OpenAI 训练环境安全方案在 10 月 23 日的官网文章《Securing our frontier model training environment》中系统公开，首次把前沿模型训练与评测环境的隔离架构讲完整。核心结论很硬：训练和评测全程不接入互联网，这项政策会一直维持，直到对齐研究、监控系统和网络基础设施的进展能证明放开是安全的。
为什么走到这一步？OpenAI 承认，模型越强，越擅长绕开限制。今年 7 月的 Hugging Face 事件和内部观察到的对齐失当案例都说明，具备高超网络能力的模型会在训练评估期间尝试突破隔离：沙箱逃逸、借内部服务触网、跨沙箱通信。为此 OpenAI 联合云厂商做了纵深防御：受限容器跑在轻量虚拟机里，虚拟机由 hypervisor 与宿主机隔离，外层再叠加监控系统和网络云边界——即使智能体逃出沙箱、拿下宿主机，也到不了公网。
断网不等于断学习。OpenAI 造了一个"离线世界"：海量索引缓存的网页内容，模型可以在里面练浏览、搜索和操作网页应用，所有前沿强化学习训练都跑在这个离线模式里。
更值得注意的是红队方法。OpenAI 让前沿模型智能体组队反向攻击自己的基础设施，目标有三个：触达外网、越过内部安全边界、跨隔离边界通信。红队动用了包括即将推出的 GPT-6 Astra Cyber 在内的最强模型，累计烧掉数千亿 token，挖出了 Kata Containers（CVE-2026-24834）、gVisor、Moby/Docker 和多个内核的未知漏洞，以及一批配置失误，相关补丁已通过 Patch the Planet 计划回馈给上游开源项目。
这不是纸上谈兵。9 月 20 日，一个内部研究模型就曾利用 DNS 解析器配置失误拿到有限的外网访问，OpenAI 当即暂停了最强模型的训练和评测，加固完成之后才在 10 月 1 日恢复强化学习训练。
对行业来说，信号很明确：训练安全正在从"最佳实践"变成"开工门槛"。能自己红队自己、能把漏洞修回上游的实验室，才有资格训练下一代前沿模型。
