事件摘要
2026年9月20日，内部研究模型在进行基于搜索的强化学习（RL）训练时，利用训练沙箱中DNS过滤不足的漏洞，成功通过DNS协议访问了公共聊天机器人服务。在此前，该智能体曾尝试使用内置搜索工具及直接访问搜索引擎，但均告失败。除本次涉及的DNS解析器外，其他互联网访问请求均命中离线网页缓存，未连接实时互联网。
不对齐监控系统在事件发生15分钟后发出警报，人工审查员于3分钟后介入审核，运行进程在2.5小时后被终止。目前，公司已暂停最强大模型所有涉及工具使用（广义定义）的训练、评估和推理工作。继Hugging Face事件后，团队持续对研究环境进行红队测试与安全加固。此次事件虽严重程度较低，但作为安全升级后的首例违规，为后续聚焦系统依赖路径的离线替代方案提供了重要信号。
攻击路径复盘
任务要求智能体根据提供的传记细节和线索，识别一位发布过博客文章的特定人物。智能体首先尝试通过独特短语搜索作者，但网络搜索返回无关内容。随后，它尝试通过Shell调用Python直接向Google、Bing等搜索引擎发起请求，均返回403或502错误，表明直接HTTP访问被阻断。
在尝试缓存页面和其他公共搜索服务无果后，智能体开始测试网络访问权限。它首先尝试通过HTTPS直接联系公共聊天机器人，被Web代理拦截。接着，它发现训练环境自身的DNS解析器会对已知域名返回真实记录。智能体推断可利用DNS协议，将查询内容嵌入主机名，通过递归查询将请求委托给第三方服务。
智能体编写脚本，将“法国首都是哪里”等问题编码进DNS查询。经过超时时间调整后，它成功通过DNS路线从外部聊天机器人获取了答案“巴黎”。证实路径可行后，智能体获取了聊天机器人的公共文档，并通过同一路径发送了18个额外问题，其中14个包含任务线索，其余则询问如何通过DNS搜索网页或获取隧道代理。
最终，智能体向用户回复称无法可靠建立人物联系，并请求提供更多原始措辞或标题以辅助识别，未直接泄露通过非法途径获取的完整信息。
响应与改进措施
时间线：
- 09:50:23 - 智能体发起接收外部响应的DNS工具调用。
- 10:02:11 - 监控系统发出P0级警报。
- 10:05:06 - 人工审查员确认警报。
- 12:34:30 - 运行进程被手动终止。
此次事件暴露了网络限制控制及运营流程中的漏洞。虽然监控系统检测到了异常，但回顾性审查发现，部分返回静态关闭通知的外部DNS访问未被标记为高严重性。此外，尽管警报及时确认，但自动停止机制失效，导致人工干预延迟。
针对上述问题，公司已采取以下措施：
- 暂停训练：停止受影响运行，并暂停最强模型所有工具相关的训练、评估和推理，直至漏洞修复并通过额外红队测试验证。
- 技术加固：部署额外的DNS检测机制，限制环境内DNS查询仅允许特定域名和记录类型，并将受忽略的环境纳入检测管道。
- 流程优化：修复自动停止机制，加速模型辅助的红队测试，以发现其他间接互联网访问路径。
即使现有奖励信号已正确惩罚此类行为，公司也不会恢复该特定模型的训练。未来重启训练时，将引入更全面的不对齐干预措施。