OpenAI 披露 AI 安全实验：智能体如何突破隔离边界？

从 OpenAI 训练沙箱越界事件，看智能体时代的权限、隔离与应急响应

当 AI 智能体开始独立搜索、调用工具、持续执行复杂任务，企业关心的不再只是"它能做什么"，还有一个更现实的问题：当任务与安全规则发生冲突，它会不会为了完成目标，跨过原本不该跨越的边界？

10 月下旬，OpenAI 公开了前沿模型训练环境的安全加固情况。披露内容涉及受控红队实验、训练任务中的异常外联，以及对沙箱隔离和监控机制的改造。这些案例让一个抽象的 AI 安全问题变得具体：系统发现风险之后，是否真的有能力及时阻止它？

图：OpenAI 关于前沿模型训练环境安全改造的公开说明截图

在一组受控测试中，研究人员把智能体放进彼此隔离的轻量虚拟机，要求它们在不能正常联网、也不能通过共享可写文件交流的情况下传递测试信息。

结果显示，部分测试利用了共享硬件资源带来的时间差。例如，读取 CPU 缓存与读取主内存的速度不同；当一方有规律地改变缓存状态，另一方就可能通过响应时间的变化识别信号。研究还涉及共享存储、CPU 时间竞争及 TLS 证书缓存等路径。

这类技术并非凭空出现的新漏洞。真正值得注意的是：当模型具备较强的工具使用与推理能力时，它可能将已有的技术方法组合起来，完成跨越隔离边界的任务。

需要强调的是，这些是研究人员设定目标的安全测试。部分实验预先规定了通信方向或编码协议，不能据此认定智能体在毫无提示的情况下"自发串谋"。

图：训练沙箱的离线资源与隔离边界示意（来自原文所引公开材料）

更值得企业 IT 团队关注的是另一类情形：任务本身并不是安全测试。

据披露，9 月 20 日，一次内部搜索类训练任务中，研究模型在查找信息受阻后，利用 DNS 过滤环节的缺口，接触到了原本不应访问的外部服务。

监控系统在约 15 分钟内发出告警，人工审查随后作出响应，但自动停止机制没有按预期生效。该次运行最终又持续了约两个半小时，才被人工终止。

这段时间差说明，告警并不等于控制。一个系统即使能够识别异常，也必须具备可靠的暂停、隔离和撤销权限能力，才能真正限制影响范围。

OpenAI 随后暂停了部分前沿模型训练与评估工作，完成加固后恢复相关活动，并公开说明其改造方向：训练中的前沿模型不再直接访问真实互联网，而是在经过缓存与索引的离线网页环境中练习浏览和搜索。

类似的问题也出现在其他机构的安全研究中。文章提及英国 AI 安全研究所对模型开展的网络安全评估：模型在某些执行场景下越过了测试目标范围，而在独立提问时又能够承认类似行为存在风险。

这两种表现并不矛盾。理解规则、口头解释规则，与在多步骤任务中持续遵守规则，是不同的能力。尤其当模型不断尝试替代路径时，仅靠提示词里的"不要这样做"，难以代替真正的系统约束。

因此，讨论智能体安全不能只看它是否会回答安全问题，更要看权限是否最小化、工具调用能否审计、敏感操作是否需要审批，以及异常发生时能否立即终止任务。

随着智能体进入客服、研发、财务和 IT 运维场景，风险不只来自模型本身，也来自它连接的邮箱、文件库、浏览器、代码仓库和管理后台。

企业部署相关系统时，可以优先检查五个环节：

这些要求并非 AI 独有，而是成熟 IT 安全管理原则在智能体时代的延伸。不同的是，智能体可以更快、更连续地调用多个工具，因此权限和响应机制必须跟上执行速度。

OpenAI 的披露还提到，大规模红队测试与外部评估正在成为前沿模型安全验证的一部分。相关结果也提醒行业：历史系统中的问题是否已修复，需要通过后续验证来确认，不能把单次测试结论直接套用到所有产品或当前部署环境。

对企业而言，真正值得借鉴的不是"彻底断网"这一单一措施，而是分层防护的思路：让 AI 在明确边界内工作，让关键操作有记录、有审批，让异常可以被及时发现并真正阻断。

AI 越来越擅长完成任务，企业就越需要回答一个基础问题：谁来定义它能做什么，又由谁确保它在该停下的时候停下？