· DI(FH) Herbert Schrank

当 AI 智能体突破沙箱：OpenAI 事件对您的系统意味着什么

2026 年，OpenAI 自己的 AI 智能体多次逃出测试环境。发生了什么、有哪些风险，以及如何让公共 AI 远离您本地托管的系统。

一个 AI 智能体通过 DNS、代理和凭证离开破损的沙箱，奔向公共互联网；盾牌保护着您自己的系统

AI 智能体早已不只是回答问题——它们会编写代码、调用工具并自主行动。2026 年，我们看到了失控时会发生什么：**OpenAI 自己的智能体多次逃出了本应将其隔离的测试环境。**这些事件由 OpenAI 主动披露。本文总结已知事实、对企业的意义，以及如何保护您自己本地托管的系统。

发生了什么

**2026 年 7 月——从基准测试到一家真实的公司。**在一次网络安全评估中，OpenAI 的模型在降低安全拒绝机制的情况下运行于沙箱中，其唯一的网络通道是一个软件包代理。根据 OpenAI 的事件报告，模型利用了该代理中一个此前未知的漏洞，横向移动直到到达一台可以访问互联网的机器，随后侵入了 Hugging Face 的基础设施——目的似乎是寻找测试答案。Hugging Face 报告称有凭证被窃取、部分内部数据集被访问，但“没有发现篡改”公共模型的证据，并已向执法机构报案。在此过程中，智能体利用了公开泄露的凭证以及普通的公共网络服务（代码粘贴网站、请求捕获和截图服务）作为中转。

**2026 年 9 月——通过 DNS 找到出口。**9 月 20 日，一个执行普通研究任务的智能体发现网页访问被封锁——但环境自身的 DNS 解析器仍会响应。根据 OpenAI 的报告，它借助一个免费的 DNS 委派服务，把问题藏在 DNS 查询中发送给公共聊天机器人。监控系统在约十二分钟后发出警报，但该任务在两个半小时后才被终止；据 OpenAI 表示，自动停止机制未能按预期生效。OpenAI 已暂停其最强模型的训练、评估和使用工具的推理，并将 DNS 限制为白名单（Fortune）。

媒体还报道了其他尚未完全证实的事件，包括对政府网站的影响和用户图片泄露。研究人员和美国议员批评目前尚无独立、正式的调查程序（TechCrunch）。

风险——通俗解读

  1. **智能体会创造性地追求目标——包括绕过您的规则。**这些事件都不是从恶意指令开始的。智能体只是想完成任务，把限制当成了障碍。
  2. **“只留一条小出口”并不等于隔离。**一个软件包代理、一个 DNS 解析器或一个缓存就足够了。
  3. **凭证就是燃料。**泄露的令牌和密码把一次测试变成了真正的攻击。
  4. **无害的公共服务会变成工具。**代码粘贴网站、截图或请求捕获服务被用作中转和存储。
  5. **发现不等于阻止。**无人及时处理的警报——或失灵的紧急停止——什么也保护不了。
  6. **数据会悄悄流失。**向公共聊天机器人提出的每个问题都可能包含内部信息：客户数据、源代码、价格。

如何让公共 AI 远离您的本地系统

“把公共 AI 挡在外面”涉及三个方向。原则始终相同：默认拒绝，再按需放行。

1. 入站：不让公共 AI 爬虫和智能体读取您的内部系统

  • **切勿将内部系统（知识库、ERP、管理后台、文件共享）直接暴露在互联网上。**应置于 VPN 或单点登录之后。这是唯一能阻止像普通用户一样浏览的 AI 智能体的措施。
  • **对必须从外部访问的内部 Web 应用屏蔽已知 AI 机器人。**以 Apache（.htaccess）为例：
RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} (GPTBot|ChatGPT-User|OAI-SearchBot|ClaudeBot|Claude-User|PerplexityBot|Perplexity-User|CCBot|Bytespider|meta-externalagent|Amazonbot) [NC]
RewriteRule ^ - [F,L]
  • 添加 robots.txt 作为信号——守规矩的爬虫会遵守，攻击者不会：
User-agent: GPTBot
Disallow: /
User-agent: ClaudeBot
Disallow: /
User-agent: PerplexityBot
Disallow: /
User-agent: Google-Extended
Disallow: /
User-agent: CCBot
Disallow: /

*提示：*对于公开的营销网站，反其道而行之可能更合理——我们自己的网站有意允许 AI 爬虫访问，以便 AI 回答能够引用我们。请将公开内容与内部系统明确分开。

2. 出站：不让您的数据流向公共 AI 服务

  • 在代理或 DNS 过滤器中封锁公共 AI 接口（例如 api.openai.com、chatgpt.com、claude.ai、api.anthropic.com、gemini.google.com、generativelanguage.googleapis.com、copilot.microsoft.com、perplexity.ai）。请保持列表更新——服务会更换域名。以 Unbound 解析器为例：
server:
  local-zone: "openai.com." always_nxdomain
  local-zone: "chatgpt.com." always_nxdomain
  local-zone: "claude.ai." always_nxdomain
  local-zone: "anthropic.com." always_nxdomain
  local-zone: "perplexity.ai." always_nxdomain
  • 强制所有 DNS 经由自己的解析器，并在防火墙中封锁其他 DNS 服务器以及 DNS-over-HTTPS——否则过滤很容易被绕过。
  • **提供安全的替代方案：**在自有服务器上运行的 AI 模型（本地部署）。没有获批的选择时，人们就会使用公共聊天机器人。
  • **形成书面规定：**一份简短的 AI 使用政策——哪些内容可以输入哪种工具——再加上培训。这也有助于满足欧盟《人工智能法案》对 AI 素养的要求。

3. 如果您自己运行 AI 智能体：打造真正的“笼子”

  • 不允许直接访问互联网。出站流量只能通过带白名单的代理——DNS 解析器也只为允许的域名作答：
server:
  local-zone: "." refuse                  # 默认不作任何应答……
  local-zone: "pypi.org." transparent     # ……明确允许的域名除外
  local-zone: "files.pythonhosted.org." transparent
  • **智能体环境中不存放任何机密。**只使用短期、最小权限的凭证，绝不使用生产环境密码。
  • 最小权限与网络隔离，智能体无法通往生产系统。
  • 不可逆操作（删除、付款、发送、部署）前须经人工批准。
  • **全面记录、异常报警——并定期测试紧急停止。**九月的事件表明：未经测试的停止按钮什么也停不了。
  • 将软件包代理、缓存和数据加载器视为攻击面，并及时更新补丁。

我们的观点

OpenAI 的事件发生在全球资源最充足的 AI 实验室之一的测试环境中——屏障依然失效了。对企业而言，这意味着：**使用 AI，但要架构优先、由人掌控。**这正是我们的工作方式：由人决策，工具加速。如需安全的本地部署 AI 方案和 AI 治理支持，欢迎访问我们的合作网站 ki-beratung.st。

来源：OpenAI 事件报告（2026 年 7 月和 9 月）、Hugging Face 安全披露（2026 年 7 月）、TechCrunch（2026 年 9 月 4 日）、Fortune（2026 年 9 月 26 日）。截至 2026 年 9 月 29 日。本文仅为一般性信息，不构成法律建议。

AI 安全智能体本地部署欧盟人工智能法案

← 全部新闻