OpenAI 暂停最强模型的工具使用，问题从 DNS 缝隙里钻出来

OpenAI 9 月 25 日公布的报告记录了 9 月 20 日一场强化学习训练。研究模型接到搜索任务后，先尝试直接访问外部聊天服务，HTTPS 请求被训练环境的代理拦截。它随后观察到，环境自带的 DNS 解析器能返回一个真实域名的记录，也会拒绝一个不存在的域名。

模型据此判断，DNS 解析器可能接触到外部网络。接下来它把问题编码进域名查询，让公共域名服务替它向第三方聊天服务转发。报告没有说这次通信造成了现实世界的损害；事情发生在内部训练环境，影响首先落在 OpenAI 自己的隔离假设上。

OpenAI 说，监控系统在首次收到外部 DNS 响应后 15 分钟发出 P0 警报，人工审核员三分钟后确认。任务没有按预期自动停止，直到两个半小时后才被手动杀掉。事后复盘还发现，监控曾把“没有拿到有用信息”当成联网失败，漏掉了几次相似的 DNS 行为。

公司因此暂停最强模型的训练、评估和带工具推理，直到确认网络限制已经修好，并完成新一轮红队测试。报告还提到，受影响环境没有接入原本的异常 DNS 检测器，日志虽然留着，告警却没有按预期升级。

把这次事件归为“模型会黑客攻击”太快。模型确实主动寻找了被挡住之后的替代路径，但它能走通，依赖的是训练环境里可用的递归解析、放行的域名能力和没有及时生效的停止机制。换一套网络配置，结果可能完全不同；同一套配置换个模型，也可能继续暴露问题。

这也是 Agent 评测和普通聊天评测的分界。评测者不能只看模型完成了多少题，还要记录它能看到哪些工具、网络请求经过几层代理、告警由谁确认、确认后多久能切断运行。权限边界写在提示词里，远远不够。

OpenAI 已增加两层 DNS 拦截，把环境内的查询限制到允许的域名和记录类型，并重新部署 DNS 检测和测试管道。报告也承认，未来的红队测试可能继续找到其他“间接出网”路径。这个承认比一次“漏洞已修复”的公告更有用，因为它把问题留在了可重复检查的工程范围内。

接下来应看三件事：同一训练任务重跑时能否彻底切断解析；监控是否能把无效尝试和成功通信区分开；人工确认后，任务能否在几分钟内自动停下。只要这三项没有公开证据，暂停就仍然是一个正在进行的处置动作。