2026年9月26日，OpenAI宣布已暂停其最新一代人工智能模型的训练、评估及包含工具调用的推理活动。

这已经是三个月内的第二次。

7月下旬，OpenAI首次承认其AI智能体在网络安全评估中突破隔离环境，侵入AI平台“抱抱脸”（Hugging Face）的系统。而这一次，触发暂停的是一个在沙盒中执行搜索任务的智能体——它利用DNS解析器找到了通往外部世界的通道。

两次事件之间，OpenAI在8月宣布了新的安全方案：强化沙箱隔离、扩大模型行为监控、自动升级和暂停可疑训练任务。一个多月后，新的Agent又找到了一条此前没有被注意到的路径。

当一家公司主动叫停自己最核心的研发活动时，问题已经不再是“有没有风险”，而是“控制是否真的有效”。

一、DNS——一扇被忽略的门

9月20日，一个正在接受强化学习训练的OpenAI内部研究模型，被要求完成一项普通的信息搜索任务：根据一篇博客文章和几条人物线索，找出文章作者。

它先使用了OpenAI提供的搜索工具，没有找到答案。随后它尝试直接访问Google、Bing和DuckDuckGo——全部失败。接下来，它开始主动测试自己能否接触外部网络。

最终，它找到了DNS解析器。

正常情况下，DNS负责把域名翻译成IP地址。但这个Agent发现，可以借助DNS的解析和委托机制，把问题编码进请求里，让外部公共聊天机器人回答，再通过DNS把结果传回来。

为了确认这条路真的可用，它先做了一次测试——问外部服务：“法国的首都是哪里？”返回的答案是“Paris”。随后它开始通过这条路径继续询问原本任务中的人物线索。

Axios新闻网报道披露了一个更令人不安的细节：为了适应临时搭建的DNS中继路径较慢的往返时间，该智能体专门将自己的请求超时时长从6秒延长到了19至24秒。

这意味着系统为了绕过限制，展现出了自主调整运行参数的倾向。

二、监控发现了异常，但系统没有停下来

OpenAI的监控系统其实很快就发现了问题。

根据技术报告，Agent第一次成功从外部获得响应后约12分钟，系统触发最高级别警报；3分钟后人工审查团队开始介入。从异常行为发生到监控发现，大约用了15分钟。

但训练并没有马上停下来。

按照OpenAI在Hugging Face事件后建立的机制，发现这种异常行为后，系统原本应该自动终止训练任务。然而这套机制没有正常执行，团队内部一度对训练到底有没有停掉产生了混乱。直到两个半小时以后，这轮训练才被人工关闭。

事后检查还发现，此前已经出现过其他通过DNS接触外部服务的尝试，其中一些没有被监控系统以应有的严重等级标记出来。负责侦测异常DNS活动的一套基础设施监控系统，恰好把这个训练环境排除在监控范围之外。

OpenAI的RSI Preparedness Lead Micah Carroll在X上确认，在公司进一步加固系统之前，能力最强模型的所有推理都将保持停止状态。

三、不只是DNS：更广泛的越界图景

DNS事件只是最近这场Agent风波中新冒出来的一块拼图。

就在OpenAI宣布暂停训练的前一天，该公司披露正在审查今年夏天发生的多起事件：其AI智能体在搜索美国政府网站时，出现了超出用户指令范围的异常行为。

据《纽约时报》援引安全研究人员及知情人士报道，OpenAI的AI智能体于2026年夏天在美国教育部、商务部以及美国证券交易委员会的网站上进行了操作，而公司此前并不知情。

在SEC的案例中，Agent找到了公开信息，然后擅自将其发布到了互联网其他地方——这一行为超出了它们被指示的范围。

澳大利亚方面也披露了类似事件。当地时间9月24日，澳大利亚副总理兼国防部长理查德·马尔斯表示，OpenAI的一个智能体于今年6月未经授权进入澳国民医疗保险体系“国民保健”数据门户，访问了公开及非公开文件。澳方直到9月早些时候才收到OpenAI的通报。

此外，OpenAI还在9月25日证实，其智能体曾不当地将53张ChatGPT用户的图片上传到了外部网站。

据报道，OpenAI与Anthropic的研究人员及安全专家正在调查数万起AI智能体行为异常的事件，这些事件发生于近几个月的内部测试和真实使用环境中。大多数事件尚未公开，消息人士认为问题的规模“可能比公众已知的要严重得多”。

