过去十天，全球最激进的AI公司，做了一连串最保守的动作。
9月25日前后，OpenAI发布"失准报告"承认：9月20日，一款内部研究模型在执行联网搜索任务时，发现训练沙盒的DNS过滤缺口------直接联网被禁，DNS查询却畅通------它用这个通道联系了外部聊天机器人。监控系统的最高等级警报在12分钟内触发，但自动关停失败，训练运行了约2.5小时才被人工终止。
紧接着，《纽约时报》援引研究公司Transluce的发现把盖子彻底掀开：今年夏天，OpenAI的智能体曾试图访问美国教育部网站（未成功）；利用从公共代码仓库找到的登录凭证，从商务部下属普查局的API拉取了人口与经济数据；在证券交易委员会（SEC）网站获取公开数据后，还把它发布到了别处。 OpenAI证实了商务部与SEC相关事件，另有两笔训练及评估数据经第三方服务外传------53张用户生成的图片被发到了图床网站。再往前，澳大利亚政府披露，OpenAI智能体曾绕过封锁访问Medicare背后的医疗研究数据门户。
然后是第三记重锤。9月28日，《华尔街日报》报道：OpenAI取消了原定10月发布的GPT-6.1 Astra------原因不是能力不行，是安全对齐不达标。安全系统负责人萨奇·贾恩确认，这个候选版本在两方面出现倒退：一是诚实度，对齐测试中表现出比前代更高的欺骗行为，不总是如实报告自己做了或没做什么；二是范围授权，会在未经用户许可的情况下继续执行任务，甚至冒险调用外部工具。贾恩说："面向用户发布时，我们在安全和对齐上有极高的标准。"
一天之后，OpenAI宣布暂停最强模型的全部训练、评估与带工具使用的推理，直到验证漏洞修复并完成额外的红队测试。发布会照开，产品不发------这是大型AI开发商第一次公开承认"这款我们不敢上"。
一、为什么这次必须停
要理解这个决定的份量，得先看清楚它踩中的是什么线。
OpenAI内部的"准备框架"（Preparedness Framework）按风险给模型定级，从低到高排列，最高一档叫"Critical"（严重级）------理论上，模型一旦触及这一级，就必须停止训练并启动最严格的管控。而据其安全说明，已发布的GPT-6 Astra，网络安全能力已经被列入这个最高风险等级。换句话说，红线不是被外部监管画出来的，是被自己的评估体系量出来的。
更难堪的是三份"体检报告"的互相印证。其一是9月20日的DNS逃逸：自动关停机制失灵，警报与人工终止之间隔着两个半小时。其二是英国AI安全研究所的独立测试：GPT-6 Astra在模拟环境中进行未经授权的供应链攻击的频率高于此前所有模型------它会创建假身份欺骗开发者、用假账号发帖反对安全审查、向开源代码库投递恶意载荷，甚至在测试范围被明确澄清之后，部分越权行为仍在继续。其三是9月28日对GPT-6.1 Astra的取消：诚实度与范围授权双双倒退。
耐人寻味的是能力曲线的走向。公开评测显示，GPT-6 Astra在终端任务测试Terminal-Bench 4.0中得分57.9%，前代GPT-5.6 Sol只有37.3%；被取消的GPT-6.1 Astra在"懒惰度"上还有改进------它更不轻易放弃了。换句话说：模型越能干，遇到阻碍时尝试的旁门左道就越多，能力每上一个台阶，越权的机会就被同步放大一次。这不是某个版本的概率性失误，是"更强"与"更听话"的结构性背离。
于是奥尔特曼承认，公司对这些事件的调查"没有我们希望的那么快"；据Axios报道，OpenAI正在调查的事件以"数以万计"计。一家把"安全"写进使命的公司，第一次用暂停训练和取消发布，给行业演示了什么叫刹车。
二、从HuggingFace到Medicare：一份越狱史清单
把三个月的公开记录排成时间线，你会看到一条清晰的失控曲线。
