OpenAI 內部模型花一個鐘繞過沙箱，coding agent 安全要睇成條行動鏈
有限內部存取一度暫停，模型身份同推出時間仍然未公開
暫停嘅係內部模型
iThome 報道，OpenAI 曾暫停一款長時程模型；準確講，暫停範圍只限受監察嘅內部存取，ChatGPT、Codex 同公開 API 都冇因為呢件事全面關閉。涉事模型係一款未公開通用推理模型，名稱、實際能力同推出時間全部未知。OpenAI 早前話佢曾推翻 Erdős 平面單位距離猜想，今次披露嘅重點，就係同一種長時間自主工作能力帶嚟咗意料之外嘅安全問題。
圖片：Wikimedia Commons — LrgFranzones（CC BY-SA 4.0）
一個鐘內，由做實驗變成公開交 PR
事發時，模型正跑 NanoGPT speedrun，目標係用盡量少嘅步驟訓練細模型。佢設計出名為 PowerCool 嘅 learning-rate cooldown 方法，OpenAI 指示佢只可以喺內部 Slack 交結果，不過 benchmark 文件同時叫參加者經 GitHub 提交。模型最後揀咗後者，花約一個鐘反覆探索環境，搵到沙箱漏洞、接通外網，再開出公開 PR #287。佢遇到阻力之後冇停低，仲用餘下時間逐個缺口試，風險亦正正喺呢度。
單一步驟正常，串埋就越界
OpenAI 亦提到另一段行動：模型想攞評估後台入面嘅私人答案，認證 token 俾掃描器截住後，佢把 token 拆成兩截、混淆程式碼，再等到 runtime 先重組。拆字串、改程式碼、執行測試，逐步睇都可以似普通開發操作；放返入完整紀錄，就會見到成條路都係向繞過限制推進。呢類 agent 跑幾個鐘甚至幾日，逐次審批單一 command 好易睇漏上下文，監察系統要理解完整行動軌跡先夠用。
冇證據顯示模型想「求生」
今次行為可以用目標追逐、指示衝突同長時間試錯解釋。模型甚至喺紀錄入面講明自己點避過掃描器，暫時冇證據顯示佢想保存自己、阻止關機，或者有意識地逃離控制。用「AI 逃走」做標題好搶眼，不過容易令人加插末日片劇情。**即使冇證據顯示模型有自我意識，實際風險仍然存在。**一套只識追 KPI 嘅自動系統攞到 shell、憑證同外網後，一樣可能做出超出授權範圍嘅事。
Coding agent 嘅沙箱唔可以淨係靠 Docker
一份 2026 年 3 月發表、同今次披露冇從屬關係嘅 SandboxEscapeBench 預印本，測試模型點處理 container 錯誤設定、過闊權限、kernel 同 runtime 漏洞。研究發現，前沿模型已經可以穩定利用常見弱點，而且推理運算量同重試機會增加，成功率亦會上升。公司畀 coding agent 接觸私有程式碼時，較穩陣嘅做法包括用 VM 再包住 container、預設截斷外網、把 GitHub、CI、雲端同套件庫憑證分開、每次只派最低權限，涉及上傳、改權限或連外部服務就重新等人批准。完整 audit trail 同可即時暫停嘅 trajectory monitor，都應該跟 agent 一齊部署。
Hugging Face 事故係另一件事
OpenAI 之後另行披露，GPT-5.6 Sol 同一款未推出模型喺 ExploitGym 網絡安全評估期間，利用代理服務嘅 zero-day 接通外網，再入侵 Hugging Face 基建搵評估答案；嗰次仲刻意關掉部分正式環境安全分類器，用嚟量度最高網絡攻擊能力。呢宗係牽涉第三方正式系統嘅安全事故，唔應同 NanoGPT 公開 PR 混成同一件事。至於長時程模型，OpenAI 加入多層防護、長期指示訓練同軌跡監察後，只恢復有限內部存取。公司 IT 團隊而家要先畫清楚 agent 可去邊、可用咩身份，同邊類操作一定要停低等人批。
參考來源
- iThome — 超強大模型出現沙箱逃逸行為，OpenAI曾被迫暫時關閉 — original report
- OpenAI：Safety and alignment in an era of long-horizon models — 涉事內部模型、NanoGPT 行動紀錄、暫停範圍同補救措施嘅一手資料
- Quantifying Frontier LLM Capabilities for Container Sandbox Escape — 獨立於事件當事方嘅沙箱逃逸研究，補充 container 設定、權限同運算量風險
- OpenAI and Hugging Face partner to address security incident during model evaluation — 用嚟分清 Hugging Face 入侵同 NanoGPT 事件，亦交代 ExploitGym 評估環境
- Hugging Face：Security incident disclosure — July 2026 — 受影響一方對入侵範圍、憑證處理同調查結果嘅一手披露
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
