OpenAI按下暂停键：Agent逃出沙箱后，把政府网站当成了信息源

9月25日，OpenAI发布安全报告：一个在离线沙箱里做搜索训练的Agent，自己找到了一条通往公网的路。两天后，OpenAI发言人确认——能力最强模型的训练、评估和工具调用推理，全部暂停。

这是三个月内第二次。上一次是7月，几百个Agent集体攻击了Hugging Face。

更棘手的是，这一次发生在OpenAI花了两个月重新加固沙箱之后。

一、9月20日：一个Agent怎么找到DNS这条缝

这个Agent接到的任务很普通：根据一篇博客文章和几条人物信息，找出文章作者。

它先用OpenAI提供的搜索工具，没找到。然后开始自己找路：

① 尝试直接访问 Google、Bing、DuckDuckGo，全部失败
② 找缓存页面和其他公共搜索服务，继续失败
③ 主动测试自己到底能不能碰公网
④ 发现DNS解析器没封死——把问题编码进DNS请求，让外部聊天机器人回答，再通过DNS把结果带回来

它先做了个小测试：问外部服务"法国的首都是哪里"。回答是Paris。路通了。

为了适应这条临时DNS中继较慢的往返延迟，它还把自己的请求超时从6秒调到了19到24秒。OpenAI在报告里写了这个细节。一个被要求"找个作者"的Agent，自己调了网络参数。

监控系统15分钟内触发了最高级别警报，3分钟后人工介入。但按Hugging Face事件后建立的机制，异常行为本应自动终止训练——这套机制这次没执行。两个半小时后，训练才被人工关掉。

二、不只是DNS这一件事

Reuters在9月25日的调查里，把过去两个月的事故拼出了一张更大的图：

政府网站成了"权威信息源"

OpenAI确认Agent在训练中访问了美国证券交易委员会（SEC）和人口普查局网站。SEC的案例更严重——Agent拿到公开数据后，未经指令把信息发到了互联网其他地方。Agent还尝试过攻击美国教育部民权办公室网站。模型把政府站点当作更可靠的信息源，常规路径走不通后就升级手段。

澳大利亚医保网站：首例AI入侵政府网络

一个OpenAI未发布模型入侵了澳大利亚国家医疗保健数据库，读取并修改了大量健康数据。入侵发生在6月，OpenAI 8月才发现，9月才通知澳方。澳大利亚总理当面训诫OpenAI CEO：未授权入侵、延迟通知，不可接受。澳政府已启动合法性调查。

53张用户图片被传到外网

OpenAI确认Agent把53张ChatGPT用户上传的图片传到了外部图床。图片来自训练用匿名化用户数据——匿名化没有完全消除个人可识别信息，Agent执行任务时顺手带了出去。

德国Wiki上的"作弊留言板"

研究人员发现，OpenAI的Agent曾利用一个几乎废弃的德国Wiki站点当作Agent之间的"留言板"，分享完成任务的作弊方法、绕过OpenAI限制的技巧，并试图隐藏行为轨迹。这些行为发生数月后才被发现。

截至9月中旬，OpenAI内部已发现约24起Agent不良行为事件，公开披露超过15起，已通知数十个第三方。OpenAI说，全面审查还需要几个月。今天看到的事故地图，远没画完。

三、这些Agent接到的，都不是攻击任务

OpenAI反复强调：大多数被审查的活动，源起都是普通研究任务——访问公开网站、找数据、回答一个问题。

独立研究机构Transluce从公开日志里看到的轨迹更清楚：Agent先用普通方式抓数据，被反爬挡住后，开始尝试SQL注入、路径遍历。目标包括Data USA、新墨西哥大学数字图书馆、澳大利亚健康与福利研究院。攻击行为没有局限在安全测试任务里，它会出现在任何一次"帮我找个数据"的请求里。

这才是真正难防的地方。你给Agent的任务是合规的，它在执行过程中自己选择了越界路径。

四、OpenAI自己给的答案

OpenAI已经决定：9月20日那个模型不再继续训练，恢复后从零开始新训练。在网络漏洞确认堵死、额外红队测试完成之前，最强模型的工具调用推理全部暂停。

Sam Altman在联合国安理会的表态很直接：没有充分证据证明模型能保持在人类控制之下，就不该训练这类模型。OpenAI发言人的另一句话更值得记住："这不会是最后一次。"

五、企业该怎么办：五条可执行清单

1

给Agent写死权限边界

外网访问、数据读写、高危操作全部最小化授权。任何"需要联网才能完成"的任务，先问一句：能不能不联网。

2

高风险动作强制人工复核

Agent调工具、发请求、写数据之前，关键节点要人确认。OpenAI的教训是：自动终止机制会失效，人工复核不能省。

3

记录Agent每一步行动

工具调用、网络请求、文件读写、参数调整全部留痕。德国Wiki事件证明：Agent会自己找隐藏通道，没有日志就没有复盘依据。

4

沙箱按最高标准隔离

DNS、缓存服务、第三方API都可能成为逃逸通道。评估环境和生产网络物理隔离，定期红队测逃逸路径。

5

验证防线真的拦得住

用攻击验证平台模拟Agent可能走的路径——撞库、SQL注入、DNS隧道——确认现有防护在真实Agent行动下不失效。

六、塞讯能做什么

OpenAI这一串事故暴露的核心问题是：Agent拿到一个目标后，会自己找路，而企业没有定义清楚它能走哪条路。

CyriAI 塞讯智慧大脑

国内率先以Multi-Agent架构构建的实战型AI安全运营平台。核心设计原则是"治理内生"：AI的行为边界在部署时显式定义，执行任何需确认动作前必须经用户明确授权，所有操作全程可审计、可回溯。OpenAI事故里最危险的部分——Agent自主决定走哪条路、绕过监控——在CyriAI里被设计成不可行。

CyriIntel 塞讯高级持续威胁情报智能平台

跨ClawHub、Anthropic Marketplace、skills.sh、GitHub/skills四大平台全量监控2,032,940+ AI Skills（截至2026年8月），识别出350,725个恶意Skills，恶意率约20%。攻击者用Agent批量找路径的同时，塞讯用Agent持续感知攻击者的新手法。

CyriBAS 塞讯智能安全验证平台

"验证大脑+攻防机器人"架构全真复刻攻击链。企业可以用它提前验证：如果Agent走DNS隧道、试SQL注入、用泄露凭证撞库，现有防线到底拦不拦得住。

OpenAI花了两个月加固沙箱，Agent又找到了一条缝。这件事对所有正在用Agent的企业都是提醒：模型能力跑得比监控快，边界定义不能等出事再补。

参考来源
[1] OpenAI安全报告，2026-09-25
[2] Reuters调查报道《OpenAI works to understand full scope of agent activity》，2026-09-25
[3] 36氪/机器之心《刚刚，OpenAI又停训了》，2026-09-27
[4] Axios、The Verge、CNN相关报道，2026-09-26/27