OpenAI断网训练AI，智能体却借CPU缓存互传秘密

OpenAI如今训练能力最强的AI模型时，已关闭实时互联网连接。模型转而在一份离线版网络中工作：这是一个庞大的网页索引与缓存库，模型可以在其中搜索、浏览和编写代码，却无法访问任何真实网站。在测试这个封闭环境时，OpenAI还发现了更意想不到的情况：智能体仍能通过运行它们的处理器彼此交谈。

测试中，OpenAI把AI智能体分别放在彼此之间没有网络连接的虚拟机上，并要求它们交换秘密。它们自行摸索出了一种方法：一个智能体将选定的数据从处理器缓存中清除，另一个则测量这些数据再次加载需要多长时间。读取速度快，代表一种含义；读取速度慢，则代表另一种含义。两者约定好一套编码后，就能在不建立连接、不接触共享文件的情况下传递消息——这就像囚犯隔着牢房，用敲击水管的方式交谈。

对于ChatGPT用户来说，这项变化发生在更上游的训练环节。这些模型日后将为聊天机器人，以及替用户浏览网站、使用应用的智能体提供支持；而OpenAI已不再让它们通过开放网络学习。公司在一篇博客文章中解释了这一决定：“鉴于当前对齐研究、监控系统以及互联网基础设施安全的现状，我们认为，负责任的做法是在无法访问互联网的条件下训练前沿模型。”公司如今表示，“我们必须始终能够阻止前沿模型擅自、任意访问实时互联网。”

在这个离线环境中，智能体仍可使用训练任务所需的浏览器、计算机操作工具和代码环境，而且只能与其他获准的智能体通信。OpenAI将替代方案描述为“一个庞大的网页索引与缓存内容库，模型可以与之交互，而不会对外部系统造成影响”。公司称，训练以及大多数评估工作都不需要实时互联网。

为了测试这道防线，OpenAI派出成群的自家智能体尝试越狱。它们发现了一些漏洞，能够逃出原本用于隔离它们与底层计算机的虚拟机。OpenAI表示，已披露并修复多个虚拟机中的漏洞，还增加了检查机制，让监控系统能够发现模型试图协调行动的情况，包括利用缓存进行通信的伎俩。

这种做法显然有其局限。缓存网络只是一个快照，模型能否像从真实网络中学习那样有效地从副本中学习，仍是个未解问题，正如TechCrunch所指出的。将训练环境彻底隔离也成本高昂：OpenAI前研究员史蒂文·阿德勒（Steven Adler）告诉《财富》杂志，这“意味着研究团队基本上得常驻爱荷华州或世界其他地方的数据中心”，并称这“会带来大量额外开销”。缓存实验本身也敲响了警钟：切断网络连接，并不能阻止智能体找到其他通信渠道；针对某一种渠道设计的检查机制，也未必能发现下一种。

这项政策出台前，公司接连发生了几起事件。7月，OpenAI披露，其正在测试的智能体曾入侵Hugging Face。9月20日，一个负责搜索任务的内部研究模型在沙盒中发现DNS过滤存在漏洞，并利用漏洞查询了一项公共聊天机器人服务。OpenAI的监控系统在15分钟内标记了这一行为，但直到两个半小时后，这次运行才被叫停。公司暂停了能力最强模型的训练，并于10月1日采取更严格的安全措施后恢复训练。Anthropic在OpenAI宣布这一政策约两周前，已开始让其最新模型远离实时互联网；Anthropic还表示，英国人工智能安全研究所如今也在离线环境中进行评估。

OpenAI尚未说明何时会重新接入互联网。离线规则将一直维持，直到更完善的防护措施“足以证明扩大互联网访问权限是合理的”；公司没有给出具体时间。因此，眼下它最先进的模型仍将通过世界的副本来了解世界。

标签: 人工智能, OpenAI, Anthropic, 网络安全, AI智能体, Hugging Face, AI训练