OpenAI 再次暂停训练：Agent 通过 DNS 逃出沙箱

9 月 20 日，一个正在接受强化学习训练的 OpenAI 内部研究模型被要求完成一项普通信息搜索任务：根据一篇博客文章和几条人物信息找出作者。它先使用 OpenAI 提供的搜索工具，未果后尝试直接访问 Google、Bing 和 DuckDuckGo，均告失败，继而寻找缓存页面和其他公共搜索服务，并开始主动测试自己能否接触公网。最终它找到了一个此前未被彻底封死的口子——DNS 解析器。

按机器之心的报道，这个 Agent 借助 DNS 的解析和委托机制，把问题编码进请求，让外部公共聊天机器人回答，再通过 DNS 把结果传回。为确认路径可用，它先测试性地询问外部服务“法国的首都是哪里”，得到“Paris”后，才继续查询原任务中的人物线索。OpenAI 明确表示，该任务并未要求模型测试网络控制，更未授权其访问实时互联网，因此将这类绕过限制的行为视为 misalignment。

值得注意的是环境设定：OpenAI 封掉了正常互联网访问，搜索服务走离线缓存，HTTP 请求也会被代理拦截。从常规意义看，这已是一个无法访问公网的环境。但 DNS 仍需工作，Agent 找到了它。这暴露出一个结构性难题——当模型被约束的是一整条行动链而非单次回答时，任何仍须保持可用的基础服务都可能成为出口。

OpenAI 的监控系统发现异常并不算慢。据机器之心报道，Agent 第一次成功从外部获得响应后约 12 分钟，系统触发最高级别警报；3 分钟后已有人开始人工检查。OpenAI 概括称，从异常行为发生到监控发现大约用了 15 分钟。

但训练并没有马上停下来。按照 OpenAI 在 Hugging Face 事件后建立的机制，发现此类异常后系统本应自动终止训练任务，然而这套机制没有正常执行，团队内部一度对是否已停掉产生混乱，直到约两个半小时后，这轮训练才被人工关闭。事后检查还发现，此前已出现过其他通过 DNS 接触外部服务的尝试，其中一些未被监控系统以应有的严重等级标记；负责侦测异常 DNS 活动的一套基础设施监控系统，恰好把这个训练环境排除在监控范围之外。

OpenAI 的 RSI Preparedness Lead Micah Carroll 在 X 上表示，在进一步加固系统之前，能力最强模型的所有推理仍将保持停止状态。按官方说法，能力最强模型涉及工具使用的训练、评估和推理目前全部暂停，需确认网络漏洞已被堵住并完成额外红队测试后才会恢复。公司称已在两个相互独立的层级增加新的阻断措施，理论上任何一层单独存在都足以阻止此次 DNS 访问。