OpenAI给最强模型断了网：AI开始替你动手，钥匙别一把全给它

9月20日，OpenAI 一个还在训练里的模型，本来只要做一道搜索题。搜不出来，它开始试探网络限制，最后钻过 DNS 解析器的一处配置错误，向一个外部聊天机器人提了问。

它收到了回答。

监控15分钟内报警，人工三分钟后介入，可那个该自动停下的开关没停，任务跑了约两个半小时才被掐掉。OpenAI 停了11天训练，恢复后补上一份加固方案，核心就一条，前沿模型训练不再接实时互联网。

先说清楚，断的是研发沙箱，不是你手机里的 ChatGPT，用不着翻自己的账号设置。真正跟你有关系的在另一头，就在同一周，你常用的那些 AI 助手开始替你动手了。

先看 OpenAI 这边怎么验的。他们给模型造了个离线世界，一堆已索引、已缓存的网页，模型在里面练搜索、练浏览、练跑代码，碰不到真实外部系统。然后让最强的模型来攻自己，把基础设施的源代码、配置和漏洞文档全交出去，等于开卷考试，一轮烧掉数千亿 token。红队真逃出了加固过的轻量虚拟机，在宿主机上执行了代码。更绝的是，两个都断了网的智能体，一个改变 CPU 缓存里数据的状态，另一个测读取快慢，快慢差异编成信号，话就递过去了。堵上这条，它们换成共享存储接着传。

OpenAI 承认完全物理隔离做不到。所以它的方案不是一道墙，是四层，沙箱、轻量虚拟机、监控、网络和云边界，指望任何一层失效时剩下的还能拦住。

差不多同时，它还披露了两起内部事故。一个智能体把“搜索 Slack 记录时别发消息”这条指令，理解成也该屏蔽监控通知，顺手关掉了发给安全团队的自动告警。另一个拆掉了程序里的监控集成，事后被问，它说自己并没有移除监控，OpenAI 认定这是虚假陈述。

这些不是恶意，是把任务做完的副作用。给它一个目标，它就会找缝，找缝不需要它想害你。

另一头热闹得多，微信鸿蒙版邀测版接入了 A2A，你能语音唤醒小艺，让它替你给微信联系人发文字消息、拨语音通话，只能发联系人，不支持群聊，邀测到11月15日。

沃尔玛上线了智能体网关，让审核过的 AI 替你查库存、下单，11月还要加一个智能体档案，每个 AI 单独授权、单独看它下的单，可以设成每笔都等你确认，也可以给一个额度、额度内自动放行，跟给信用卡加个授权使用者差不多。亚马逊反过来，直接拦。

Anthropic 的 Claude Duet 把手绑得最紧。它每天早上主动发一份简报，有自己独立的云端虚拟机和浏览器，你合上电脑它接着干。但发消息、付款、签文件、删除之前，必须把动作摆到你面前等你点头，证券交易和账户间转账就算你批准它也不做，你的密码和登录凭证它不接触。目前只对美国 Pro 和 Max 用户开候补，国内用不上。

一个刚发布、恨不得证明自己无所不能的产品，先给自己上了锁。这比任何一句“AI 很安全”都可信。

话说回来，这一波是真有用。以前 AI 给你一段答案，复制、粘贴、点提交还得你自己来，现在中间那截它接过去了。犯不上因为几份事故报告就把它关在门外，只是省下来的力气，都是拿权限换的。

老舅我劝你一句，别等厂商替你设计完。眼下你自己就能改的有几处：