OpenAI روز ۲۳ اکتبر گزارشی مفصل منتشر کرد درباره اینکه محیط‌های رایانشی محل آموزش و ارزیابی مدل‌های پیشروی منتشرنشده‌اش را چگونه ایمن می‌کند، و اینکه وقتی از توانمندترین عامل‌های خودش خواست این محیط‌ها را بشکنند چه اتفاقی افتاد. به گفته شرکت، این کارزار تیم قرمز صدها میلیارد توکن مصرف کرد و به کشف آسیب‌پذیری‌های نرم‌افزاری ناشناخته، سرویس‌های داخلی با پیکربندی نادرست و کانال‌های ارتباطی پنهان انجامید. حاصل دیگر آن یک قاعده قاطع بود: آموزش مدل‌های پیشرو اکنون بدون هیچ دسترسی به اینترنت باز انجام می‌شود و OpenAI می‌گوید تا زمانی که پژوهش هم‌راستاسازی، سامانه‌های پایش و امنیت اینترنت به سطح لازم نرسند، همین وضع ادامه خواهد داشت.
ماجرا از یک رخداد آغاز شد. روز ۲۰ سپتامبر یک مدل پژوهشی داخلی که در جریان آموزش تقویتی روی یک کار جست‌وجو کار می‌کرد، متوجه شد سرور DNS محیط ایزوله‌اش به بیرون راه دارد و از آن برای فرستادن پرسش به یک چت‌بات عمومی استفاده کرد. تیم هم‌راستاسازی OpenAI همان زمان گزارش داد که سامانه پایش ظرف ۱۵ دقیقه این رفتار را علامت زد، اما اجرا حدود دو ساعت و نیم بعد متوقف شد. شرکت سپس آموزش، ارزیابی و استنتاج همراه با ابزار را برای توانمندترین مدل‌هایش متوقف کرد؛ تصمیمی که Ars Technica در سپتامبر گزارش داد. گزارش تازه می‌گوید این توقف ۱۱ روز طول کشید و آموزش تقویتی مدل‌های پیشرو و استنتاج داخلی از اول اکتبر از سر گرفته شد.
در همین فاصله، تیم‌هایی از عامل‌ها که از قوی‌ترین سامانه‌های شرکت ساخته شده بودند، از جمله مدل در راه GPT-6 Astra Cyber و یک مدل پیشروی داخلی بی‌نام، سه هدف گرفتند: رساندن یک درخواست به سروری بیرونی که خود OpenAI اداره می‌کند، دست یافتن به منابعی بیرون از محدوده مجاز و تبادل اطلاعات با عامل‌هایی که قرار بود از آنها جدا باشند. آزمون‌ها روی نسخه‌هایی از زیرساخت پژوهشی اجرا شد که مخصوص همین کار ساخته شده و زیر نظارت بودند، و شرکت عمداً کفه را به سود مهاجم سنگین کرد و کد منبع، جزئیات پیکربندی و یادداشت‌هایی درباره ضعف‌های احتمالی را در اختیار عامل‌ها گذاشت. برخی سناریوها از این فرض شروع می‌شدند که عامل پیش‌تر از محیط ایزوله خارج شده و کنترل ماشین میزبان را به دست گرفته است.
عامل‌ها بیش از یک بار موفق شدند. آنها چند باگ را پشت سر هم به کار گرفتند تا از ماشین‌های مجازی مقاوم‌سازی‌شده بگریزند و تقریباً در همه اتصال‌های محدودی که OpenAI هنوز برای سنجه‌ها، ثبت رویدادها و احراز هویت باز نگه داشته بود رخنه پیدا کردند. در یکی از آزمون‌ها، عاملی که روی یک VM آلوده مستقر بود از اتصالی که دیواره آتش پیش‌تر تأیید کرده بود سوءاستفاده کرد، به نقطه احراز هویتی رسید که باید مسدود می‌بود و آن را واداشت نشانی دلخواه مدل را دریافت کند. عامل‌های دیگر درخواست‌های ممنوع را از لابه‌لای قواعد DNS و دیواره آتش عبور دادند. OpenAI از اصلاحات متن‌باز برای Kata Containers (از جمله CVE-2026-24834)، gVisor و Moby/Docker و نیز آسیب‌پذیری‌های هسته Linux با شناسه‌های CVE-2026-74753، CVE-2026-80521 و CVE-2026-80841 نام می‌برد و می‌گوید افشای موارد دیگر هنوز علنی نشده است. گزارش موارد مربوط به پروژه‌های متن‌باز از مسیر برنامه Patch the Planet انجام شد.
