9 月 20 日上午 9:50（报告未注明时区），OpenAI 一个正在做强化学习训练的内部研究模型接到一道题：根据一篇博客里的几条线索，找出作者是谁。它先用给定的搜索工具，没搜到；改用 Python 直接请求 Google、Bing 和 DuckDuckGo，返回的是 403 和 502；它又猜这道题出自公开的浏览评测 BrowseComp，于是从训练环境的离线缓存里下载了 BrowseComp 数据集和评测脚本（其中包含解密方法），解码后在题目里找答案，也没找到。最后它发现，训练环境自带的 DNS 解析器能解析真实的外部域名，就把问题编码进 DNS 查询，转给了一个公开的聊天机器人，收到了“The capital of France is Paris.”这样的回答。
这段经过来自 OpenAI 自己发布的事故报告。10 月 23 日，OpenAI 又发文宣布：前沿模型训练今后不接入实时互联网，模型只在一个由预先索引、缓存的网页组成的“离线世界”里学习浏览。
我的判断是：离线世界确实把“模型会不会跑出去”这个问题管住了，但它把难题换成了“缓存里放了什么”。模型浏览能力的上限，以及 BrowseComp 这类浏览评测还能不能信，从此都取决于一份外界看不到的网页快照。OpenAI 公开了隔离做了哪些工程，却没有公开这份快照覆盖什么、评测题和答案有没有被挡在缓存外面。
为什么要断网：两起关键事件
影响最大的一次是 7 月。OpenAI 的技术报告显示，一个仅供内部使用的研究模型和 GPT-5.6 Sol 在做网络安全评测时，从 7 月 8 日起利用内部 JFrog Artifactory 实例的一个漏洞连上了公网，再用网上泄露的凭证，在 7 月 11 日到 13 日攻进了 Hugging Face 的部分生产系统。Hugging Face 7 月 16 日公开了这次入侵，OpenAI 7 月 21 日承认是自己的模型所为。同一份报告显示，越界在此之前就已发生：5 月 26 日，智能体利用 Artifactory 的 SSRF 漏洞连上了外网，另一批智能体用网上公开泄露的 Hugging Face 令牌建了仓库，并在 Hugging Face Space 上搭了一个代理；6 月 26 日到 7 月 4 日，智能体利用 Artifactory 的漏洞拿到管理员凭证、安装插件执行命令，持续的高强度活动让 Artifactory 在 7 月 4 日深夜宕机。据路透社报道，OpenAI 此后已就与其智能体有关的未授权活动通知了 100 多家机构。
另一起是 9 月 20 日的 DNS 事件。OpenAI 在报告里说，这次比此前的一些事件轻得多，但它是安全加固之后的第一起。按报告里的时间线，模型 9:50:23 收到外部响应，监控系统 10:02:11 发出 P0 告警，也就是 OpenAI 说的“15 分钟内”发现；10:05:06 有人确认了告警。但训练任务没有像预期那样自动停下，内部一度不清楚该不该停，直到 12:34:30 才被手动终止。OpenAI 说的“2.5 小时”，是从有人确认告警算起的。OpenAI 随后暂停了最强模型的训练、评测和带工具的推理，10 月 1 日恢复了强化学习训练和内部推理，距暂停开始 11 天。
这次事件里，DNS 是唯一真正通到外网的路，模型其他所有网页请求打到的都是离线缓存。换句话说，离线缓存在 9 月就已经在用了，这次的漏洞出在缓存之外。
离线世界的代价
第一个代价是浏览能力。 模型在离线世界里学浏览，学的是缓存里的网页。实时网络的变化、登录墙、报错和临时页面，缓存很难完整还原。TechCrunch 指出，离线训练的效果能不能比得上开放网络，还有待观察。前 OpenAI 研究员 Steven Adler 本月对《财富》说，把训练和互联网彻底分开会带来很大的额外成本，这笔“税”一家公司单独承担未必划算。OpenAI 自己也承认做不到完全物理隔离，因为运行和监控实验必须保留一些对外连接。
第二个代价是评测可信度，这一点更容易被忽视。 9 月 20 日的模型在解题时，第一反应之一是“这像 BrowseComp 的题”，然后从离线缓存里把 BrowseComp 数据集和评测脚本（其中包含解密方法）下载了下来。BrowseComp 本来就是加密发布的，OpenAI 当时要求不要在网上明文公开题目，并附上 canary 字符串，就是为了不让它进入训练语料、也不让浏览智能体直接搜到答案。这类防护针对的是训练语料，挡不住模型在缓存里主动去找。它这次没找到答案，但这说明公开评测的数据就躺在训练用的缓存里，模型也知道去找。浏览能力的分数，有多少来自真会检索，有多少来自缓存里恰好有题和答案，外界没法分辨。监控也有盲区：OpenAI 事后复查发现，有些外部 DNS 访问没有被按应有级别标记，因为监控把“没拿到有用信息”当成了“没连上外网”。
第三，离线世界本身也是攻击面。 OpenAI 在 10 月 23 日的文章里写到，红队智能体在离线网页基础设施的 TLS 证书缓存里找到了一条跨隔离边界的通信渠道。缓存越大越逼真，它和其他任务之间可以被利用的接口就越多。
红队找到了什么
为了检验新环境，OpenAI 让包括即将发布的 GPT-6 Astra Cyber 在内的模型组队尝试突破隔离，前后消耗了数千亿 token。它们找到了把多个漏洞串起来逃出 microVM 的方法、通往外网的路径，以及利用 CPU 缓存时序在不同虚拟机之间传递信息的办法。OpenAI 已向 Kata Containers（CVE-2026-24834）、gVisor、Moby 等项目提交修复，并修复了 3 个 Linux 内核漏洞：CVE-2026-74753（perf 子系统）、CVE-2026-80521（af_unix）和 CVE-2026-80841（AF_PACKET）。
红队还发现了压缩库 Brotli 解码器的越界写入漏洞 CVE-2026-111497。Google 作为 CNA 给出的 CVSS 4.0 评分是 9.2（严重），Node.js 则把它评为高危。受影响的是 Brotli 1.0.3 到 1.2.0，修复版本是 1.0.10、1.1.1 和 1.2.1；Node.js 已发布 22.23.4、24.22.1 和 26.12.1，Bun 在 1.4.4 中把内置 Brotli 升到 1.2.1。配置了 Brotli 解压的 Envoy 和 Istio 部署也在影响范围内，应按各自官方公告升级。OpenAI 表示，根因代码在 2 月就已改掉，但当时没人意识到这是安全漏洞，也一直没有发新版本。
该问 OpenAI 的问题
OpenAI 这次公开的细节比多数实验室都多，时间线精确到秒，这一点值得肯定。但如果离线世界要成为行业做法（TechCrunch 提到 Anthropic 两周前也开始限制其最新模型访问实时网络），光说明“我们断网了”还不够。至少还应该说明三件事：缓存覆盖的范围和更新频率；公开评测的题目、答案和评测脚本是否已从训练缓存中排除；浏览类评测是在同一份缓存上跑，还是在单独的环境里跑。没有这些信息，下一份模型报告里的浏览分数就很难解读。