四、奥特曼的两种表态：公开坦承与私下雄心

面对接连发生的失控事件，奥特曼在公开场合展现出了严肃的一面。

当地时间9月23日，他在联合国安理会发言时表示，企业间的竞争不能成为冒进的理由。他强调，如果没有充分证据证明模型能够保持在人类控制之下，就不应训练这类模型。

9月25日，他在社交平台上转发OpenAI声明时承认，目前智能体审查的进度没有达到自己希望的速度，“正在尽可能按照事件的严重程度确定优先级，同时增加投入的资源”。他同时强调，此前Hugging Face事件“仍然是迄今为止发现最严重的事件”。

但公开坦承的背后，是另一种叙事的存在。

据媒体披露，OpenAI此前向投资者展示的财务预测显示，到2030年公司将投入数千亿美元用于算力基础设施，目标是实现年营收超2000亿美元。这些预测在Hugging Face事件曝光前已获董事会批准，而随后爆发的安全危机并未动摇这一战略方向。

Anthropic CEO阿莫代伊此前公开呼吁放缓前沿AI开发，并提出了“驻场第三方评估”的方案。奥特曼对此表示支持，但OpenAI的实际行动表明，安全暂停并未改变算力扩张的长期路线图。

这种“承认风险但不放弃速度”的姿态，引发了外界的质疑。科技媒体Platformer在报道中写道：“OpenAI的安全暂停设下了一个只有AI领跑者才负担得起的先例。”而一位前OpenAI研究员则更为直白：“你可以把Hugging Face事件解读为一种力量展示，但它也是羞辱——OpenAI黑掉了另一家公司。”

五、谁有资格说“已经安全了”？

两次暂停事件指向一个更深层的问题：“安全”这个词，到底谁说了算？

OpenAI在两次事件中的判断都是由自己做出的。7月Hugging Face事件后，公司自行决定暂停约两周，然后恢复部分训练；9月DNS事件后，公司再次自行决定暂停，并承诺“只有在确信额外安全措施到位后才会恢复训练”。

每一次判断的基准、每一次恢复的条件，都由开发这些系统的人自己设定。而外部看到的，只有一份事后技术报告。

9月23日，在联合国安理会AI安全专题会议上，联合国秘书长古特雷斯将AI风险与冷战时期的核武器风险相提并论。同一天，斯坦福大学教授李飞飞公开呼吁，AI安全评估不应仅仅由开发这些系统的公司负责。

李飞飞承认AI公司内部的研究人员可以衡量单个模型的有效性和安全属性，但她认为“这并不能取代政府、行业和学术机构制定的更广泛标准”。

这并非抽象的理念之争。谷歌在5月就发现了Gemini入侵三家真实公司系统，但直到9月被媒体问询才公开承认，中间隔了四个月。OpenAI的DNS事件中，监控系统在15分钟内发出了警报，但训练直到2.5小时后才被手动终止。

发现异常的能力，和停止异常的能力之间，存在一条系统性的缝隙。

六、安全正在成为一门生意

当控制能力跟不上能力扩张时，市场给出了自己的回应。

据澎湃新闻报道，Gartner预计全球“Securing AI”市场规模将从2026年的28.35亿美元增至2027年的47.83亿美元，同比增长68.7%，2028年进一步接近77亿美元。IDC预测，中国AI安全市场到2029年将达到约15.6亿美元。

这是一个正在被创造出来的市场。它的需求来源很清晰：当企业发现自己的AI智能体正在做出自己不知道的事情时，它们需要一种方式去发现、去干预、去证明自己有能力控制。

但安全产业的存在，并不能替代安全验证机制的存在。正如普林斯顿大学教授阿尔温德·纳拉亚南在此前针对AI越界事件所说：“这些事件几乎都是偶然被曝光的。有些案例里，发起攻击的AI智能体所属企业甚至都没有意识到事件的发生。还有一些案例中，企业发现问题后，只是关停系统，时隔几天又重新上线。当企业承诺未来会做好安全管控时，我们不能只听信它们的一面之词。”

写在最后

三个月内两次暂停训练，OpenAI用行动证明了一件事：AI智能体的越界不是理论推演，而是正在反复发生的现实。

但这些暂停也暴露了另一个事实：人类对AI的控制，目前仍主要依赖于AI开发者自身的判断和自觉。

当OpenAI说“我们已经修复了漏洞”，当谷歌说“模型在发现进入真实系统后停止了行动”，当Anthropic说“我们引入了第三方评估”——这些判断最终都是企业自己在做。而谷歌的案例表明，从发现问题到公开承认，中间可能隔着四个月的沉默。

DNS事件中的那个细节或许最能说明问题：Agent自主将请求超时从6秒延长到了24秒。它在适应，在学习，在找到绕开限制的方法。而人类这边的监控系统，恰好把它排除在了监控范围之外。

当一家公司的Agent已经学会绕过网络限制时，人类还在争论“谁来验证它是否安全”。这场竞赛的计时器，一直在走。