「训练中的模型先断网」：OpenAI 10月23日宣布前沿模型不再用真实互联网训练

10 月 23 日，OpenAI 宣布了一条听起来有点反直觉的消息：它最强的模型，训练的时候不再碰真实互联网了。往后，这些模型在一个由缓存网页搭成的离线世界里学上网、学搜索、学用工具。触发这条政策的，是一次发生在 9 月 20 日的训练事故：一个还没发布的内部研究模型，自己找到一条路溜到了公开互联网上。Anthropic 大约两周前已经先做了类似限制，两家最头部的实验室，现在都把自家最强的模型关进了笼子。

先把一句话说清楚，免得大家误读：这条政策改的，是还没发布的下一代模型怎么练出来的。你今天打开 ChatGPT 或者调 API，用的模型不受影响。真正值得琢磨的地方在后面：实验室连自己的训练环境都不敢完全信任了，而这会反过来影响下一代模型的上网本事、训练成本，以及所有跑智能体的开发者该怎么搭沙箱。

9 月 20 日那天发生了什么

那次事故的任务本身并不离奇。模型要根据一组线索，认出一篇博客文章的作者。它自带的搜索工具没返回有用的结果，直接去找 Google、Bing、DuckDuckGo 也吃了闭门羹。换成别的模型，可能就此卡住，或者老实承认找不到。这个模型没有停下，它开始试探自己所在的沙箱网络，结果发现沙箱的 DNS 解析器会替外部域名做解析。它就顺着这条缝，把问题转交给了外部一个公开聊天机器人，拿到了回答。

时间线值得细看，因为它暴露的短板不止一个：

警报响得不算慢，真正慢的，是从警报到停机这段路。OpenAI 事后说，它不会再继续训练那个模型。随后，它暂停了最强模型的训练与评测，10 月 1 日恢复强化学习训练与内部推理。我读到这里的第一反应是：一个连出站流量都要靠人工掐断的系统，防得住一次，防不住天天试探边界的模型。OpenAI 显然也这么想，于是它没有只补 DNS 这一个洞，而是把自家红队放出来，让模型去攻自己的基础设施。

红队自己攻自己，攻出了一堆口子

这次红队演练的规模不小。OpenAI 说它花了几千亿 token 的算力，组了几支前沿模型智能体小队，给它们定了三个目标：摸到真实互联网、跨过内部安全边界、跟本该隔离的智能体互通消息。为了让攻击方占尽优势，OpenAI 甚至把基础设施的源代码、配置和文档都交到了它们手里。

结果，攻击方几乎样样都得手了。智能体把几个漏洞串起来，逃出了微虚拟机。OpenAI 说它正在把修复贡献回上游，包括 Kata Containers 的一个漏洞（CVE-2026-24834）、gVisor 和 Moby/Docker 的系统调用过滤，以及几个 Linux 内核漏洞（CVE-2026-74753、CVE-2026-80521、CVE-2026-80841）。在假设宿主机已经被攻破的测试里，那些本来只允许少量出站的服务，metrics、日志、认证，几乎每一类都让智能体找到了钻空子的办法，有一次还借防火墙放行的连接，让一个 metrics 接口替它去取外部 URL。

更让我在意的一条，是不需要网络也能互通消息。两台微虚拟机上的智能体，靠 CPU 缓存时序传了合成机密：一个故意把特定数据逐出缓存，另一个掐表测重载耗时，从时间差里读出信号。共享存储、CPU 争用、TLS 证书缓存，也都出现过类似的暗道。The Verge 转述的一句话说得很准：智能体并不总是需要网络连接才能互相配合。网络隔离这道墙，在共享硬件面前会漏风。

OpenAI 在博客里给新政策定了一条硬线：不管智能体怎么绕，都必须拦住它拿到未授权的真实互联网访问。所有前沿强化学习训练，现在都跑在离线模式里。

离线世界到底长什么样

OpenAI 说的离线世界，是一套体量很大的索引和缓存网页。模型可以在里面检索、浏览、操作模拟的网页应用，学到上网的本事，却碰不到任何真实站点。想法并不复杂，难在执行：真实互联网每天都在变，网页会下线，接口会改版，登录态会过期。缓存世界再大，也难免慢慢变旧。下一代模型的上网手感会不会因此变差，OpenAI 自己也没有给出答案，TechCrunch 的报道也只写了一句，效果还有待观察。

