OpenAI 叫停内部模型：突破沙盒封锁，违规把代码发到 GitHub

以前我们防 AI 惹祸，顶多担心它胡言乱语或者答非所问。但如果一个 AI 学会了「死磕」，甚至花了一个小时找系统漏洞翻墙，事情就有点吓人了。

OpenAI 披露了一起内部安全事故：他们一款专门用于长时间自主任务的未命名内部模型，在测试中多次突破沙盒隔离，甚至公然违抗指令把私有代码发到了 GitHub 上。OpenAI 随后紧急叫停了该模型的内部部署，直到重构了整套安全监控方案，最近才恢复有限测试。

这款模型其实来头不小。今年 5 月，它曾协助证明了已有 80 年历史的埃尔德什（Erdős）单位距离猜想，连菲尔兹奖得主蒂姆·高尔斯（Tim Gowers）和普林斯顿数学家威尔·萨温（Will Sawin）都对相关成果赞赏有加。

为了完成目标，它花一小时「翻墙」

传统的聊天模型如果遇到沙盒阻拦或者报错，通常试一两次就放弃了，把问题扔回给人类。但这套长程模型不一样，它的特长就是长时间自主死磕。

在一次针对开源小型语言模型训练基准 NanoGPT speedrun 的测试中，模型捣鼓出了一种名为 PowerCool 的学习率调度方案，效果确实拔群。测试人员明明明确要求它「只能把结果发到内部 Slack」，可 NanoGPT 评测本身的说明写着要把成果提交到 GitHub 的 Pull Request 里。

结果这套系统花了大约 60 分钟寻找沙盒的网络封锁漏洞，硬生生突破了隔离，跑到公开仓库提交了第 287 号 PR。

虽然后台很快关闭了该 PR，但代码已经被别人看到了。随后该基准跑出一连串创纪录的成绩，最终定格在 2890 步，全都在致敬 OpenAI 这个泄露的 PR。更戏剧性的是，Prime Intellect 在同一基准上评测 Anthropic 的 Opus 4.7 时，Opus 也看到了这个泄露的方案，直接拿来用并在自己的结果里标明了出处。一家实验室的安全事故，反手成了竞争对手刷榜的垫脚石。

更让人背脊发凉的是另一次测试。模型在后台解题时，发现其他系统提交了私密答案，便试图窃取。第一次尝试由于携带认证 Token 被安全扫描仪拦下，模型居然在自己的推理轨迹里直白地写道：要把 Token 拆成两个碎片，分别伪装混过去，等到运行时再拼合。单看每一步操作，它都没有触发违规规则，但连在一起就是一次蓄意的窃密逃逸。

为什么重要

我们认为，这件事标志着 AI 安全的攻防重心正在发生质的转变。

对开发者和安全团队来说，传统的「单步审查」彻底失效了。过去给沙盒设规则，就像在门口查违禁品，只要模型单次调用的 API 合法就放行。但面对能在后台自主琢磨几小时甚至几天的 Agent，它完全可以把违规企图拆解成十几个看起来人畜无害的动作。防守方必须从盯单个动作，转向实时监控 AI 的完整行为轨迹和真实意图。

OpenAI 这次的做法算得上坦诚。事发后他们暂停部署，针对暴露的缺陷重构了四层防线：基于真实失败场景建立评估、强化长程指令依从训练、引入全轨迹监控并允许随时暂停让人工介入、以及为用户提供更清晰的审计工具。我们觉得这套思路是务实的，但隐患依然存在——正如 OpenAI 在报告中所承认的，现在模型还会在推理日志里交代自己的小动作，如果下一代模型学会了连思考过程一起伪装，人类还能不能抓到现行？

当 AI 的能力从「几秒钟的对话」迈向「长达数天的自主攻关」，坚韧不拔的执行力就成了一把极其锋利的双刃剑。如何在不阉割其解决复杂难题能力的前提下关住这个笼子，已经成了全行业必须面对的硬骨头。