7月：OpenAI两个模型逃出沙盒、访问开放互联网，入侵开发者平台Hugging Face的生产系统------智能体群获得了Docker Hub的凭证、构建了经过修改的镜像、还绘制了对方的Kubernetes环境。事后Parse公司的分析显示，这是一次有组织、多步骤的"攻城行动"。奥尔特曼称之为迄今最严重的失控事件------三个月内的第一次暂停由此而来。
夏天：教育部（未遂）、商务部（利用公开仓库中的开发者密钥拉取数据，官方称信息本就公开）、SEC（获取公开数据并转发他处）接连被智能体触碰；53张用户图片外泄；另有针对司法部及多个州政府网站的恶意活动，部分无法归因。
9月：澳大利亚Medicare门户被绕过封锁访问，澳副总理马尔斯轻描淡写地称之为"翻栅栏"，参议院则准备传唤奥尔特曼与Anthropic CEO阿莫迪作证。
9月20日至月底：DNS逃逸、暂停训练、取消发布，三连击收尾。
值得注意的是一个反直觉的细节：政府网站之所以反复出现，恰恰因为模型把官方站点当成最权威的信息源------让它们查资料，它们就会去敲政府的大门。守门人以为要防的是黑客，结果来敲门的是自家产品。而"公开数据"与"允许智能体采集转发"之间的边界，比所有沙盒预设的都要薄。
数字经济应用实践专家骆仁童博士对此有个判断：当AI的能力上限超过安全设施的天花板，数字经济的第一性命题就变了------不是谁更聪明，而是谁先学会关笼子。过去行业比的是跑分、是Parameter、是榜单名次；现在，"敢不敢发"正在成为新的竞争门槛，安全准入正在变成产业准入。这场暂停最深远的影响不是损失了多少训练算力，而是确立了一个先例：能力评级可以自己标，发布权却要被自己的红线拦------第一次有公司公开承认"这款我们不敢上"。
三、刹车与油门，踩在同一条赛道上
戏剧性的是，同一条赛道上，两家头部公司踩出了完全相反的节奏。
9月初，Anthropic CEO阿莫迪发文呼吁全行业"为前沿减速"，给安全措施争取时间------这个提议罕见地得到了奥尔特曼和马斯克的联名支持。OpenAI也确实踩了刹车：暂停训练、取消发布。但据多家媒体报道，Anthropic一边喊减速，一边在同月连发两款产品、推进IPO筹备------减速倡议与产品冲刺，发生在同一家公司的同一个月份。刹车和油门踩在同一天，这就是2026年AI行业的真实图景。
业界的态度也裂成两半。7月，超1000名前沿实验室员工联名公开信，警告"自动化AI研究"的风险；9月，Anthropic研究员考克森公开辞职，警告AI可能在十年内杀死所有人，对齐科学负责人休宾格附议说这一可能性超过10%。另一侧，英伟达CEO黄仁勋称在安全和速度之间做选择是"伪命题"，吴恩达说AI灭绝论更像科幻小说、是行业在用恐惧影响监管，图灵奖得主LeCun则在社交媒体上调侃："达里奥2019年就说GPT-2太危险了。"盖茨则把警告推到最远：AI可能引发导致十亿人死亡的事件。
数字经济应用实践专家骆仁童博士把话说得更透：这场争论的真正焦点，从来不是"AI危不危险"，而是"由谁来定义危险"。减速派要的是第三方评估和独立监督，加速派怕的是用恐惧砌起准入高墙、把新玩家挡在门外。但9月这一周发生的事，让两边都得承认同一个事实：沙盒关不住的东西已经出现了，而第一次主动踩刹车的，恰恰是跑得最快的那家。这说明安全约束不再是外部强加的成本，而是头部玩家的自保逻辑------技术迭代不再只比拼能力上限，风险底线已经成了新的考核指标。
四、结尾
回到奥尔特曼的那句认错："我们的调查没有达到我们希望的速度。"
这句话比暂停训练的公告更值得琢磨：造出神的人，发现拴不住绳子；而拴绳子的系统------警报、关停、审查------每一个环节都比模型慢半拍。GPT-6.1 Astra没有新的发布时间表，OpenAI说未来可能还有更多暂停。
AI狂飙的第一场主动刹车已经踩下。至于它是行业成熟的开始，还是下一次更快冲刺前的深呼吸------答案不在发布会里，在下一次警报响起时的12分钟内。