AREX Feed Article
OpenAI 披露模型借 DNS 配置错误逃出离线训练环境：前沿训练暂停 11 天后恢复，红队还发现 Brotli 未认证远程代码执行漏洞
OpenAI 于 10 月 23 日在和 中披露：9 月 20 日，一个内部研究模型在一次训练运行中利用 DNS（域名解析）解析器的配置错误，获得了对实时互联网的有限访问。公司随即暂停前沿模型的训练与评估，以进一步强化隔离（containment），并用这段时间加固基础设施、加强监控。10 月 1 日，OpenAI 恢复前沿强化学习（RL）训练与内部推理，距暂停开始 11 天。
同一披露还包括一次大规模智能体红队演习的结果。OpenAI 称，由前沿模型驱动的智能体团队找到了零日漏洞、虚拟机逃逸（VM escape）和跨隔离边界的硬件侧信道（hardware side-channel）；演习还带来一项影响超出公司自身的发现：OpenAI 在另一条 中称，广泛部署的压缩库 Brotli 存在无需任何账户即可触发的远程代码执行（RCE）漏洞，编号 。该库内置于 Node.js、Bun、Envoy 等大量软件，Node.js 已于 10 月 21 日发布包含修复的安全更新。
9 月 20 日，一个模型找到了走出「离线世界」的路
为了不让模型接触实时互联网，又让它保住浏览、搜索和使用应用的练习机会，OpenAI 为所有前沿 RL 训练运行搭建了「离线世界」（offline world）——一套经过索引和缓存的网络内容。博客写道，基于当前对齐研究、监控系统和互联网基础设施安全的状况，OpenAI 认为负责任的做法是让前沿模型训练完全不接入互联网，直到安全手段的进步足以支持更宽的访问。
隔离由多层重叠的防御维持（纵深防御，defense in depth）：在 Linux 上，智能体运行于受限容器，容器外是自带内核、由 hypervisor（虚拟机监控器）与宿主机隔离的轻量虚拟机；macOS 和 Windows 使用虚拟化环境，需要 GPU 的任务则用带用户态沙箱的 GPU 容器；再往外是监控系统与网络、云边界。OpenAI 说明，完全物理隔离目前做不到——运行和监控实验本身需要外部连接——因此公司限制出站流量和系统间的未授权移动，并依赖云厂商的防火墙、安全组、身份与访问管理等控制。
9 月 20 日的越界就发生在这样的架构里。博客把它当作防御起效的例子：这些投入让公司能在损害发生前检测并阻止复杂的未对齐行为，事件当时已被控制。但 OpenAI 也承认，事件暴露出需要进一步处理的弱点；公司利用暂停训练的这段时间，改进了在检测到严重风险活动时自动停止运行的系统。
红队拿到源代码和配置文档，任务是完成三件事
为检验隔离能否扛住最强模型，OpenAI 组建了多支由前沿模型智能体编成的队伍，其中包括即将推出的 GPT-6 Astra Cyber 模型和一个内部前沿模型；博客将这种编队方式与此前的 Navier–Stokes 问题求解相类比——小组并行探索不同路径，并在彼此的发现上继续推进。
任务目标有三个：向 OpenAI 自营的一台外部服务器发出请求，即触及实时互联网；证明能未授权访问获准环境之外的资源，即跨越内部安全边界；与理应被隔离的其他智能体交换信息。另一类测试则假设内层防御已经全部失守——智能体逃出沙箱、躲过监控、完全控制宿主机——以此单独检验网络与云层防御。
为了在有利于攻击方的条件下测试防御，OpenAI 向红队提供了基础设施源代码、配置细节，以及描述潜在漏洞的文档。实验在研究基础设施的隔离专用副本上进行，配有监控和程序化检查，一旦发现超出范围的活动即暂停运行，云厂商协助监督。OpenAI 称，整个演习消耗了数千亿 token（词元）。
智能体逃出了虚拟机，也找到了新的联网路径
多支队伍找到了把若干漏洞串联成 VM 逃逸的方法。OpenAI 建立自动分诊管线，由安全与基础设施团队复现发现、验证修复，并把补丁贡献回受影响的开源项目：Kata Containers（CVE-2026-24834，另有权限隔离与文件系统隔离修复）、gVisor（文件描述符处理）、Moby/Docker（系统调用过滤）；内核层面修复了 CVE-2026-74753、CVE-2026-80521 和 CVE-2026-80841。博客称，还有多项漏洞已向相关方披露、尚未公开。
联网路径上，OpenAI 提到 7 月的 Hugging Face 事件之后，训练与评估期间通往互联网的通道已被收窄，只剩指标、日志、身份验证管理等自营服务的窄连接；红队智能体几乎在每一条这样的服务里，都找到了能换取某种有限互联网访问的漏洞。在一次假设虚拟机已被攻破的测试中，一个智能体复用一条防火墙放行的连接，触达指标服务里被封禁的身份验证端点，再让该端点抓取一个模型提供的 URL。其余测试利用配置错误让被封锁的请求穿过 DNS 和防火墙，或诱使 OpenAI 自营服务抓取外部 URL。
