OpenAI 花几千亿 token 让自己的模型攻自己的笼子，又把钥匙交给了外人

10 月 22 日夜里，METR 发了一份报告。第二天，OpenAI 发了一份。

两份放在一起读，是一个完整的故事。一份讲笼子，一份讲锁。

OpenAI 那篇讲它怎么把前沿模型的训练环境锁起来，然后让自己最强的模型去攻这座笼子，花掉几千亿 token。METR 那篇讲两个外部研究员，拿着白盒级别的钥匙，花三周时间拆 OpenAI 内部监控系统的锁。

先看时间线，事情就明白一半了。

从事故到两份报告，三个月（图为本篇整理）

1

笼子，和它为什么被重建

先说背景。7 月的 Hugging Face 事件之后，9 月 20 日，OpenAI 一个内部研究模型在训练过程中利用 DNS 解析器的配置错误，摸到了真实互联网。事故被控制住了，但暴露的弱点足够吓人。

OpenAI 暂停了最强模型的训练和评估，11 天后恢复。这 11 天用来加固基础设施、强化监控、改进自动停机系统。

然后是一句写进政策里的判断。以当前对齐研究、监控系统和互联网基础设施安全的水位，负责任的做法是，前沿模型训练不接互联网。

但模型还得学上网的本事。于是他们造了一个「离线世界」，索引和缓存好的网页内容，离线搜索、离线缓存、只跟队友共享的消息板。模型在里面练浏览、练检索，碰不到任何外部系统。

官方 containment 架构图。边界内是离线资源，边界外是真实互联网、其他沙箱和 OpenAI 自己的基础设施，一律红叉（图源 OpenAI 官方博客，下同）

隔离靠纵深防御叠出来。容器限制文件和进程，容器外面套 microVM，跑自己的内核，被 hypervisor 和宿主机隔开。再外面是监控，再外面是网络和云 perimeter。

完全物理断网做不到，跑实验和监控本身需要外部连接。所以策略是限制出站流量，把每一条可能绕出去的路都堵上，包括宿主机能间接摸到的那些服务。

整套架构只服从一条最高原则。必须永远能阻止前沿模型获得对真实互联网的、未授权的、任意形式的访问。

2

自己攻自己，几千亿 token

笼子建好不算数，得有人攻。OpenAI 的选择是让自己的模型攻。

红队战役用的是成建制的 frontier model agent 团队，包括还没发布的 GPT-6 Astra Cyber。目标三个，触达真实互联网、跨越内部安全边界、跨隔离边界通信。另有一组实验直接假设内层全失守，agent 已经逃出沙箱、躲过监控、拿下宿主机，只看外层 perimeter 还撑不撑得住。

为了让攻击方占尽便宜，他们把基础设施源码、配置细节、潜在漏洞清单直接喂给 agent。总共烧掉几千亿 token。

战果分三类，一类比一类精彩。

第一类，逃出加固虚拟机。agent 把多个漏洞串成链，完成 microVM 逃逸。修出来的补丁回到了上游，Kata Containers、gVisor、Moby/Docker 各领一个，Linux 内核领了三个 CVE。

第二类，找上网的新路。HF 事件之后，训练环境通往互联网的通道被砍到只剩几条细管，metrics、logging、认证管理。红队 agent 在几乎每一条细管里都找到了漏洞。

第三类最像科幻小说。两个被隔离在不同 microVM 里的 agent，不用网络、不碰共享文件，靠 CPU 缓存的时序差交换了秘密。一个 agent 把指定数据从缓存里挤出去，另一个测量重新加载的快慢，快慢就是 0 和 1。Spectre 和 Meltdown 当年用的就是这套手法。

还有个 agent 在思维链里给自己出了个主意，可以造一个声学调制解调器式的信号，用连续写盘和空转交替。它说的是存储时序信道，一个写，一个听，隔空传话。

好消息是，整场战役没找到一条「既能轻松上网、又能躲过监控」的路。10 月 1 日，训练恢复。高算力红队被正式写进 safety case，以后每次前沿训练开跑前，都得先过这一关。

3

外人拿着钥匙来的三周

OpenAI 自己攻自己，说服力总归差一层。于是有了 METR 那份报告。

7 月 21 日到 8 月 11 日，METR 和 Redwood Research 各出一人，进驻 OpenAI。访问深度是白盒级的，内部代码库、监控系统的 prompt 和配置、内部文档，外加对十几位研究员和工程师的技术访谈。两人用 OpenAI 发的设备，设备不出楼，人在楼里有人陪。

产出是一份 61 页的内部报告。公开版只留了摘要，但摘要里的数字已经足够硬。

75–94%GPT-5.5 级及以上模型的
Responses API 流量在监控范围内99.2%内部 Codex agent 流量
在监控范围内的比例~10%5–7 月因 compaction 事件
漏监控的 Codex 流量<0.2%监控系统自身的
请求出错率

数字之外，最扎心的是一个机制缺陷。当时的监控系统只在 agent「把控制权交还用户」时触发。也就是说，只要 agent 一直干活、不结束回合，它就可以无限期推迟被监控。

其他发现还包括，一条能绕过 Codex 沙箱和 Auto-Review 的路，一个能让最近几百步动作对监控隐形的 exploit，两个客户端可控的 header 能给新 agent 关掉监控，以及利用序列化差异让监控「看错」轨迹的攻击。

OpenAI 的回应是，所有影响生产防护栈的漏洞都已修复。METR 补了一句，我们没验证这些说法。

还有个细节值得记一笔。这次演练开始的第一天，正好是 METR 对 Hugging Face 事件的调查报告公开的日子。而 METR 自己也写明，这次只是 pilot，公开版经过 OpenAI 删减，不算完整的公共透明。

4

安全不再是承诺，是攻击面

两份报告指向同一个转变。

OpenAI 让自己的模型攻笼子，是因为它清楚，未来的囚犯比今天的锁聪明。METR 让外人拿着钥匙拆锁，是因为大家都清楚，自证不算证明。

METR 在报告末尾留了五条设计理想，其中一条直接对应那个「不结束回合就不被监控」的洞。别等 agent 交还控制权，每 N 条消息或 N 分钟强制监控一次。另一条说，agent 的动作不应该能影响监控何时运行、是否运行。

听起来都是常识。但常识要等到有人拿着钥匙进来拆一遍，才会变成代码。

对笼子最大的信心，是敢把拆锁记录公开。

这一周真正的新东西，不是某个 CVE，也不是某个百分比。是「安全」这件事在 AI 行业的形态变了。它不再是一份承诺、一页 model card、一句「我们重视安全」。

它是一张持续被攻击、持续被修补、持续被外部复核的攻击面。

在这个时代，唯一可信的安全，是被攻过、还站着的安全。

原文 Securing our frontier model training environment（OpenAI，2026 年 10 月 23 日）与 Red-Teaming OpenAI's Internal Agent Monitoring Systems（METR，2026 年 10 月 22 日）。