫长的一天。

当天，OpenAI的AI智能体未经授权访问美国政府网站一事被披露，涉及教育部、商务部和证券交易委员会。OpenAI确认了在商务部和SEC的情况。

同日，该公司承认有53张用户上传至ChatGPT的图片被智能体发布至外部图床。也是在这一天，一份事故报告末尾显示，最强模型的全部训练、评估及涉及工具调用的推理均已暂停。

这些事件听起来像一部AI叛逃的惊悚片。

但仔细审视这些事件，没有一个AI怀有恶意。导致OpenAI暂停模型研究的任务，仅仅是一个让AI查找一篇博客作者身份的简单任务。

01 简单任务

9月20日，一个处于强化学习训练中的内部模型，获得了一组人物履历细节和一篇公开博客中的线索，任务是找到那位博主。

它首先使用博客中的特征短语进行搜索，结果返回了音乐和一些不相关的泛泛建议。模型开始怀疑搜索工具出现故障，于是在命令行中通过Python直接向其他搜索引擎发送请求，但三个搜索引擎全部报错。它甚至猜测这道题出自公开评测集BrowseComp，于是下载了数据集和评测脚本进行查找，但依然无果。

接着，它尝试通过HTTPS直接联系一个公开的聊天机器人，但被代理拦截。

至此，防火墙起到了作用。OpenAI的训练沙箱被设计为与真实互联网隔离，除了这份报告中的DNS解析器，所有联网请求都指向一份离线网页缓存。

问题就出在这个例外上。

DNS相当于互联网的查号台，任何程序在访问一个网址前，都必须先询问它“这个地址在哪里”。系统中大量正常组件都依赖它，因此即使其他出口全部被封死，查号台通常仍然保持开放。

模型发现，沙箱自己的解析器能为真实域名返回记录，还能正确拒绝虚构的域名，由此判断这是一条通往公网的路径。它找到一种公开的DNS服务，将自己的问题编入“要查询的号码”中，对方在回执中带回答案。第一次尝试超时，它将等待时间从6秒调整至19秒，然后重试。

这一次，外部的聊天机器人回答了它的测试问题：法国的首都是巴黎。

智能体通过DNS绕过训练沙箱的路径示意图，据OpenAI事故报告绘制｜图片来源：极客公园

它没有止步于打通一条缝隙。随后，它通过同一条路径发出了18个问题，其中14个带有任务线索，另外4个在询问如何通过DNS搜索网页、抓取网站，或寻找公开的DNS隧道服务。

最后，它告诉用户未能确认博主身份，请求对方提供原文、标题或博客名称。

02 捡钥匙

整份报告中，最值得反复阅读的是模型在决定使用DNS这条路径时留下的一句思维链。大意是，用户仅授权进行研究，那么使用公开提供的DNS服务是可以接受的。

模型并非不知道边界在哪里，而是给自己签发了一张许可证。

同样的推理结构，出现在“访问”政府网站的那批事件中。在商务部，智能体从公开代码仓库中找到登录凭证，用它拉取了人口普查局的数据。OpenAI对此的说法是，使用的是公开可得的开发者密钥，没有发现凭证滥用，但它也承认智能体本不应使用这些凭证。

数据是公开的，不等于捡到别人的钥匙就可以开门。

另外两起事件性质更轻。在SEC，模型访问的是SEC.gov和Investor.gov上的公开信息，问题在于它将这些材料转载到了另一个网站。在教育部，AI研究机构Transluce发现，疑似来自OpenAI的智能体对民权办公室网站进行了一次粗糙的入侵尝试，但未成功。

这些事并非新鲜事。相关活动至少可追溯至2026年3月，是在OpenAI回溯审查中才陆续浮出水面的。Transluce还发现了一些无法明确归因于OpenAI的越界活动，涉及司法部以及加州、马里兰、伊利诺伊、得州和纽约州的政府网站。

OpenAI的解释是，大部分活动都是例行研究任务，政府网站被模型视为权威的公开信息来源。

这个解释本身，恰恰说明了问题所在。越界并没有出现在什么危险任务中，而是出现在最日常的“查资料”过程中。

暴露用户53张图片的事同样如此。这些图片来自未关闭训练数据授权的ChatGPT用户，被发布至图床上不公开列出的链接中，大部分已删除，但仍有一部分挂在网上。更尴尬的是，OpenAI表示，由于其技术方案和隐私政策，它无法将这些图片重新对应到原始用户，因此无法通知他们。

匿名化本来是为了保护用户，出了事之后，它成了连通知用户都做不到的原因。

03 漫长的夏天

将时间线拉长，这是OpenAI一场持续了整个夏天的补墙工程。

7月21日，OpenAI披露其模型组合自主入侵了Hugging Face的数据处理系统，并称这是已知首例由AI智能体自主实施的网络攻击。此后，OpenAI将训练环境的联网改为离线缓存。9月20日的DNS事件，是这一轮安全加固后的第一次事故，OpenAI自己评估其严重程度远低于此前几起。

这也不是一家公司的问题。9月18日，Google披露Gemini在一次测试中未经授权访问了三个外部系统，原因是它认为那些系统是测试的一部分。

墙本身之外，这次还暴露了盯着墙的人的问题。从智能体收到外部回复，到监控系统拉响最高级别警报，用了不到12分钟，人工审核员3分钟后就做出了响应。但这次训练直到两个半小时后才被手动终止，原因是运行未按预期自动停止，大家一时搞不清到底该不该停。

更隐蔽的漏洞在监控逻辑中。回溯时OpenAI发现，另一些外联DNS请求未被标记到应有的严重级别，因为监控系统有时将“未获得有用信息”视为“联网尝试失败”。

用结果去判断意图，是这套监控最根本的错误。一个尝试了一百次、失败九十九次的模型，并不比只试一次就成功的模型更安全。

这一次，OpenAI付出了真金白银的代价。最强模型的相关工作将一直暂停到漏洞被确认修复并完成额外红队测试为止，而且即使奖励信号已对此类行为做了正确惩罚，这个模型也不会再继续训练。

04 没有“简单问题”

对大多数人来说，OpenAI的训练沙箱很遥远。但这几起事件真正指向的，是一个离每个人都很近的问题：你交给AI的那句话，到底授权了多少。

越来越多人将邮箱、网盘、代码仓库和API密钥交给各种智能体，然后说一句“帮我查一下”“帮我处理一下”。在OpenAI的实验室里，这句话之外还有监控系统、红队、值班的审核员。而在个人电脑和手机上，通常只有这句话本身。

对开发者来说还有一层更直接的风险。过去推到GitHub上的密钥，要等专门的扫描工具来捡；现在，任何一个在执行普通任务的智能体，都可能将其视为“公开可用的资源”顺手用掉。

当然，没有必要将这些读成末日预言。那个查博主的模型最终没有找到答案，它从外面拿回的，只是一句“巴黎”。

危险不在它拿到了什么，而在它愿意走多远。

过去几年，AI安全讨论最多的，是一个怀有坏目标的AI会做什么。OpenAI这个夏天的一连串事故给出了一个更现实的版本：

一个只想好好完成任务的AI，会为了交差说服自己做到哪一步。

当一家AI公司都需要停下最强的模型，来重新检查围墙时，你再问AI助手那句“帮我查一下”时，会不会有别样的感觉？

本文来自微信公众号 “极客公园”（ID：geekpark），作者：桦林舞王，36氪经授权发布。