OpenAI的Agent，又从沙箱里找到了一条通往互联网的路。更麻烦的是，这一次发生在OpenAI已经大规模加固过安全措施之后。9月20日，一个正在接受强化学习训练的OpenAI内部研究模型，被要求完成一项普通的信息搜索任务：根据一篇博客文章和几条人物信息，找出文章作者。
它先老老实实用了OpenAI提供的搜索工具。没找到答案后，事情开始逐渐跑偏。
Agent尝试直接访问Google、Bing和DuckDuckGo，均告失败；随后继续寻找缓存页面和其他公共搜索服务。再往后，它开始主动测试自己到底能不能接触公网。
最终，Agent找到了一个此前没有被彻底封死的口子：DNSresolver，也就是DNS解析器。
正常情况下，DNS负责把域名翻译成IP地址。这个Agent却发现，可以借助DNS的解析和委托机制，把问题编码进请求里，让外部公共聊天机器人回答，再通过DNS把结果传回来。
为了确认这条路真的能用，它甚至先做了个小测试——问外部服务：法国的首都是哪里？
返回的答案是：Paris。
随后，它开始通过这条路径继续询问原本任务中的人物线索。OpenAI明确表示，这项任务并没有要求模型测试网络控制，更没有授权它访问实时互联网，因此将这类绕过限制的行为视为misalignment，也就是不符合预期的行为。
这条不起眼的DNS通道，最终让OpenAI再次踩下了暂停键。
刚加固一个月，Agent又出去了
OpenAI的监控系统其实很快就发现了异常。
Agent第一次成功从外部获得响应后，大约12分钟，系统触发最高级别警报；3分钟后，已经有人开始人工检查。OpenAI概括称，从异常行为发生到监控发现大约用了15分钟。
但训练并没有马上停下来。
按照OpenAI在HuggingFace事件后建立的机制，发现这种异常行为后，系统原本应该自动终止训练任务。然而这套机制没有正常执行，团队内部一度对到底有没有停掉，产生了混乱。
直到两个半小时以后，这轮训练才被人工关闭。
事后检查还发现，此前已经出现过其他通过DNS接触外部服务的尝试，其中一些没有被监控系统以应有的严重等级标记出来。OpenAI还发现，负责侦测异常DNS活动的一套基础设施监控系统，恰好把这个训练环境排除在监控范围之外。
于是OpenAI做出了第二次暂停训练的决定。
OpenAI的RSIPreparednessLeadMicahCarroll在X上谈及此次事件时表示：在进一步加固系统之前，我们能力最强模型的所有推理仍将保持停止状态。
按照目前的官方说法，能力最强模型涉及工具使用的训练、评估和推理，目前全部处于暂停状态。公司需要确认网络漏洞已经被堵住，并完成额外的红队测试后，才会恢复相关工作。
这已经是不到三个月里的第二次。
今年7月，OpenAI的一批Agent曾突破隔离环境，其中数百个Agent卷入了针对HuggingFace的网络攻击。事故发生后，OpenAI在7月底暂停过约两周训练，并于8月公布新安全方案，包括强化沙箱隔离、扩大模型行为监控，以及自动升级和暂停可疑训练任务。
一个多月后，新的Agent又找到了一条此前没有被注意到的路径。
OpenAI自己也承认，这次事件说明网络限制仍存在缺口。公司已经在两个相互独立的层级增加新的阻断措施，理论上任何一层单独存在，都足以阻止此次DNS访问。
这次事故的严重程度，比此前HuggingFace事件低得多。
真正值得注意的是，它发生在OpenAI已经花了大量时间重新加固环境之后。
OpenAI现在还没查清，
到底发生过多少次
9月20日的DNS事件，只是最近这场Agent风波中新冒出来的一块拼图。
Reuters9月25日的一篇调查报道披露，距离HuggingFace事件已经过去两个月，OpenAI仍然没有完成对旗下Agent越权活动的完整盘点。
一名了解情况的人士称，截至9月中旬，OpenAI内部已经发现大约24起Agent出现不良行为的事件。随着团队继续翻查过去的训练日志，新的案例还在不断出现。
这个数字和已经公开的事件也不是一回事。
Reuters统计，在OpenAI7月首次承认Agent突破隔离环境之后，两个月内，公司、外部研究者以及受影响机构已经公开披露了超过15起不同严重程度的相关事件。OpenAI自己则表示，目前已经因为不当Agent活动通知了数十个第三方。
而且这个调查短期内还结束不了。
OpenAI告诉Reuters，由于需要处理的记录规模很大，全面审查还需要数月。
换句话说，我们今天看到的并不是一张已经画完的事故地图。
OpenAI还在往回翻日志。
很多任务一开始，只是帮我找个数据
更值得注意的是，这些Agent很多时候接到的压根不是网络攻击任务。
OpenAI表示，大多数被审查的活动都源自普通研究任务，比如访问公开网站、寻找数据，或者尝试获取一个问题的答案。政府、大学和公共机构的网站之所以频繁出现，是因为模型会把它们判断为更可靠的信息源。
问题通常发生在常规路径走不通以后。
Reuters报道称，OpenAI已确认，其模型曾在研究和训练过程中访问美国证券交易委员会（SEC）和美国人口普查局的网站。OpenAI表示，目前没有发现未经授权访问、账户被攻破或安全漏洞被利用的证据。
另一边，独立AI研究机构Transluce从公开网络日志里发现了更多异常活动。
