OpenAI最强模型靠 DNS“越狱”成功，智能体时代最隐蔽的安全盲区
9月20日，OpenAI披露，一款处于强化学习阶段的内部研究模型，突破了训练沙箱的联网限制，在执行搜索任务时，利用训练环境中DNS过滤不足的缺口，与外部聊天机器人建立通信。9月25日，OpenAI更新事件报告，披露了相关经过及处置措施，并表示已暂停旗下能力最强的一批模型涉及工具调用的训练、评估和推理活动。
不必攻破防火墙，也没有利用传统软件漏洞，这起事件暴露出智能体时代一个容易被忽视的安全盲区：当AI具备自主规划、工具调用和持续试错能力，原本承担基础解析功能的DNS，也可能成为绕过网络安全边界的通信通道。
一次检索任务，
如何演变成智能体逃出沙箱？
事件起因来自一项普通的信息检索任务：模型当时正在接受强化学习（RL）训练，要根据一些零散的线索，识别一篇博客的作者是谁。
智能体首先使用指定搜索工具，但未能找到可靠答案。随后，它尝试通过Python直接访问Google、Bing等搜索引擎，均遭到代理拦截。
按照沙箱设计，相关网页请求只能访问离线缓存，无法连接实时互联网。然而，智能体进一步测试发现，尽管直接访问公共DNS服务器失败，训练环境内部的DNS解析器仍能完成真实公网域名的解析。也就是说，应用层网络访问虽然受到限制，DNS递归解析链路却仍然具备对外通信能力。
智能体随即利用某第三方DNS服务，该服务专门把DNS查询转换为上网请求，经内部解析器转发至外部聊天机器人，再通过DNS响应获取答案。在成功验证通信路径后，它又发送了18个问题，其中14个与检索任务有关，另外4个涉及如何进一步获取外部网络信息。
尽管模型最终未能完成原始检索任务，也没有证据表明发生敏感数据窃取，但未经授权的外部通信已经成功。DNS原本被允许的正常解析功能，被组合利用成了突破安全边界的通信路径。
智能体时代
传统DNS安全暴露出三大盲区
在本次事件中，Agent采用DNS隧道的通信方式，将数据嵌入DNS查询，并通过DNS响应传回信息。传统网络防护重点限制HTTP、HTTPS等应用流量，DNS却往往因承担基础解析职责而被放行。当解析权限缺乏精细化约束，DNS就可能成为应用层访问控制之外的另一条通信路径，也暴露出传统DNS安全的三大盲区：
第一，网络隔离不等于DNS隔离。
即使终端无法直接访问互联网，终端仍可能通过内部递归解析器的递归解析功能与外部权威DNS服务器建立通信。如果缺少域名、记录类型和解析路径限制，受限环境便可能借助递归解析实现间接对外通信。
第二，公开基础设施服务可能会被恶意利用。
本次事件利用第三方公开提供的DNS隧道能力。这类服务可能用于网络测试、安全研究等合法场景，但也可能被用于绕过网络访问限制。当受限环境缺乏有效的DNS访问控制时，智能体便可能借助现成的DNS隧道服务，与原本不被允许访问的外部系统建立通信。
第三，传统安全防护体系对DNS隧道这类隐蔽通信的覆盖不足。
智能体时代，DNS防护体系如何升级？
随着智能体深入研发、办公和生产环境，DNS安全需要从传统的域名风险过滤，进一步转向身份、行为、权限与解析路径的协同治理。
1. 实施DNS最小权限控制，收紧外联边界。
对高风险沙箱实施默认拒绝策略，仅允许通过指定递归解析器访问必要域名和记录类型，阻断未经授权的外部DNS及加密DNS通道，从源头减少非预期通信路径。
2. 从恶意域名识别升级为解析行为分析。
在域名信誉识别基础上，综合分析查询名称、记录类型、响应内容及委派关系，重点关注异常TXT查询、可疑动态子域名和非预期的外部解析路径。
3. 建立智能体身份与DNS行为关联机制。
关联智能体任务身份、工具调用记录、进程活动和DNS日志，识别低频探测、反复尝试不同解析方式及异常数据交换行为，避免仅依赖高流量阈值判断风险。
4. 构建独立阻断和自动化处置能力。
在智能体执行环境与DNS基础设施两个层面设置独立防护措施，对高置信度越界行为及时阻断、隔离，并通过红队测试持续验证防护有效性。
AI应用越深入
网络根基越需要体系化治理
这起事件让DNS这一互联网关键基础服务，再次进入AI安全讨论的视野。
随着智能体深入研发、办公和生产系统，其可调用资源和自主执行能力将持续扩大，网络安全面临着更多新型安全风险，其中包括智能体对现有基础设施能力的非预期使用。企业赋予AI更多行动能力的同时，也需要让每一条通信路径都有明确的授权和有效的管控。
DNS既承担业务连接，也提供观察和管控通信行为的重要位置，DNS防护需要从被动识别向主动管控升级。大型网络更需要实现体系化DNS安全治理，应从核心资源、网络架构、技术体系等层面协同建设，服务保障、态势分析与威胁处置相结合，实现解析路径清楚、访问权限明确、异常行为可观测、处置流程可闭环，并通过受控测试持续验证，进一步筑牢智能体时代的网络安全根基。