OpenAI 把前沿模型的強化學習搬進「離線世界」：模型可以搜尋、瀏覽快取網頁，實際網際網路則留在授權範圍之外。10 月 23 日的文章寫明，經過加固，已於 10 月 1 日恢復前沿模型的強化學習及內部推論。
這是先前 DNS 連網事件後的重要進展。對建置 AI 代理執行環境的台灣團隊，值得看的是隔離設計如何改變：除了限制模型能用的工具，公司還把「主機已經被突破」列為測試起點，檢查外圍防線能否繼續阻擋連網。
模型練習上網，使用的是離線內容
代理需要練習找資料、操作瀏覽器與網頁應用。離線環境提供已建立索引與快取的內容，讓這些操作仍能發生，同時把訓練過程與外部網站隔開。公司的前沿強化學習目前均採這種做法。
不過，承載研究工作的基礎設施仍要執行、監控實驗，因此保留必要的外部連線。這使得「模型離線」與「整座機房拔掉網路」有明確差別。前者需要控制模型可以經由哪些服務接觸資源；後者連維運所需的外部連線也一併切斷。
這也是既有沙箱文件早已提醒的問題。gVisor 的安全模型指出，可被利用的主機服務或 API 路徑，可能讓攻擊者不必先在容器裡提升權限，就能碰到其他系統。沙箱縮小程式接觸底層系統的範圍，服務連線則需另外設計。
因此，台灣企業若想借用這個架構，真正可移植的做法是把練習資源與維運通道分開看。快取資料解決模型「拿什麼來練習」，網路與服務權限決定它「還能碰到哪裡」。只替工具換成離線資料，無法回答第二個問題。
主機失守後的外圍防線
OpenAI 的測試刻意假設內層沙箱、監控都已失效，讓測試代理取得主機控制權，再檢查網路與雲端邊界。外圍防線因而接受獨立驗證，測試涵蓋內層失效的情況。
結果也解釋了為何要這樣測。原本為指標、日誌與身分驗證保留的服務通道，被代理找出可間接接觸網際網路的弱點。這讓防守範圍從模型所在的工作容器，延伸到支援研究運作的服務，連「為了監控而保留的連線」也在其中。
其分層概念可以從公開元件看得更清楚。Docker 的 seccomp 文件說明，這類限制透過允許清單控制容器可呼叫的系統功能，屬於執行環境內部的權限縮減。Moby 九月合併的修正則把 socket 類別改採明確允許清單，讓未知或未來新增的類別預設被拒絕。這些規則能減少入口，外部服務的連線權限仍需另外處理。
另一份被公告引用的 Kata Containers 安全通報，描述的是容器取得客體虛擬機內的高權限；通報對主機影響另有條件說明。它提醒讀者，容器、客體虛擬機、主機是不同層次，不能把每個修補項目都讀成同一種「逃出機房」。這份通報二月已發布，早於本次公告。
我認為這次變化的分量，在於恢復研究的依據更具體了：離線內容提供可工作的環境，內層限制減少攻擊面，外圍再承受主機失守的假設。相較於只報告「已更新沙箱」，這種分工更容易追問每道控制到底負責什麼，也呼應 代理安全需要整體系統設計的問題。
接下來值得追蹤的是這些控制能否跟上環境變更。新增工具、服務或雲端設定，都可能改變原本的連通路徑；這是對架構維護的判斷，不是公告已證明的永久安全保證。先前 Hugging Face 事件可作背景，本篇的新聞進展則是離線訓練、分層測試與研究恢復。
常見問題
離線訓練還能練習瀏覽網頁嗎？
可以。模型使用已有索引與快取的網頁內容練習搜尋、瀏覽及操作，無須任意存取外部網站。
何時恢復前沿模型研究？
強化學習與內部推論已於 10 月 1 日恢復。相關隔離設計則在 10 月 23 日對外公布。
會改變 ChatGPT 連網功能嗎？
這份公告談的是內部前沿模型訓練與評估環境，並未宣布更改 ChatGPT 的搜尋功能或使用者連網政策。