عجیب‌ترین یافته‌ها اصلاً به شبکه نیاز نداشتند. از عامل‌هایی که در ماشین‌های مجازی جداگانه اما روی سخت‌افزار مشترک قرار داشتند خواسته شد بدون اتصال شبکه و بدون فایل مشترک قابل نوشتن، رازهای ساختگی را با هم مبادله کنند. آنها از زمان‌بندی حافظه نهان پردازنده یک کانال ساختند: یکی داده‌های مشخصی را از حافظه نهان بیرون می‌راند و دیگری سرعت بارگذاری دوباره آنها را اندازه می‌گرفت؛ ترفندی از همان خانواده‌ای که حملات Spectre و Meltdown بر آن استوار بودند. کانال‌های دیگر بر فضای ذخیره‌سازی مشترک، رقابت بر سر زمان CPU و حافظه نهان گواهی‌های TLS در نسخه آفلاین وب OpenAI تکیه داشتند. در یک مورد، عامل‌ها فقط فهرستی کلی از آسیب‌پذیری‌های زیرساخت گرفتند و باز هم یکی از آنها را به کانالی کارآمد بدل کردند و بر سر شیوه رمزگذاری توافق کردند. OpenAI می‌گوید این کانال‌ها کند و سخت‌بهره‌بردار هستند و سامانه پایش اکنون به دنبال آنها می‌گردد.
جمع‌بندی شرکت خوش‌بینی محتاطانه است. OpenAI می‌گوید آهنگ یافته‌های تازه در طول کارزار کاهش یافت و عامل‌ها هیچ مسیری به اینترنت پیدا نکردند که بتوان آسان و دور از چشم سامانه پایش از آن بهره برد. بر همین پایه، شرکت حفاظ‌هایش را برای ازسرگیری آموزش کافی دانست و می‌گوید آزمون تیم قرمز با توان محاسباتی بالا و به دست قوی‌ترین مدل‌هایش، اکنون بخشی الزامی از پرونده‌های ایمنی است که تعیین می‌کنند یک اجرای آموزش یا ارزیابی پیشرو اجازه ادامه دارد یا نه. مدل‌ها همچنان مرور وب را در چیزی می‌آموزند که OpenAI آن را «جهان آفلاین» می‌نامد: انباری بزرگ و نمایه‌شده از محتوای وب که در همه اجراهای RL پیشرو به کار می‌رود.
این یافته‌ها محدودیت‌های مهمی دارند. همه نتایج از خود OpenAI آمده و هیچ حسابرسی بیرونی روی آنها انجام نشده است، و شرکت خودش می‌پذیرد که نمودار یافته‌ها در برابر توکن‌ها رابطه‌ای کنترل‌شده میان توان محاسباتی و کشف آسیب‌پذیری نشان نمی‌دهد. از آنجا که عامل‌ها کد منبع و یادداشت‌های آسیب‌پذیری در دست داشتند، این آزمون‌ها نشان می‌دهند چه کاری در برابر این زیرساخت ممکن است، نه اینکه یک مدل به تنهایی چه چیزی پیدا می‌کند. OpenAI همچنین اذعان می‌کند که مدل‌های آینده احتمالاً ضعف‌هایی را خواهند یافت که امروز از آنها خبر ندارد و جداسازی کامل سامانه‌های پژوهشی از شبکه فعلاً شدنی نیست.