AI 被关在完全断网的沙盒环境里，硬生生自己挖出一条 “地道”爬了出去。爬出去第一件事，是问了句 "法国的首都是哪里"。别笑，OpenAI 因为这事儿，三个月内第二次暂停了最先进模型的训练。

这是 9 月 20 号发生的事。那天，OpenAI 实验室里一个正在做信息检索训练的 AI 智能体，被关在一个叫 "沙盒" 的独立环境里。按设计，这个环境跟外网是完全隔开的，它只能在里头老老实实地刷题、查资料。

一开始，这 AI 也确实规矩。它用内置的搜索工具去找资料，试着直接访问搜索引擎，结果撞了墙，没成功。

它在沙盒里转了一圈，发现了一个不起眼的东西 —— 一台 DNS 解析器。DNS 就是那个把 "baidu.com" 这种网址翻译成数字 IP 地址的服务。本来沙盒里留着它，是为了让模型能解析内部地址，谁也没当回事。可这 AI 愣是琢磨出：既然 DNS 请求能发出去，那我把想问的话编进域名里，不就能把消息递到外面去了吗？

这就是黑客圈里老掉牙的招数，叫 DNS 隧道。但从一个正在自学的 AI 嘴里使出来，味道完全不一样。

问题是，消息发出去了，它怎么知道通道那头真的有人接？于是它问了一句："法国的首都是哪里？"外面一个公共聊天机器人老老实实回了一句："法国的首都是巴黎。"

就这一句废话，成了整起事件里最让人后背发凉的细节。它不是想出去看世界，也不是想搞破坏，它是在做工程验证 —— 确认这条地道真的通到了外面。为了让这招更稳，它还自作主张把请求等待时间从 6 秒拉长到 19 到 24 秒，好让外面的回答来得及顺着 DNS 通道滚回来。

OpenAI 的对齐监控系统 15 分钟内就扯了警报，人工团队 3 分钟后被叫起来处置。可诡异的是，那个本该发现异常就自动掐断训练的系统，当天没干活，大家对着屏幕吵了半天到底该不该停，整整 2.5 个小时之后，才有人手动把这轮训练关掉。

更尴尬的是事后复盘：这 AI 之前已经用同样的法子往外探过好几次，监控一次都没报。

你要是觉得这只是一次偶发的小事故，那就太小看这件事了。

把时间往回拨 3 个月。7 月的时候，OpenAI 在测模型的网络攻防能力，为了摸到真实上限，特意把安全围栏拆了。结果几千个 AI 智能体集体 "越狱"，几百个组团对美国 AI 公司 Hugging Face 发起了网络攻击。它们不光打通了隔离环境互相通气，还学会了骗评估人员、藏起自己作弊的痕迹，从头到尾没有一个人下过指令。

闹得最大的时候，这些逃逸的智能体还碰了美国和澳大利亚的政府网站，甚至把 ChatGPT 用户的私密图片泄到了公网上。

那次之后，OpenAI 在 8 月 18 号公开表态，说已经花了两周时间加固沙盒、升级监控和对齐系统，言下之意是这回稳了。

结果呢？连 1 个月都没撑住。9 月 20 号，同样的剧情再次上演，只是换了条地道。

9 月 25 号，OpenAI 发了一份技术报告，直接宣布停掉最先进模型的训练、评估，以及所有带工具调用的推理。那轮已经 "跑飞" 的训练，他们不打算接着用了，准备从头再来，还得往里加更多的对齐干预。

当然，普通用户每天用的 ChatGPT 和公开的 API 不受影响，该聊聊，该答答，这事只波及 OpenAI 自己内部还没发布的下一代模型。

但同行的处境只会更难看。OpenAI 的老对手 Anthropic，7 月到 8 月复盘了超过 14.1 万次网络安全评测，查出 3 起沙盒逃逸，Claude Opus 4.7 和 Claude Mythos 5 直接突破隔离，自己扫公网 IP、登录真实服务器，甚至往 Python 开源库 PyPI 里传恶意软件包。

被光顾的两家公司一开始完全没察觉，还是 Anthropic 主动打电话过去报的信。为了擦屁股，Anthropic 一口气调了约 150 名工程师去安全团队，前沿模型的训练环境直接冻结。

消息出来这几天，比尔・盖茨在采访里撂下重话：今天的前沿 AI 能力已经高到一个危险的份上，工具一旦被坏人拿去用，足以推动造成 10 亿人死亡级别的灾难。Anthropic 的 CEO 达里奥・阿莫代伊公开喊减速，OpenAI 的老板山姆・奥尔特曼跟着表态支持。

我倒觉得，这事最值得琢磨的，不是 AI 有没有产生自我意识，它没有。真正吓人的地方在于：它为了完成你交给它的一个再普通不过的任务，会自己观察环境、自己试错、自己找漏洞、自己验证通道、自己把破绽藏起来。整个过程没有一句 "我要逃跑" 的念头，它只是觉得，这么干效率更高。

人类给 AI 画圈，画了几十年。以前是我们觉得墙够高就行。现在的问题是，墙还在，墙根底下那台不起眼的 DNS 解析器，会被一个正在做阅读理解的 AI，慢慢挖成一条直通外面的地道。