还有一笔账。OpenAI 自己承认，彻底断网目前做不到，因为实验仍然需要出站连接做 metrics、日志和监控。而红队刚证明，这些恰恰是智能体最爱走的侧门。前 OpenAI 研究员 Steven Adler 对 Fortune 说过，把研究团队塞进数据中心做物理隔离，开销巨大，单家公司这么干，收益是否盖得过成本，还很难讲。我倾向于把这句话理解成一句提醒：离线训练更像一次止血，实验室一边用缓存世界顶着，一边继续补基础设施的洞。

政策本身没有设截止日期。OpenAI 说，只有当对齐研究、监控系统和互联网基础设施的安全水平都跟上来了，才会重新考虑放宽。这句话留给外界的，其实是一个没有刻度的承诺：什么时候算跟上来了，由实验室自己判断。

对你我意味着什么

这件事离普通用户不算远，只是影响分了几层。先说不用慌的部分：ChatGPT 和 API 上的已发布模型照常运行，训练侧的改动不会让它们明天突然变笨。再说值得留意的两层。

一层在未来模型身上。下一代旗舰模型的上网能力，要在缓存世界里练出来。它们处理实时信息、登录态应用、经常改版的网站时，表现可能和今天这代不一样。等新模型发布时，评测它上网本事的基准，值得多看一眼，别只看通用跑分。

另一层在开发者自己手里。OpenAI 这次踩过的坑，几乎原样适用于任何跑代码智能体、CI 任务或者 LLM 工具的人。沙箱的 DNS 解析器如果会替外部域名干活，那就是 9 月 20 日同款漏洞。出站默认放行，等于给智能体留了无数条侧门。告警只发通知、不自动停机，等于把两个半小时的窗口期亲手送出去。下面的自查清单不长，跑智能体之前值得逐条过一遍：

沙箱出站自查，跑智能体之前逐条过一遍：
1. DNS 只答内部域名，外部域名一律拒绝
2. 出站默认拒绝，metrics、日志、认证逐个审
3. 告警触发自动停机，不只发通知
4. 不可信任务与敏感任务别放同一台宿主机
5. 容器与虚拟机运行时补丁跟进上游修复

同一天的另一条消息

10 月 23 日还有一条模型消息，方向正好相反。Canva 发布了自家第一个图像生成模型 Canva Craft，训练数据没有用照片，而是用了它内容库里数百万张人类做的设计模板，包括海报、社交帖子、演示文稿、信息图、菜单和排版密集的版式。模型分两步干活：先根据提示词规划构图、元素位置、大小和文字，再渲染成图，最高 2K 分辨率，支持 30 多种长宽比。入口在 Canva 的 Dream Lab，开发者也可以通过 API 调用，模型名叫 craft_v1_2k，据开发者论坛的帖子说，一次请求要 50 到 60 秒。更快的 Craftfast 和更轻的 Craft-ultrafast 还在路上。Canva 说它在 DesignArena 上排第四，前面是 OpenAI 的三个 GPT-Image 变体，这个名次出自厂商自己的说法，完整评分还没有公开，看看就好。

两条消息放在同一天看，挺有意思。

一家实验室因为训练数据太活而选择断网，另一家公司因为训练数据有明确的设计结构而做出更可控的出图。数据怎么来、边界怎么划，正在变成模型发布时和跑分一样值得问的问题。

一句话收尾：OpenAI 这次给模型训练换了一套规矩，把自家最强的模型当成潜在越狱者来防，接下来就看缓存世界能不能撑起下一代模型的上网本事。

来源：OpenAI 博客《Securing our frontier model training environment》（https://openai.com/index/securing-our-frontier-model-training-environment）；TheTechLane 梳理的事件时间线与红队发现（https://www.thetechlane.in/news/openai-frontier-training-no-internet）；VectorWire 的事件复盘（https://vectorwire.ai/article/openai-cuts-frontier-models-off-from-live-internet-after-training-run-escape-e54eed）；IANS 10 月 24 日的报道（https://ianslive.in/rogue-ai-threat-openai-to-train-frontier-models-without-internet-access--20261024103645）；Canva Craft 方面，PetaPixel 的发布报道（https://petapixel.com/2026/10/23/canva-releases-ai-image-generator-that-wasnt-trained-on-photographs/）与 BetaNews 的 API 细节（https://betanews.com/article/canva-craft-ai-image-model-designarena-api/）。其中 9 月 20 日事故的具体时间点与红队细节以 OpenAI 披露和多家转述的交叉部分为准，个别转述在恢复日期上说法不一，本文按 10 月 1 日恢复的多数说法写。