大模型公司谈安全，多半围绕模型本身：会不会被越狱、会不会生成危险内容。把训练集群当成攻击目标来设防、并公开讲清楚细节的，并不多见。OpenAI 近日发文介绍了它对前沿模型训练与评估环境的加固做法：训练期间不接入互联网，用离线缓存的网页世界代替实时取数，多层隔离组成纵深防御，最后让自家最强的模型组成智能体团队，以高算力对这套环境做红队测试，其中包括尚未推出的 GPT-6 Astra Cyber。红队也确实测出了东西，漏洞之一出在压缩算法 Brotli 上。
训练集群为什么值得断网
前沿模型的训练要用大量网页语料——这一点从 OpenAI 为训练环境缓存了一个「网页世界」就能看出。这些数据在进入训练管线前后要经过解析、解压、清洗等一连串处理，任何一环的代码缺陷都可能变成入口：攻击者不必接触模型权重，只要让一个经过构造的页面混进爬取结果，就有机会在处理环节找到立足点。OpenAI 的选择是在训练期间彻底断网，从源头切断这条路径。
断网的代价是训练环境接触不到实时的网络数据。OpenAI 给出的替代方案是构建离线缓存的网页世界：训练所需的数据从这份缓存中来，环境不与真实互联网通信。这相当于把不可控的实时输入换成一份可控的副本，数据进入隔离环境之前多了一道缓冲。
纵深防御：默认总有一层会被突破
OpenAI 描述的架构是多层隔离叠加的纵深防御：就算攻击者突破了一层，比如完成沙箱逃逸，后面的隔离层还要继续拦截。其披露的攻击路径包括沙箱逃逸、缓存侧信道这类手法——前者是从受控环境跳到宿主系统，后者是观察缓存留下的时间与资源痕迹，推断本不该暴露的信息。这些手法本身不新，但出现在大模型训练环境的攻防里，说明攻击面已经从模型扩展到了支撑模型的整套基础设施。
让最强模型当红队，把找漏洞变成算力问题
全文最值得注意的部分，是 OpenAI 没有把攻防只交给人类安全团队，而是让最强的模型组成智能体团队、投入高算力做红队测试，尚未发布的 GPT-6 Astra Cyber 也在其中。这个安排透露两点：
- 「找漏洞」正在变成可以用算力和智能体规模去堆的任务：模型越强、投入的算力越多，能覆盖的攻击面越大。
- 安全测试发生在下一代模型正式发布之前，攻防的时钟被整体提前。
红队的结果同样有信息量：测出的漏洞之一与 Brotli 有关。Brotli 是网页传输中广泛使用的一种压缩算法，常见到很少被单独审视。前沿训练环境的安全讨论通常围着模型权重和数据投毒转，而一个压缩库里的漏洞提醒人们：训练管线里每一行接触外来数据的代码，都是攻击面的一部分。
训练环境本身就是攻击面
把这些做法放在一起，OpenAI 传递的核心信息是：前沿模型的安全，不只是模型会不会说错话，还包括承载训练与评估的那套系统会不会被攻破。断网、离线缓存、多层隔离，都是传统安全工程里的老办法，用在大模型训练上并不显得过时；更新颖的是把最强的模型本身变成攻防工具。当然，以上均为 OpenAI 的自述，漏洞是否已经修复、隔离层在真实攻击下的表现，目前没有第三方验证。但「训练环境即攻击面」这个框架，大概率会被其他前沿实验室跟进——训练管线里装着尚未发布的模型和未公开的数据，没有谁愿意在这个环节成为反面案例。