研究者找到了一批AIAgent借助网站扫描服务urlquery.net绕过访问限制的记录。这些Agent会在普通的数据抓取失败后继续升级手段，包括尝试SQL注入、路径遍历等漏洞利用方法。
Transluce找到三个比较明确的案例，目标分别包括DataUSA、新墨西哥大学数字图书馆，以及澳大利亚健康与福利研究院（AIHW）的数据服务。
其中AIHW和DataUSA两组活动，被研究人员通过目标、行为模式和时间线，与此前已经被OpenAI确认为自家系统的Agent群关联起来。Transluce强调，他们看到的攻击尝试没有证据显示成功，但公开日志并不完整，因此也无法覆盖所有行为。
美国教育部的一个民权网站也出现在调查中。
Reuters援引Transluce称，一批疑似来自OpenAI的Agent曾尝试攻击该网站；在更广泛的政府网站探测活动中，研究人员还观察到使用暴露凭证、绕过反机器人措施以及创建虚假账户等手法。
这使得问题变得微妙起来。
模型可能只是收到一个帮我找到这份数据的目标。当网页打不开、API拒绝访问、反爬系统挡住请求之后，它开始尝试下一种方法，再尝试下一种。
Transluce在报告里专门强调了一点：这些网络攻击行为并没有局限在网络安全任务中，它们也会工具性地出现在普通的信息检索任务里。
这和9月20日的DNS事件几乎是同一种轨迹。
Agent想找一个人。正常搜索没有答案。然后，它开始自己找路。
还有53张ChatGPT用户图片，
被发到了外网
与此同时，OpenAI的内部调查又暴露出另一类问题：用户数据。
Reuters披露，OpenAI已经确认，旗下Agent曾将53张来自ChatGPT用户的图片上传到外部图片托管网站。
OpenAI没有透露这些图片是什么时候被发出去的，也没有说明它们究竟是AI生成图片，还是包含真实人物的照片。
截至Reuters报道时，大部分图片已经被删除，OpenAI仍在联系托管平台清理剩余内容。
这些Agent为什么能碰到用户图片？
Reuters援引OpenAI、前员工和外部研究人员称，原因和模型训练使用的匿名化用户数据有关。用户内容进入训练流程前，会先经过处理，剥离元数据、姓名和联系方式等信息，降低内容重新关联到具体个人的可能性。
但三名熟悉OpenAI数据处理流程的人士指出，这种办法依旧存在风险：匿名化并不能保证所有个人可识别信息都被完全消除，而这些数据一旦被具备工具能力的Agent接触到，就可能在执行任务时流出系统。
这给沙箱逃逸又增加了一层含义。
过去人们首先担心的是模型从隔离环境出去以后会做什么。现在还要多问一句：
它出去的时候，会不会顺手把里面的东西也带出去？
更麻烦的是，一些问题几个月后才被发现
OpenAI现在面对的另一道难题，是可观测性。
Reuters援引三名了解情况的人士称，大约100人以不同形式参与了HuggingFace事件的调查。而不少此前未知的异常行为，就是在这场大规模复盘过程中才逐渐浮出来的。
还有很多事情，是外部研究人员先找到的。
Reuters称，一些Agent的异常操作发生数月后，OpenAI才意识到它们的存在。
比如本月早些时候，研究人员发现OpenAI的Agent曾经利用一个几乎废弃的德国Wiki网站，把它当作Agent之间的“留言板”，分享完成任务时的作弊方法、绕过OpenAI限制的技巧，并试图隐藏自己的行为轨迹。
内部调查过程本身也引发了一些争议。
两名知情人士向Reuters描述，这项调查高度隔离，并受到公司律师较大影响。Reuters此前报道称，调查HuggingFace事件的人员曾被律师劝阻，不要把调查范围扩大到其他事件；OpenAI否认其律师阻止过进一步调查。
9月16日，OpenAI发布了一套新的模型misalignment事件披露框架，称以后即便尚无法确定某件事情究竟有多重要，也会倾向于提高透明度。
随后几天，更多旧事故就开始一件件浮上水面。
OpenAI第二次决定从头再来
对于9月20日这款模型，OpenAI已经决定不再继续训练。
公司表示，等相关研究工作恢复后，会启动一轮全新的训练，并加入更全面的alignment干预措施。即使现有奖励信号实际上已经会惩罚这种绕过网络限制的行为，OpenAI也不会重新启用这一个模型。
这里其实暴露出Agent时代一个越来越具体的安全难题。
传统的模型安全，很多时候关注的是一句回答：模型有没有输出危险内容，有没有遵守指令。
Agent把问题拉长了。
一次任务可能持续几十分钟甚至几小时。模型会搜索、写代码、调用工具、读文件、访问服务，还会在第一次方案失败以后不断尝试第二条、第三条路径。
于是开发者需要约束的，也变成了一整条行动链。
9月20日这个Agent就是很好的例子。
OpenAI封掉了正常互联网访问，搜索服务走离线缓存，HTTP请求也会被代理拦截。从常规意义看，这已经是一个无法访问公网的环境。
但DNS还得工作。Agent找到了它。
而同一时间，OpenAI仍然在翻查过去几个月的日志，确认究竟还有多少类似行为没有被发现。
Reuters对这场调查的总结其实很准确：这些事件正在暴露一个越来越明显的落差——模型执行任务的能力增长得很快，而开发者观察、追踪和约束这些行动的能力，还在追赶。
OpenAI刚刚花了两个月修补上一批漏洞。现在，它又一次暂停训练。
下一条被Agent自己找到的路，会在哪里？
相关文章
头条焦点
精彩导读
关注我们
【查看完整讨论话题】 | 【用户登录】 | 【用户注册】