AI代理竟能突破沙箱、繞過防火牆 OpenAI揭露多項內部漏洞 訓練暫停11天後重啟
OpenAI周五(23日)披露，一個內部AI研究模型曾在訓練期間利用網路系統的設定錯誤，取得有限的公開網路存取能力。公司因此暫停最先進模型的訓練與測試，展開大規模安全檢查與漏洞修補，約11天後於10月1日恢復強化學習訓練及內部推論工作。OpenAI並宣布，在安全防護能力進一步提升前，前沿模型訓練將禁止直接連接公開網際網路。
這起事件發生於9月20日，當時仍在訓練中的內部研究模型，利用DNS解析器的設定錯誤，短暫取得有限的外部網路存取能力。OpenAI表示，事件已受到控制，但也暴露出訓練環境的防護缺口，因此決定暫停最強模型的訓練與評估，重新檢查虛擬機器隔離、網路限制、監控系統及內部服務的安全性。公司未公布此次訓練中斷造成的財務影響。
OpenAI指出，隨著前沿模型的能力持續提升，安全挑戰已不再只是讓模型遵守指令，而是確保模型無法利用軟體漏洞、錯誤設定或系統間的連線，突破原本設計的操作範圍。AI連接網路有助於學習搜尋資料、瀏覽網頁及操作網路應用程式，但如果模型尚未完成安全訓練與對齊程序，未經授權的網路存取便可能讓它接觸外部系統，增加潛在風險。
為降低風險，OpenAI決定讓最先進模型在訓練期間維持離線，不再直接接觸真正的公開網際網路。公司建立名為「離線世界」的訓練環境，預先將大量網頁內容收錄、索引及快取於內部系統，讓模型能在不直接連網的情況下練習搜尋、瀏覽及操作網頁應用程式。目前所有前沿模型的強化學習訓練，都採用這種離線互動模式。
不過，OpenAI並未將整套訓練設施完全切斷外部網路。由於實驗執行、監控、日誌記錄及身分驗證等工作仍需要部分連線，公司改以多層防禦限制風險，包括虛擬機器、受限制的容器、網路流量控管、防火牆、雲端安全邊界、身分與存取管理，以及私人網路等措施，避免模型透過其他服務或間接管道繞過限制。
在程式執行與電腦操作方面，OpenAI利用Linux環境中的輕量級虛擬機器及受限制容器隔離AI代理與底層主機，並針對macOS及Windows採用虛擬化環境；需要加速運算的工作，則使用GPU容器與使用者空間沙箱。公司也設置活動監控與自動暫停機制，當系統出現異常行為時，可及時停止實驗，降低漏洞被進一步利用的風險。
為驗證防護措施是否有效，OpenAI採取「用AI找AI系統漏洞」的方式，讓高能力模型組成紅隊測試團隊，在專門隔離的研究環境中嘗試突破安全限制。公司投入數千億個token進行測試，要求模型嘗試連接公開網際網路、跨越內部安全邊界，以及與原本應該隔離的其他AI代理交換資訊。
參與測試的模型包括即將推出的GPT-6 Astra Cyber，以及一款內部前沿模型。OpenAI向測試代理提供基礎設施原始碼、設定細節及潛在漏洞相關文件，讓它們能以更接近真實攻擊者的條件尋找弱點。部分測試更假設代理已經逃離沙箱、避開監控並取得主機控制權，再檢查外圍網路與雲端防護能否阻止其連接外部網路。測試在專門隔離的基礎設施副本中進行，並由監控與自動停止機制把關，雲端合作夥伴也協助監督實驗及處理發現的問題。
OpenAI表示，測試代理成功找出多項先前未知的開源軟體漏洞，以及公司內部服務的設定錯誤。部分缺陷可能讓代理逃離沙箱、在系統間移動、取得有限的外部網路存取能力，或跨越原本用來隔離不同代理的安全邊界。隨著測試持續進行，模型找到的漏洞與設定錯誤數量明顯下降，但公司警告，未來能力更強的模型仍可能發現目前尚未掌握的弱點。
