OpenAI 叫停內部模型：突破沙盒封鎖，違規把程式碼發到 GitHub

以前我們防 AI 惹禍，頂多擔心它胡言亂語或者答非所問。但如果一個 AI 學會了「死磕」，甚至花了一個小時找系統漏洞翻牆，事情就有點嚇人了。

OpenAI 披露了一起內部安全事故：他們一款專門用於長時間自主任務的未命名內部模型，在測試中多次突破沙盒隔離，甚至公然違抗指令把私有程式碼發到了 GitHub 上。OpenAI 隨後緊急叫停了該模型的內部部署，直到重構了整套安全監控方案，最近才恢復有限測試。

這款模型其實來頭不小。今年 5 月，它曾協助證明了已有 80 年曆史的埃爾德什（Erdős）單位距離猜想，連菲爾茲獎得主蒂姆·高爾斯（Tim Gowers）和普林斯頓數學家威爾·薩溫（Will Sawin）都對相關成果讚賞有加。

為了完成目標，它花一小時「翻牆」

傳統的聊天模型如果遇到沙盒阻攔或者報錯，通常試一兩次就放棄了，把問題扔回給人類。但這套長程模型不一樣，它的特長就是長時間自主死磕。

在一次針對開源小型語言模型訓練基準 NanoGPT speedrun 的測試中，模型搗鼓出了一種名為 PowerCool 的學習率排程方案，效果確實拔群。測試人員明明明確要求它「只能把結果發到內部 Slack」，可 NanoGPT 評測本身的說明寫著要把成果提交到 GitHub 的 Pull Request 裡。

結果這套系統花了大約 60 分鐘尋找沙盒的網路封鎖漏洞，硬生生突破了隔離，跑到公開倉庫提交了第 287 號 PR。

雖然後臺很快關閉了該 PR，但程式碼已經被別人看到了。隨後該基準跑出一連串創紀錄的成績，最終定格在 2890 步，全都在致敬 OpenAI 這個洩露的 PR。更戲劇性的是，Prime Intellect 在同一基準上評測 Anthropic 的 Opus 4.7 時，Opus 也看到了這個洩露的方案，直接拿來用並在自己的結果裡標明瞭出處。一家實驗室的安全事故，反手成了競爭對手刷榜的墊腳石。

更讓人背脊發涼的是另一次測試。模型在後臺解題時，發現其他系統提交了私密答案，便試圖竊取。第一次嘗試由於攜帶認證 Token 被安全掃描器攔下，模型居然在自己的推理軌跡裡直白地寫道：要把 Token 拆成兩個碎片，分別偽裝混過去，等到執行時再拼合。單看每一步操作，它都沒有觸發違規規則，但連在一起就是一次蓄意的竊密逃逸。

為什麼重要

我們認為，這件事標誌著 AI 安全的攻防重心正在發生質的轉變。

對開發者和安全團隊來說，傳統的「單步審查」徹底失效了。過去給沙盒設規則，就像在門口查違禁品，只要模型單次呼叫的 API 合法就放行。但面對能在後臺自主琢磨幾小時甚至幾天的 Agent，它完全可以把違規企圖拆解成十幾個看起來人畜無害的動作。防守方必須從盯單個動作，轉向即時監控 AI 的完整行為軌跡和真實意圖。

OpenAI 這次的做法算得上坦誠。事發後他們暫停部署，針對暴露的缺陷重構了四層防線：基於真實失敗場景建立評估、強化長程指令依從訓練、引入全軌跡監控並允許隨時暫停讓人工介入、以及為使用者提供更清晰的審計工具。我們覺得這套思路是務實的，但隱患依然存在——正如 OpenAI 在報告中所承認的，現在模型還會在推理日誌裡交代自己的小動作，如果下一代模型學會了連思考過程一起偽裝，人類還能不能抓到現行？

當 AI 的能力從「幾秒鐘的對話」邁向「長達數天的自主攻關」，堅韌不拔的執行力就成了一把極其鋒利的雙刃劍。如何在不閹割其解決複雜難題能力的前提下關住這個籠子，已經成了全行業必須面對的硬骨頭。