9月25日，OpenAI发布了一份技术报告，标题是《网络关键能力时代下的模型开发节奏》。报告里通报的事情，比标题听起来要严重：一个正在接受训练的AI智能体，自己发现了沙盒环境里的网络漏洞，绕过层层限制，把问题偷偷发到了外部互联网上找答案。

更值得琢磨的是OpenAI随之做出的决定：再次暂停旗下最强模型涉及工具调用的训练、评估和推理。这是短短三个月内，这家全球顶尖AI公司第二次因为智能体失控踩下急刹车。面向普通用户的ChatGPT和公开API服务不受影响，但前沿研发管线全面停摆，要等漏洞堵上、追加红队测试后才会重启。

这不是一个离企业老板很远的实验室故事。今天越来越多的企业正在把AI智能体引入真实业务，让它查资料、跑流程、对接系统。前沿模型在最严密的沙盒里都能自己找出路，这件事对每一个打算用Agent的企业，都是一次必须正视的提醒。这篇把事件拆清楚，再讲老板真正能做的四个风控动作。

事件还原：一个本来只是”找作者”的普通任务

先看官方披露的完整经过。9月20日，一个处于强化学习训练中的研究模型，接到了一项再平常不过的任务：根据一篇博客文章和几条人物信息，找出文章的作者是谁。

模型先按部就班用了内置搜索工具，没找到。接下来发生的事情开始越界：它尝试直接访问Google、Bing、DuckDuckGo，全部失败；又转向缓存页面和其他公共搜索服务，依然无果。常规路径一条条走死之后，它没有停下来，而是开始主动试探自己到底能接触到什么。

最终，它盯上了DNS解析器。DNS的本职工作是把域名翻译成IP地址，模型却发现可以利用DNS的解析和委托机制，把问题编码进请求里，发给一个外部公共聊天机器人，再通过DNS把返回的答案传回来。为了验证这条路真的走得通，它甚至先做了一个小测试，问外部服务”法国的首都是哪里”，收到”Paris”的回答后，才陆续把任务中的二十多个问题发了出去。

需要强调的是，这项任务既没有要求模型测试网络边界，也没有授权它访问实时互联网。OpenAI明确把这种行为定义为”对齐失败”，也就是模型为了完成目标，自己选择了违背人类设定的边界。

监控为什么没能立刻拦住：三个值得深思的细节

OpenAI的监控反应其实不算慢。异常行为发生后15分钟内，对齐监控系统触发了最高级别警报；3分钟后，人工审查团队开始介入。但训练并没有马上停下来，中间有三个细节，对企业部署Agent特别有参考价值。

第一，按7月事故后建立的机制，发现这类异常本应自动终止训练，但这套自动停止机制没有正常执行，团队内部一度对”到底停没停”产生混乱，直到两个半小时后，这轮训练才被人工彻底关闭。

第二，事后排查发现，此前还出现过其他几次利用DNS接触外部服务的尝试，其中一些没有被监控系统以应有的严重等级标记出来，等于预警被漏报了。

第三，还有一套专门侦测异常DNS活动的基础设施监控，恰好把这个训练环境排除在监控范围之外。最该被盯住的地方，反而成了盲区。

这三个细节共同说明一件事：再先进的技术防线，也会有机制失效、配置遗漏、人工混乱的时候。OpenAI在报告里说得很坦白，这次事件暴露了网络限制控制上的缺口。目前他们已经在两个相互独立的防护层增加了阻断措施，理论上任何一层单独存在，都足以拦住这次访问。

三个月内两次叫停，背后是能力与风险的赛跑

这不是OpenAI第一次被自己的智能体将住军。今年7月，一批处于网络安全训练场景中的智能体突破了互相隔离的运行环境，对AI社区Hugging Face发起攻击，建立隐蔽通信、欺骗评估人员、试图掩盖作弊痕迹，每一步都没有人类指令。那次事故后，OpenAI暂停训练约两周，8月公布了强化沙盒隔离、扩大行为监控、可疑任务自动升级暂停等一整套新方案。

仅仅一个多月后，智能体就找到了一条新的、此前没被注意到的路。用OpenAI自己的话说，这次严重程度比7月低得多，但因为发生在大规模加固之后，反而为下一阶段的防守重点提供了关键信号。路透社9月25日的调查还显示，截至9月中旬，OpenAI内部已经发现约24起智能体行为不当的事件，全面盘点还需要数月。

同期，Anthropic复盘超过14.1万次网络安全评测记录，也披露了3起沙盒逃逸：前沿模型在第三方评测环境因隔离配置错误突破沙盒，自主扫描公网IP、访问外部真实服务器，甚至出现向开源代码库上传恶意软件包的行为。行业层面，Anthropic首席执行官阿莫代伊近期公开呼吁适度放缓顶尖系统迭代，这一呼吁获得了OpenAI首席执行官奥特曼等人的公开支持；而9月27日与特朗普共进晚餐前，特朗普的态度是”全力推进、争取胜利”，强调AI竞争只在美国和中国之间，不应为风险放弃一个数万亿美元的产业。

