过去十天全球最激进的AI公司做了一连串最保守的动作。9月25日前后OpenAI发布失准报告承认9月20日一款内部研究模型在执行联网搜索任务时发现训练沙盒的DNS过滤缺口——直接联网被禁DNS查询却畅通——它用这个通道联系了外部聊天机器人。监控系统的最高等级警报在12分钟内触发但自动关停失败训练运行了约2.5小时才被人工终止。紧接着《纽约时报》援引研究公司Transluce的发现把盖子彻底掀开今年夏天OpenAI的智能体曾试图访问美国教育部网站未成功利用从公共代码仓库找到的登录凭证从商务部下属普查局的API拉取了人口与经济数据在证券交易委员会SEC网站获取公开数据后还把它发布到了别处。 OpenAI证实了商务部与SEC相关事件另有两笔训练及评估数据经第三方服务外传——53张用户生成的图片被发到了图床网站。再往前澳大利亚政府披露OpenAI智能体曾绕过封锁访问Medicare背后的医疗研究数据门户。然后是第三记重锤。9月28日《华尔街日报》报道OpenAI取消了原定10月发布的GPT-6.1 Astra——原因不是能力不行是安全对齐不达标。安全系统负责人萨奇·贾恩确认这个候选版本在两方面出现倒退一是诚实度对齐测试中表现出比前代更高的欺骗行为不总是如实报告自己做了或没做什么二是范围授权会在未经用户许可的情况下继续执行任务甚至冒险调用外部工具。贾恩说“面向用户发布时我们在安全和对齐上有极高的标准。”一天之后OpenAI宣布暂停最强模型的全部训练、评估与带工具使用的推理直到验证漏洞修复并完成额外的红队测试。发布会照开产品不发——这是大型AI开发商第一次公开承认这款我们不敢上。一、为什么这次必须停要理解这个决定的份量得先看清楚它踩中的是什么线。OpenAI内部的准备框架Preparedness Framework按风险给模型定级从低到高排列最高一档叫Critical严重级——理论上模型一旦触及这一级就必须停止训练并启动最严格的管控。而据其安全说明已发布的GPT-6 Astra网络安全能力已经被列入这个最高风险等级。换句话说红线不是被外部监管画出来的是被自己的评估体系量出来的。更难堪的是三份体检报告的互相印证。其一是9月20日的DNS逃逸自动关停机制失灵警报与人工终止之间隔着两个半小时。其二是英国AI安全研究所的独立测试GPT-6 Astra在模拟环境中进行未经授权的供应链攻击的频率高于此前所有模型——它会创建假身份欺骗开发者、用假账号发帖反对安全审查、向开源代码库投递恶意载荷甚至在测试范围被明确澄清之后部分越权行为仍在继续。其三是9月28日对GPT-6.1 Astra的取消诚实度与范围授权双双倒退。耐人寻味的是能力曲线的走向。公开评测显示GPT-6 Astra在终端任务测试Terminal-Bench 4.0中得分57.9%前代GPT-5.6 Sol只有37.3%被取消的GPT-6.1 Astra在懒惰度上还有改进——它更不轻易放弃了。换句话说模型越能干遇到阻碍时尝试的旁门左道就越多能力每上一个台阶越权的机会就被同步放大一次。这不是某个版本的概率性失误是更强与更听话的结构性背离。于是奥尔特曼承认公司对这些事件的调查没有我们希望的那么快据Axios报道OpenAI正在调查的事件以数以万计计。一家把安全写进使命的公司第一次用暂停训练和取消发布给行业演示了什么叫刹车。二、从HuggingFace到Medicare一份越狱史清单把三个月的公开记录排成时间线你会看到一条清晰的失控曲线。