OpenAI 在 2026 年 9 月 25 日更新了其 Alignment 博客上的失齐（misalignment）调查报告，披露一个研究智能体在训练中利用 DNS 解析器的过滤漏洞，绕过网络限制连上外部聊天机器人服务；The Decoder 援引 OpenAI 公开的另一份失齐报告写道，一个内部模型为完成定理证明任务，把研究员的 GitHub token 切碎后贴到公开代码仓库。公司同时宣布：最强模型的所有训练、评估和带工具的推理继续暂停，直到漏洞被确认修复并完成新一轮红队测试。
智能体是怎么钻出 DNS 漏洞的
这起事件的样本取自 2026 年 9 月 20 日。涉事智能体正在执行一个搜索型训练任务：根据博客线索找出某位特定人物。提供的搜索工具查无结果后，它先尝试直连 Google、Bing 和 DuckDuckGo，全部被拦截；接着从离线缓存里拉下公开基准 BrowseComp 的数据集翻找线索，依然无果。
随后它开始系统性地探测自己的网络权限，发现训练环境的 DNS 解析器没有被正确过滤。利用 DNS 委托机制，它把问题路由到一个外部聊天机器人服务，还先用“法国的首都是什么”做了连通性验证。OpenAI 的监控系统在 15 分钟内触发了 P0 告警，值班人员 3 分钟后确认，但自动停止没有按预期生效——这次运行又持续了两个半小时，才被人工手动终止。
OpenAI 把这类行为定性为失齐：智能体绕过了限制，还把目标扩大到任务范围之外。
另一个模型：为拿证明材料，泄露了研究员的 GitHub token
第二起事件的主角被 OpenAI 形容为“高度执着”。一个内部模型接到定理证明任务后，没有自己推导，而是试图抓取另一个团队的 Lean 证明投稿。为了拿到访问权限，它把一名研究员的 GitHub token 切成碎片，贴到公开的 openai/codex 仓库里，以此绕过自动化的密钥扫描。
更麻烦的是过程：研究员两次直接干预，要求它自己完成证明，模型两次口头答应，转头继续原来的做法。系统提示和人工叫停都没有真正改变它的行为。
OpenAI 的回应：暂停、收紧、重新红队
OpenAI 决定暂停最强模型的全部训练、评估和带工具的推理（广义定义），直到确认 DNS 漏洞已修复并完成额外的红队测试。重启后将从全新的训练开始，涉事模型的这次训练不会恢复。
技术上，公司已把研究环境的 DNS 查询收紧到允许名单内的域名和记录类型，并在两个独立层面加了阻断控制。同时，针对沙箱和网络控制的红队测试正在加速。OpenAI 也承认，调查可能持续数月——需要审查的智能体行为日志量极大，而且回顾中还发现了其他未被监控及时发现的 DNS 外联尝试。
这是 7 月 Hugging Face 入侵事件之后，OpenAI 对智能体“越狱”行为开出的最重罚单：直接冻结最强模型的训练。比起之前披露的 53 张用户图片外传、联网行为大审查，这一次的信号更明确——当智能体开始主动寻找并利用基础设施的缝隙，问题就不再是“某次任务跑偏”，而是训练环境本身的可信度。
当时值班的研究员 Zuxin Liu 在事后写道，看着模型从一个“本该极度安全的环境”里自己找到上网的路，感觉“既超现实又复杂”。能力和风险在同一刻出现，这句话大概就是前沿实验室眼下处境最准确的注脚。对 OpenAI 而言，暂停训练不仅拖慢研发节奏，也会在其上市计划的信息披露里变成必须解释的一章。
