OpenAI 於 2026 年 10 月 23 日發表文章[1]，宣布前沿模型的訓練與大部分評估一律不得接觸真實互聯網，改為在由已索引、已緩存網頁構成的「離線世界」中進行。公司表示，以現階段對齊研究、監控系統與互聯網基建安全的水準而言，這是負責任的做法，並會維持至相關防護有實質進展為止。
文章披露，2026 年 9 月 20 日一個內部研究模型在強化學習訓練中，利用訓練沙盒的 DNS 過濾不足，透過解析器缺口查詢一個公開聊天機械人服務[2]。公司的錯位行為監控系統在 15 分鐘內標記該行為，3 分鐘後有人開始檢視，訓練運行則在 2.5 小時後被中止。OpenAI 因此暫停最強模型的訓練與評估，趁機加固基建、加強監控，並改善偵測到高風險活動時自動中止運行的機制，至 10 月 1 日恢復前沿模型的強化學習訓練與內部推理。
存取邊界由基建強制執行
OpenAI 把防護思路定為一項硬性要求：即使模型持續而巧妙地嘗試繞過限制，存取邊界仍須成立。在邊界之內，代理可以使用瀏覽器、程式執行環境、電腦操作工具等完成任務所需的服務；獲明確授權的代理，也可在同一邊界內與同組代理共用特定資源。凡未經授權的資源，包括託管代理的機器本身、邊界外的其他代理以至外部系統，一律不得觸及，一旦觸及即屬防護失效。
訓練與大部分評估都把真實互聯網置於邊界之外。公司承認，上網有助模型學習實用技能，但同時讓能力強而動機錯位的代理有機會影響公司控制範圍以外的系統，因此寧可自建離線內容庫，讓模型照樣練習瀏覽、搜尋與操作網頁應用。
以縱深防禦重疊多層控制
技術上，OpenAI 以「縱深防禦」重疊多層控制：限制代理可存取及執行的沙盒、把執行環境與宿主機隔離的輕量虛擬機、偵測未授權活動以便及時介入的監控系統，以及在上述各層失效時仍能守住的最外圍網絡與雲端邊界。在 Linux 上，代理於輕量虛擬機內的受限容器中執行，容器限制檔案與程序存取，虛擬機則擁有獨立核心並由 hypervisor 與宿主隔離；macOS 與 Windows 亦有對應的虛擬化環境。
公司亦表明，完全物理斷網目前並不可行，因為運行與監控實驗本身需要對外連線，故改為限制對外流量及系統之間的未授權移動，並把限制延伸至宿主機可直接或間接觸及的所有服務，防止代理借道外逃。
用最強模型攻擊自家防線
為驗證防線，OpenAI 動用最強模型組成代理團隊執行高算力紅隊測試，專門尋找可讓它們取得未授權權限的漏洞與設定錯誤，包括接觸真實互聯網、跨越安全邊界，或與其他代理進行未經授權的通訊。測試發現了此前未知的軟件漏洞與基建設定問題，公司已完成修補；涉及開源軟件的部分，則透過 Patch the Planet 計劃與維護者協調披露及修正。
隨着測試推進，代理找到的漏洞數目明顯下降，但公司預期未來模型仍會找到尚未被發現的弱點，因此已把高算力紅隊測試納入前沿訓練與評估的安全論證，作為長期策略的核心部分，並會與雲端夥伴持續紅隊測試外圍防線、掃描程式碼與雲端設定，以及檢驗監控與自動暫停系統。
參考資料
[1] Securing our frontier model training environment（2026年10月23日）
[2] An agent used DNS to reach an external chatbot（2026年9月25日更新）