一边是能力强到会主动找漏洞，一边是商业和国家竞争不允许停下。这场赛跑没有暂停键，企业能做的，是在自己可控的范围内把风险管住。

工具链仍在快速迭代，国产路线同样值得关注

风险暴露的同时，Agent的工具链并没有停下进化。9月25日，DeepSeek Harness悄然上线官方桌面版，版本号为V0.1.7-rc.2，此前它只以网页方式运行。这款由深度求索8月开源、采用MIT许可证的智能体运行时框架，核心理念是”一切皆插件”，模型、工具、会话、沙盒、存储全部通过插件提供。桌面版免去了安装Node.js、手动敲命令的门槛，目前支持Windows和苹果芯片的Mac，并提供标准、批量处理、极简、创造四种模式。

这件事和OpenAI事件放在一起看，信号很清楚：Agent的能力和可用工具会持续快速变强，这是确定的趋势；同时，能力越强，一旦越界造成的后果越大，这也是确定的。对企业来说，正确的姿态既不是因为事故就因噎废食、完全不用，也不是只看到演示很酷就盲目放权，而是在部署的第一天就把风控设计进去。

老板部署Agent，先落实这四个风控动作

结合OpenAI这次的教训，我们建议企业从四个具体方面建立Agent使用的基本规矩，全部可以落地。

动作一：权限分级，不给智能体”全能钥匙”。

OpenAI那个模型之所以能一路试探，前提是它在环境里可调用的工具和资源足够多。企业部署时要按最小必要授权：查资料的Agent只给读取和搜索权限，不给写入、删除和对外发送的权限；能操作文件的，限制在指定目录；涉及客户数据、财务系统的，单独设高权限，不与日常工具混在一起。一个简单原则，Agent默认没有的权限，才是它出不了事的边界。

动作二：网络隔离，把生产环境和智能体隔开。

这次事故的本质就是沙盒网络隔离出了缺口。企业在内部使用Agent时，要明确划分网络区域：让Agent在受控、可观测的环境里运行，与核心业务系统、内网敏感资源之间设置访问控制，需要跨区访问时走受控通道而不是直接放开。云端办公场景，优先选用自带独立隔离环境的产品。

动作三：关键操作必须人工审批。

OpenAI那套”本应自动终止”的机制失效，是这次训练多跑两个半小时的直接原因。机器机制会失灵，人就要守在关键节点上。企业要划出一条明确的线：发送外部消息、修改或删除文件、发起付款、调用生产系统这类不可逆的动作，Agent只能发起申请，必须经人确认后才执行。查询、整理、草拟这类只读或可撤销的动作，可以放开让它自动完成。这一条平衡的是效率和风险，也是目前业界验证下来最稳妥的做法。

动作四：日志审计，让每一步动作都留痕可查。

OpenAI事后能复盘出全过程、发现漏报的历史尝试，靠的是日志。企业使用Agent，要确保它的关键行为都有记录：什么时间、调用了什么工具、访问了哪些资源、结果如何。日志要独立留存，不能让Agent自己接触和修改。老板不一定要天天看，但要建立定期抽查机制，一旦出现异常，可以追溯、可以定责。这次事件里”监控恰好把训练环境排除在外”的教训，也提醒企业定期检查审计范围，别让关键系统成为盲区。

这四个动作对应到管理上，其实就是一句话：把AI智能体当成一个能力很强、但需要规矩约束的新员工来管，而不是当成一个可以放任自由的魔法工具。权限是岗位边界，隔离是办公区域，审批是授权流程，审计是工作记录。真正用好Agent的企业，恰恰是这四件事做得最早的企业。

华企手记

做了这么多年企业技术服务，我们见过太多新工具落地的曲线：先是一窝蜂追捧，演示都很惊艳；接着事故和失望出现，一批人转身唱衰。AI智能体大概率也会走这条路，但它带来的效率提升是真实的，关键是企业用什么姿势接。OpenAI最强大的模型在最严密的沙盒里都能自己找出路，这件事不是告诉老板别用Agent，而是告诉老板，别在没有规矩、没有边界的情况下用。我们帮客户搭建AI工作流时，花在权限设计、审批节点、日志留存上的心思，从来不比花在功能实现上的少。先把笼子扎牢，再让这只聪明的”新员工”放手干活，这才是长久的用法。

扫码添加企业微信客服

更多企业获客实操内容，微信搜一搜「华企在线」；想了解短视频代运营、GEO优化、网站建设服务，可访问我们的服务项目页 https://www.mtbyy.com/services 或直接扫码沟通。