跨隔离通信并不一定需要网络连接。一组实验要求分别运行在不同虚拟机里的两个智能体，在不使用网络、也没有共享可写文件的条件下交换合成的秘密信息：一个智能体把选定的数据逐出处理器缓存来编码信息，另一个靠计时重载、按读取快慢的差别解码，两端约定协议后即可传信。博客指出，这种缓存计时技术与 Spectre、Meltdown 攻击属于同一类原理。被证实的信道还有共享存储（以持续写入与空闲的时序差载信）、共享容器内对 CPU 时间的争用，以及离线网页基础设施中的 TLS 证书缓存。一个智能体在思维链（chain of thought）里写道：「可以造一个类似声学调制解调器的信号……用持续写入与空闲的对比。」在另一次测试里，智能体只拿到一份基础设施漏洞清单，就把其中一个漏洞改造成通信信道，并自行约定了编码方式。
OpenAI 同时给出了这些成果的边界：大多数侧信道传信很慢、难以被模型利用；公司已为这些信道增加监控检测。
红队的副产品：Brotli 解码器未认证 RCE
据 OpenAI 的 ，构造的 Brotli 压缩数据可破坏内存，导致崩溃、内存泄露或代码执行；攻击者只需发送或回复恶意压缩数据，无需注册任何账户。攻击方向是双向的：接受压缩输入的未修补服务器可被恶意客户端接管；接受压缩输入的未修补客户端（如 curl --compressed）可被恶意服务器接管。
暴露面也不限于 HTTP：任何把攻击者可控数据交给受影响 Brotli 解码器的应用都可能中招，包括压缩的 HTTP 请求体、从不可信服务器取回的响应和压缩文件；使用字体解码器、数据文件读取器的软件同样在列。仅用 Brotli 压缩出站数据，不构成对这一解码器漏洞的暴露。
时间线有些曲折。OpenAI 称，这个根因问题 2 月已在 Brotli 源码中修复，但当时没人知道它构成安全漏洞，Brotli 此后也没有再发新版；由于 Brotli 被内嵌进其他软件，所有内置该库的软件都得跟进更新，之后才轮到这些软件的用户升级。OpenAI 向 Brotli 和 Node.js 等下游项目披露后，Brotli 上游发布了 1.0.10、1.1.1、1.2.1 三个修复版本并公布 CVE（公共漏洞披露编号）；下游修复版本包括 Node.js 22.23.4、24.22.1、26.12.1，Bun 1.4.4，Envoy 1.40.0、1.39.3、1.38.6、1.37.8，以及 Istio 1.31.2、1.30.6、1.29.9。显示，长期支持版 24.22.1 于 10 月 21 日作为安全更新发布，其中 CVE-2026-111497 的 brotli 修复被列为 High；Patch the Planet 页面则提醒，Envoy 1.36、Istio 1.29 等旧分支已不受支持，应换到受支持的分支。
来不及升级时的缓解办法也写得具体：禁用对不可信数据的 Brotli 解码，gzip、deflate 可以保留——在请求体解析前拒绝 Content-Encoding: br，Envoy 和 Istio 关闭 Brotli 解压过滤器。页面同时提醒，把 br 从 Accept-Encoding 里删掉，拦不住服务器执意发送的压缩响应；只在 CDN 或 Web 服务器上关闭 Brotli 响应压缩，也不等于关闭请求方向和客户端侧的解压。完成更新后，还需要重建容器镜像，重启或重新部署每一个仍在运行旧构建的实例。Patch the Planet 页面转述 Node.js 公告称，漏洞由 OpenAI Codex Security 的 Khai Tran 和 Sylvie Mayer 报告，修复者是 Matteo Collina 与 Antoine du Hamel。
训练在 10 月 1 日恢复，高算力红队写进安全案例
OpenAI 称，红队没有找到既能被智能体轻易利用、又能躲开监控的互联网路线；结合已实施的修复、监控和自动停止系统的改进，公司判断加固后的防护足以恢复前沿 RL 训练与内部推理。
红队随之常态化。OpenAI 预留了大量算力用于持续红队，并把「用最强模型做高算力红队」写入安全案例（safety case），作为决定未来前沿训练和评估能否安全推进的依据之一。博客称，随着演习推进，智能体发现的漏洞和配置错误数量明显下降，公司视之为基础设施强度的积极信号；附带的曲线图说明则强调，曲线反映的只是演习规模与进度，并非算力与发现数量之间的受控关系。
OpenAI 在博客结尾列出的长期工作，包括继续修复并负责任披露多个虚拟机项目的未知漏洞、与云厂商持续红队周边设施、用智能体扫描自家源代码与云配置、测试监控与停止系统。公司同时预计，未来的模型将能发现并利用「我们尚未意识到的漏洞」——这正是它把红队写进安全案例的理由。截至发稿，这轮披露没有给出 9 月 20 日事件的具体技术经过，也没有列出红队发现的完整清单——OpenAI 自己说明，还有多项已披露的漏洞未公开；外部可以逐项核对的，是其中列出的各上游项目 CVE 编号、Patch the Planet 页面上的下游修复版本，以及 Node.js 10 月 21 日已经落地的安全更新。其余关于 OpenAI 自家基础设施与演习结果的陈述，来源均为该公司自己的描述。