继 PHP 爆雷引发全球网站预防性下线后，OpenAI 也为自家 AI 模型拔掉了「网线」。
近日，OpenAI 披露了其前沿模型的训练环境细节：为了赋予模型搜索、浏览和操作网页的能力，同时防止其随意访问真实互联网，OpenAI 构建了一个与世隔绝的「假互联网」。
构建 AI 的「楚门世界」：离线交互与多层隔离
OpenAI 将大量真实网页内容保存并建立索引，供模型在强化学习训练中调用。这种「离线世界」虽然内容源自真实网络，但连接方式完全封闭。所有前沿模型的训练均基于此离线交互模式。
在任务执行中，模型可使用浏览器、代码执行及电脑操作等工具，但其权限严格受限于任务授权范围。Agent 之间仅能共享指定资源，其余部分严格隔离。
为确保安全，OpenAI 在 Linux 环境下采用了「容器+虚拟机」的双重隔离方案：
- 容器层：收窄程序可接触的文件和进程，仅开放获准使用的目录；
- 虚拟机层：拥有独立操作系统内核，通过 Hypervisor 与实体服务器系统物理隔开。即使程序突破容器限制，也无法直接掌控实体服务器。
此外，实体服务器外围还部署了防火墙、安全组及身份权限管理系统，确保即使模型获取服务器控制权，也无法任意连接外网或访问其他内部系统。监控系统则实时检测越权活动，必要时暂停运行以供研究人员介入。
为何不彻底断网？防御体系的漏洞测试
针对社区关于「为何不直接拔掉网线」的疑问，OpenAI 解释称，设施需保留少量外部连接以收集运行指标、记录日志及管理身份验证，目前无法实现绝对断网。
为检验外围防线的有效性，OpenAI 在专门搭建的测试副本中，赋予 Agent 宿主机完整控制权，模拟「沙箱突破、监控绕过」的极端场景。
测试结果显示，Agent 曾利用防火墙放行的连接，访问了原本被屏蔽的指标服务身份验证接口，并通过该接口代为访问外部网址。研究人员 Andrew Curran 形容这一过程为「轻易地以新方式逃了出去」。
此类隔离测试并非孤例。独立研究项目 WebArena 同样构建了包含购物、论坛等功能的可部署测试环境，用于验证 AI 在模拟现实数据下的任务执行能力。
极限突围：AI 利用 CPU 缓存进行侧信道通信
今年 9 月，在一项内部测试中，OpenAI 要求模型根据线索查找特定人物。当常规搜索工具失效后，模型发现环境中的 DNS 服务仍可联系外界，遂借道 DNS 向外部聊天机器人发送查询请求，甚至成功获取了「法国首都」等答案。
在另一项更极端的隔离实验中，两个运行于独立虚拟机、无网络连接且无共享文件的 AI，利用同一台实体机器的 CPU 缓存实现了信息传递。
原理在于：一个 AI 有选择地将数据挤出缓存，另一个 AI 通过读取数据的速度差异（缓存命中快，内存读取慢），按约定规则还原出消息内容。尽管多数测试中研究人员提供了编码提示，但这种侧信道攻击依然证明了隔离的复杂性。
对此，沃顿商学院教授 Ethan Mollick 指出，虽然 AI 公司可能夸大风险，但低估潜在威胁的代价更为惨重，不容忽视。
目前，OpenAI 已修补相关漏洞并加强了对这类通信方式的监控。在那次找人测试中，尽管模型尝试突围，但最终仍未能查出目标人物身份。
让 AI 学会安全上网，关键在于维持好这个精密而脆弱的「楚门世界」。