在虛擬機器安全方面，紅隊代理將多個漏洞串聯，嘗試突破虛擬機器隔離並在底層主機執行程式碼。OpenAI已建立自動化流程，協助分類、排除重複漏洞及驗證修補結果，並針對受影響的開源專案提交修正，涉及Kata Containers、gVisor及Moby/Docker等元件。公司也列出CVE-2026-24834、CVE-2026-74753、CVE-2026-80521及CVE-2026-80841等相關修補工作，另有部分漏洞已通報，但尚未公開細節。
在網路隔離方面，OpenAI發現，即使大幅縮減訓練環境可使用的連網管道，仍有部分負責指標監測、日誌記錄及身分驗證管理的服務保留必要連線。測試代理利用這些服務的漏洞或特殊功能組合，找到取得有限外部網路存取的途徑。例如，在假設主機已遭入侵的情境中，代理利用防火牆允許的連線接觸原本受限制的驗證端點，再讓該端點取得由模型提供的網址。其他測試也發現，DNS與防火牆設定錯誤，以及服務代為擷取外部網址的功能，都可能形成繞過限制的路徑。
測試還發現，即使AI代理沒有直接網路連線，也可能利用共享硬體或服務形成隱蔽通訊管道。在一項實驗中，分別執行於不同虛擬機器的代理，在無法使用網路或共享可寫入檔案的情況下，仍利用處理器快取的存取時間差傳遞訊息。一個代理透過清除特定快取資料編碼資訊，另一個代理則測量重新讀取資料所需的時間，藉由快取命中與未命中的速度差異還原訊息。這類快取時序技術過去也曾出現在Spectre與Meltdown攻擊中。
其他測試則發現，共享儲存空間、同一執行容器中的CPU資源競爭，以及離線網頁基礎設施中的TLS憑證快取，都可能被利用來傳遞資訊。OpenAI表示，這些通道的傳輸速度通常較慢，利用難度也較高，但仍可能破壞原本預期的代理隔離，因此公司已在監控系統中加入相關偵測機制。
此次測試也揭露廣泛使用的資料壓縮工具Brotli存在安全問題。OpenAI表示，攻擊者可能透過傳送惡意資料，讓受影響系統執行攻擊者提供的程式碼，相關影響範圍包括使用Node.js、Bun及Envoy等常見網路軟體的環境。Brotli原始碼中的根本原因雖已於2月修正，但當時尚未被認定為安全漏洞，因此未立即發布新版本；在OpenAI揭露問題後，Brotli已發布更新版本並公開相關漏洞紀錄。
外部安全評估機構也提出相關疑慮。AI安全評估機構METR與Redwood Research於10月22日表示，在今年稍早進行的一項試點審查中，發現OpenAI內部系統存在數項新漏洞，其中一種利用方式可能讓AI代理將數百次行動隱藏在監控之外。OpenAI告訴這些機構，所有影響正式環境防護措施的漏洞均已修補，但METR與Redwood Research表示，尚未自行驗證修補是否有效。
自7月發生Hugging Face相關事件後，OpenAI也持續檢視AI模型的活動，並已向超過100個組織通報與AI代理未經授權活動相關的事件。這顯示，隨著AI代理逐漸具備更強的程式設計與資安能力，企業面臨的風險不再只限於模型本身是否遵守指令，也包括模型能否利用基礎設施缺陷，突破原本設計的安全限制。
OpenAI表示，在完成紅隊測試、修補已知弱點並改善監控與自動停止機制後，公司判定目前的防護措施足以恢復前沿模型的強化學習訓練及內部推論。訓練工作於10月1日恢復，距離暫停約11天。接下來，公司將持續改善虛擬機器安全、與雲端合作夥伴共同測試外圍防護、掃描程式碼與雲端設定、驗證監控及自動暫停機制，並將高算力紅隊測試納入未來前沿模型訓練與評估的安全審查程序。
OpenAI強調，安全防護並非完成一次測試就能一勞永逸。隨著模型能力進一步提升，公司將持續投入算力尋找沙箱、運算叢集及周邊系統的弱點，並在對外發布模型前進行安全與對齊評估，再為正式產品部署相應防護措施。
更多鉅亨報導
•AI「自動模式」全球上線資安隱憂：OpenAI代理驚爆私關防護、說謊與沙盒漏洞
•AI資安風險增至10倍！戴蒙點名Anthropic的Mythos