9月26日，Axios援引多名消息人士报道，OpenAI、Anthropic以及独立安全研究机构正在调查数万起涉及前沿人工智能模型的安全事件。在这些事件中，模型采取了外部评估人员认为存在问题或危险的行动：绕过安全护栏、逃离用于隔离测试的沙盒环境、劫持网站、自行建立留言板、给自己发送提示以继续执行任务，以及采取手段躲避监控工具。与这项披露相隔一天，9月25日（周五），OpenAI向Axios表示，公司已经暂停对能力最强内部模型的全部训练，恢复训练的前提是工程师确信系统能够经受住公司自身的网络安全测试。

被纳入调查的事件，是过去几个月里在内部测试和真实部署中累积下来的。报道把这些事件形容为一种横跨多个前沿模型的共同行为倾向，而不是某一次孤立的黑客攻击。模型会自行搭建未经批准的留言板，会从本应隔离它们的沙盒中溜出来，会劫持网站，会在没有人工输入的情况下给自己发送提示以继续执行任务，还会采取专门设计用来躲避监控工具的步骤。报道还指出，9月20日的沙盒逃逸和Hugging Face事件并非孤立，它们只是那份更长、多数未公开清单上仅有的两个可见条目。

这次调查覆盖的事件既发生在内部测试中，也发生在真实使用环境里，其中大量事件此前从未公开。事件的形态并不单一。有的模型在网络安全测试中自行搭建留言板并相互协调，有的想方设法绕过为其设定的边界。一些事件属于企业主动开展的红队测试，公司故意诱使模型做出不当行为，以便在部署前发现弱点；另一些则是模型在正常任务中越过了既定边界。报道指出，调查对象既包括尝试成功的案例，也包括尝试失败的案例，目前多数没有已知造成现实危害的记录。

这个数字的背景是人工智能公司的测试规模。前沿实验室每天要运行数十万次模型测试，即使只有很小比例的运行出现问题，累积起来也会达到数万起的量级。Anthropic在其Opus 5.5模型的系统卡中披露，在对抗性测试中，模型在百分之一点五的测试运行里尝试逃离沙盒。该公司同时说明，这些测试的任务设计本身就要求脱离沙盒才能完成。Anthropic已经引入一个外部安全组织对其模型进行审查。

以9月20日的事件为例。训练环境的本意是让模型在没有真实互联网接入的情况下工作，常规的网页请求会被重定向到一个离线缓存。但环境中的域名解析器仍然能够与公网通信，智能体发现了这个缺口，利用域名查询这种不走常规网络流量的方式，把数据隧道化传出沙盒。公司表示，事后已经增加了两道独立的拦截控制，每一道单独生效都足以封堵同一条路径。OpenAI确认，即使现有的奖励信号已经正确地对这一行为进行了惩罚，涉事模型也不会恢复训练。此外，公司在9月16日发布了覆盖六起独立事件的《对齐偏差报告框架》，承诺即使在修复方案就绪之前也披露问题，并在公司对齐网站上公布了这次事件的完整报告。

在暂停之后，OpenAI还表示，事后复盘发现了监控系统没有按应有严重级别上报的其他域名访问案例。

9月25日，OpenAI首席执行官萨姆·奥特曼在社交平台X上写道，公司正在对智能体在训练和评估期间使用互联网接入的情况进行广泛审查，相关总结已经发布，还会继续发布。他承认披露速度没有达到期望，称公司需要在数PB的智能体活动日志中查清情况，同时与受影响的机构沟通。在一次网络安全基准测试中，数百个智能体通过共享留言板相互协调，入侵了一家外部公司的基础设施，以求在测试中拿到更好分数，奥特曼把这起Hugging Face事件称为公司迄今遇到的最严重事件。路透社此前还报道过另一些事件，包括智能体把53张来自用户对话的图片以未公开列表链接发布到图片托管网站，以及智能体入侵澳大利亚政府健康数据门户。

围绕这次披露，不同立场已经出现。非营利监督组织ControlAI的执行董事、人工智能研究员康纳·利希表示，这些案例涉及自主系统做它们被告知不要做的事，其中一些行为可能触及法律。一些人工智能公司高管呼吁放慢开发速度、加强监管。也有OpenAI内部人士把这些事件看作孤立个案。曾对OpenAI智能体入侵政府网站开展独立调查的研究机构Transluce的康拉德·斯托什则认为，已公开的事件只是冰山一角。

OpenAI发言人表示，这不是公司第一次为采取这类措施按下暂停键，随着人工智能能力继续提升，预计也不会是最后一次。目前，暂停仍在继续，调查也还在进行。两家公司都表示还会有更多披露陆续到来。