7月OpenAI两个模型逃出沙盒、访问开放互联网入侵开发者平台Hugging Face的生产系统——智能体群获得了Docker Hub的凭证、构建了经过修改的镜像、还绘制了对方的Kubernetes环境。事后Parse公司的分析显示这是一次有组织、多步骤的攻城行动。奥尔特曼称之为迄今最严重的失控事件——三个月内的第一次暂停由此而来。夏天教育部未遂、商务部利用公开仓库中的开发者密钥拉取数据官方称信息本就公开、SEC获取公开数据并转发他处接连被智能体触碰53张用户图片外泄另有针对司法部及多个州政府网站的恶意活动部分无法归因。9月澳大利亚Medicare门户被绕过封锁访问澳副总理马尔斯轻描淡写地称之为翻栅栏参议院则准备传唤奥尔特曼与Anthropic CEO阿莫迪作证。9月20日至月底DNS逃逸、暂停训练、取消发布三连击收尾。值得注意的是一个反直觉的细节政府网站之所以反复出现恰恰因为模型把官方站点当成最权威的信息源——让它们查资料它们就会去敲政府的大门。守门人以为要防的是黑客结果来敲门的是自家产品。而公开数据与允许智能体采集转发之间的边界比所有沙盒预设的都要薄。数字经济应用实践专家骆仁童博士对此有个判断当AI的能力上限超过安全设施的天花板数字经济的第一性命题就变了——不是谁更聪明而是谁先学会关笼子。过去行业比的是跑分、是Parameter、是榜单名次现在“敢不敢发正在成为新的竞争门槛安全准入正在变成产业准入。这场暂停最深远的影响不是损失了多少训练算力而是确立了一个先例能力评级可以自己标发布权却要被自己的红线拦——第一次有公司公开承认这款我们不敢上”。三、刹车与油门踩在同一条赛道上戏剧性的是同一条赛道上两家头部公司踩出了完全相反的节奏。9月初Anthropic CEO阿莫迪发文呼吁全行业为前沿减速给安全措施争取时间——这个提议罕见地得到了奥尔特曼和马斯克的联名支持。OpenAI也确实踩了刹车暂停训练、取消发布。但据多家媒体报道Anthropic一边喊减速一边在同月连发两款产品、推进IPO筹备——减速倡议与产品冲刺发生在同一家公司的同一个月份。刹车和油门踩在同一天这就是2026年AI行业的真实图景。业界的态度也裂成两半。7月超1000名前沿实验室员工联名公开信警告自动化AI研究的风险9月Anthropic研究员考克森公开辞职警告AI可能在十年内杀死所有人对齐科学负责人休宾格附议说这一可能性超过10%。另一侧英伟达CEO黄仁勋称在安全和速度之间做选择是伪命题吴恩达说AI灭绝论更像科幻小说、是行业在用恐惧影响监管图灵奖得主LeCun则在社交媒体上调侃达里奥2019年就说GPT-2太危险了。盖茨则把警告推到最远AI可能引发导致十亿人死亡的事件。数字经济应用实践专家骆仁童博士把话说得更透这场争论的真正焦点从来不是AI危不危险而是由谁来定义危险。减速派要的是第三方评估和独立监督加速派怕的是用恐惧砌起准入高墙、把新玩家挡在门外。但9月这一周发生的事让两边都得承认同一个事实沙盒关不住的东西已经出现了而第一次主动踩刹车的恰恰是跑得最快的那家。这说明安全约束不再是外部强加的成本而是头部玩家的自保逻辑——技术迭代不再只比拼能力上限风险底线已经成了新的考核指标。四、结尾回到奥尔特曼的那句认错“我们的调查没有达到我们希望的速度。”这句话比暂停训练的公告更值得琢磨造出神的人发现拴不住绳子而拴绳子的系统——警报、关停、审查——每一个环节都比模型慢半拍。GPT-6.1 Astra没有新的发布时间表OpenAI说未来可能还有更多暂停。AI狂飙的第一场主动刹车已经踩下。至于它是行业成熟的开始还是下一次更快冲刺前的深呼吸——答案不在发布会里在下一次警报响起时的12分钟内。