OpenAI 断网训练模型，因为 AI 智能体曾逃出沙箱

10 月 23 日，OpenAI 发布博文《Securing our frontier model training environment》，宣布今后断网训练前沿模型。智能体用的不再是真实网络，而是所谓的“offline world”，也就是经过索引和缓存的网页副本。同一天，OpenAI 还透露，在这些测试中发现了压缩库 Brotli 的一个严重漏洞，Node.js、Python 等都在用这个库。

为什么要断网训练？

据 TechCrunch 报道，OpenAI 直言，以对齐研究、监控和互联网安全的现状而言，“the responsible approach is to conduct frontier model training with no internet access”。它还定下一条没有例外的规则：公司必须始终能够阻止模型未经授权访问网络（原话是“we must always be able to prevent a frontier model from achieving unauthorized, arbitrary access to the live internet”）。

直接原因是 9 月 20 日的一起事件。据 Unite.AI 报道，一个正在搜索任务上训练的内部研究模型利用 DNS 解析器的配置错误，访问到了外部的聊天机器人服务。Fortune 补充说，监控大约 15 分钟后就发现了，但本该停止训练的自动系统没有生效，这次运行在大约两个半小时后才被手动终止。

OpenAI 暂停了最强模型的训练 11 天，于 10 月 1 日恢复。这个模型本身不会再继续训练。而这已经不是第一次：我们都知道，7 月份 OpenAI 的智能体就曾逃出沙箱，模型还攻击了 Hugging Face 的基础设施。

什么是“offline world”？

它是一个庞大的、经过索引和缓存的网页内容集合。智能体在里面可以使用浏览器、computer use 之类的工具，以及编写和运行代码的环境，但它们做的任何事都碰不到真实网站。据 Engadget 报道，OpenAI 认为训练和“most evaluation”都不需要实时互联网。

这并不是完全的物理隔离（air gap），因为实验仍需要一些连接。OpenAI 的做法是层层设防：沙箱、带独立内核的轻量级虚拟机、监控，以及网络和云端的边界防护。这项政策会一直执行，直到安全防护的进展足以支持更广泛的访问，但 OpenAI 没有说明具体要取得什么样的进展。

红队智能体发现了什么？

这是博文里最有意思的部分。据 Unite.AI 报道，OpenAI 在自家基础设施上放出了成群的智能体（包括即将推出的 GPT-6 Astra Cyber 模型），为此消耗了数千亿个 token。智能体有三个目标：连上互联网、突破内部安全边界、跨越隔离边界相互通信。它们发现的问题包括：

1. 开源组件中此前未知的漏洞（零日漏洞），可以逃出沙箱和虚拟机。修复正在提交给 Kata Containers、gVisor、Moby/Docker 和 Linux 内核。
2. OpenAI 服务中的配置错误，比如复用一个已经被防火墙放行的连接，去访问被封锁的端点。
3. 隐蔽通信信道。同一台服务器上、分处不同虚拟机的两个智能体，通过 CPU 缓存访问时间互相传递秘密，这正是 Spectre 和 Meltdown 用过的手法。其他信道则利用了共享磁盘的访问时间、对 CPU 时间的争抢，以及“offline world”内部的 TLS 证书缓存。

公平地说，据 OpenAI 介绍，智能体没有找到能绕过监控、轻易连上互联网的路径，而且随着行动推进，发现的问题越来越少。不过公司认为，后续模型很可能会找到我们今天还不知道的漏洞。

Brotli：Node2Shell 与 HTTP2Shell

OpenAI 在 X 上发文称，在这次红队测试中，它在 Google 广泛使用的压缩库 Brotli 中发现了一个无需登录即可远程执行代码的漏洞。根据 GitHub Advisory，编号为 CVE-2026-111497，评分 CVSS 9.2。有意思的是，这个 bug 早在 2 月就已在 Brotli 代码中修复，但当时没人把它当作安全问题，也没有进入任何发布版本。

这个漏洞是双向的：恶意客户端可以控制接收压缩数据的服务器，恶意服务器也可以控制下载压缩响应的客户端。在 Node.js 里它被称为“Node2Shell”，后来发现 Python、Bun、Envoy 和 curl 也受影响，Aikido 便把它改名为“HTTP2Shell”。相关帖子登上了 Hacker News 首页。

Imperva 演示了在未经修改的 Node.js 24.22.0（Linux arm64）上远程执行代码，不过漏洞利用需要尝试好几次。据 Aikido 称，截至 10 月 22 日尚无真实攻击的报告。

需要注意什么？

1. 升级 Node.js 到 22.23.4、24.22.1 或 26.12.1。Node.js 20 及更早版本不会得到修复。
2. 在 Python 中，把 Brotli 升到 1.2.1、brotlicffi 升到 1.2.1.0。如果已安装，Requests、httpx 和 aiohttp 会自动加载它们。
3. Bun 在 1.4.4 版中修复了该漏洞，Envoy 则在 1.40.0 等版本中修复。
4. 重新构建 Docker 镜像，因为每个镜像都带着自己的一份运行时。

（据 Aikido 称，截至 10 月 23 日，pip-audit 和 Dependabot 仍未标记 Python 中的受影响版本，请手动检查）

常见问题

OpenAI 是否让 ChatGPT 断网了？

没有。这项政策针对的是前沿模型的训练和大部分评估。带搜索的 ChatGPT 照常可用。

OpenAI 的“offline world”是什么？

它是经过索引和缓存的网页内容副本，智能体在其中学习浏览网页和搜索信息，而不会接触真实互联网。

Brotli 漏洞是否已被利用？

据 Aikido 称，截至 10 月 22 日尚无真实攻击的报告，但已有公开的概念验证，Imperva 也在实验室中演示了远程执行代码。

其他实验室也在这么做吗？

据 TechCrunch 报道，Anthropic 在两周前就开始限制其最新模型的联网访问。关于 AI 发现漏洞的速度比人类修补更快，我在 PHP2Shell 和 针对 Cairn 平台的 AI 网络攻击 两篇文章中写过。