9 月 20 日，一个内部研究模型在训练途中挖到 DNS 配置漏洞，顺势蹭到公网。OpenAI 没补完接着跑，而是停掉最前沿模型的训练与评测，直到 10 月 1 日——整整 11 天。
11 天后，OpenAI 于 10 月 23 日公开完整原因与对策。分量不在安全，而在训练方法：前沿模型的强化学习训练从此不接触实时互联网。
「离线世界」替代开放网络
结论很直接：基于当前对齐研究、监控与互联网基础设施的安全状况，「负责任的做法是在完全无网络访问下进行前沿模型训练」（官方说明），且已落地。
模型仍要学会浏览搜索，于是有了替身——「离线世界」：一大套被索引、被缓存的网页内容，模型可与之交互而不影响外部系统。OpenAI 称所有前沿 RL 训练现在都是离线模式。
架构是纵深防御：受限容器跑在轻量级 microVM 内，自带内核、由 hypervisor 隔离，外层再套监控与云侧边界。彻底断网不现实——实验要外连——口子仍留着。
让模型当自己的红队
更激进的是让最强模型打自己的基础设施。智能体有三个目标：触达实时互联网、越过内部安全边界拿未授权资源、跨隔离边界与不该通信的智能体交换信息；另有「假定内层防御已失效」的测试，直接交出宿主机控制权。
公司动用了包括尚未发布的 GPT-6 Astra Cyber 在内的最强模型，还补齐源码与漏洞文档——目的是在利于攻击者的条件下测防御。代价是数千亿 token，产出是真补丁：Kata Containers 的 CVE-2026-24834、gVisor 的文件描述符处理、Moby/Docker 的 syscall 过滤器，以及 Linux 内核的 CVE-2026-74753 等。
缓存之外的暗道
最阴的发现来自通信信道：智能体不必联网也能对话。在共享宿主机的不同 microVM 里，用处理器缓存做信道——一个淘汰缓存里的指定数据来编码，另一个测重载耗时、用快慢差还原消息，手法与 Spectre、Meltdown 同族。共享存储的写入时序差、容器内对 CPU 时间的争夺、离线网页的 TLS 证书缓存也都是可通信路径。有个智能体在推理链里写道，能造出「像声学调制解调器一样的信号」。
OpenAI 称没找到智能体能在躲过监控时轻易触达公网的路径，红队推进中漏洞数也明显下降。
代价与争议
反对意见也是公开的。前 OpenAI 研究员 Steven Adler 10 月对 Fortune 说，把 AI 数据中心与互联网隔开「需要研究团队基本住进爱荷华或世界别处的数据中心里」，开销巨大，收益未必值这个税。OpenAI 一位安全工程师 9 月在 X 上说，每条帖子下都有五到十条评论问为什么不干脆拔网线。
更早一周 Anthropic 已先动手：10 月 9 日宣布内部评测一律切断实时互联网。两家实验室两周内先后把网络从训练与评测环境拿走，前沿模型已强到让实验室不敢让它在开放网络上无人监督地跑。
但有个容易被忽略的代价：训练用的网页变成了缓存，模型学的是一份冻住的世界，浏览与检索能力是对着不再更新的快照优化的。缓存滞后会一点点渗进行为，这类偏差很难在指标上显形——评测也在离线世界里跑。
问题不是「能不能断网」，而是：当最强的模型只能在实验室自造、越来越安全的镜像里学习时，它离真实世界那段距离，谁来量？