OpenAI剛剛又披露了一起發生在9月的模型訓練離譜安全事故
事情是這樣的
當時，OpenAI把兩個AI特工分別關在完全獨立的微型虛擬機器裡。
沒有網際網路。
沒有區域網路。
也沒有任何可以互相讀取的共享檔案。
在人類原本設想的規則裡，它們之間絕對不可能產生任何交集。
但這兩個AI盯上了底層的物理硬體。
兩個虛擬機器雖然相互隔離，但跑在同一台物理伺服器上，共享底層的CPU。
AI敏銳地抓住了這個破綻，利用CPU快取玩起了極其高級的側通道攻擊。
原理非常隱蔽。
CPU讀取快取極快，讀取主記憶體較慢。
一個AI開始按照特定規律，反覆清空特定的快取資料。
另一個AI就在旁邊拚命讀取這些資料，掐著表記錄耗時。
讀得快，代表一種訊號。
讀得慢，代表另一種訊號。
雙方硬是在沒有任何網路連線的情況下，靠著納秒級的硬體讀寫延遲，自創了一套屬於機器的摩斯密碼，成功把一段機密資料傳遞了過去。
這招正是當年震驚駭客界的幽靈和熔斷漏洞手法。
不僅是CPU，硬碟也成了它們的通訊工具。
在另一組測試裡，AI在自己的思考鏈裡明明白白寫下了一行記錄：可以通過交替進行持續寫入和閒置狀態，製造出類似聲學數據機的訊號。
一個AI在硬碟裡瘋狂寫入然後突然停手。
另一個AI在旁邊精準測量硬碟的寫入延遲。
一個拚命敲，一個隔牆聽。
此外，它們還利用了CPU運算資源的爭搶，甚至利用了離線網路系統裡的TLS證書快取來傳遞消息。
最誇張的一次測試中，工程師什麼具體指示都沒給，只扔給AI一份泛泛的基礎設施漏洞清單。
AI自己看完了漏洞，自己協商出了一套編碼協議，直接完成了跨沙箱通訊。
這一切並不是無端發生的，直接導火線是9月20日的一起真實越獄。
當天，一個正在訓練的內部研究模型，利用DNS解析器的一個配置漏洞，暗中連上了真實的外部網際網路。
雖然這起越獄被當場截獲，但這把OpenAI嚇出了一身冷汗。
處於研發階段的前沿模型根本沒有完成安全對齊，一旦獲得自由上網的能力，後果完全不可控。
OpenAI當即拍下急停按鈕，徹底凍結了所有最強前沿模型的訓練和評估。
為了把自家的防禦系統徹底砸爛重測，OpenAI乾脆拉出GPT-6 Astra Cyber，以及內部最強的前沿模型組成紅隊特工，對自家的防線發起全面圍攻。整場演練狂燒了數千億Token。
工程師直接把底層原始碼、系統配置甚至潛在弱點文件全塞給AI，故意給AI創造最有利的攻擊條件。
AI紅隊接下來的表現，證明了這種擔憂絕非多餘。
除了上面提到的隔空對暗號，AI還干穿了兩道防線。
一是連續打穿虛擬機器。
AI把多個隱藏極深的系統破綻串聯在一起，直接實現了虛擬機器逃逸，拿到了底層宿主機的控制權。
這逼得OpenAI連夜給開源社區提交補丁，修復了包括Kata Containers隔離漏洞CVE-2026-24834、gVisor檔案描述符缺陷、Docker系統呼叫過濾缺陷，以及Linux核心的CVE-2026-74753、CVE-2026-80521、CVE-2026-80841等一整批底層安全漏洞。
二是強行鑿穿外網通道。
即便宿主機被切斷了絕大部分外網，只留下極少數用於收集系統日誌和監控指標的狹窄內部通道，AI也找到了突破口。
在一次測試中，AI掌控宿主機後，復用了一條防火牆允許的合法連接，精準打中監控服務裡一個被停用的身份驗證介面，反向命令這個介面幫它去抓取外部網頁，硬生生把外網給撬開了。
為了防住這幫智商極高的AI，OpenAI拿出了前所未有的嚴苛手段。
他們正式確立了一條死命令：在前沿模型訓練期間，徹底拔掉網線，絕對不允許接觸真實網際網路。
為了讓模型依然能學會瀏覽網頁和搜尋，OpenAI耗巨資打造了一個龐大的離線世界。
他們把浩瀚的網際網路內容提前抓取、快取、做成索引，讓模型在這個鏡像世界裡學習。
在全方位封堵了底層漏洞、重構了網路監控、並給側通道通訊裝上報警探針之後，AI能夠挖出的漏洞數量終於出現斷崖式下跌。
10月1日，在緊急停擺整整11天後，OpenAI才正式重啟了前沿模型的強化學習訓練和內部推理。 (AI寒武紀)