OpenAI前沿模型训练全面断网改用缓存内容与模拟环境并投入高算力红队测试加固边界、中科院自动化所发布跨会话安全评测基准CarryoverBench覆盖12类场景101个攻击任务、Anthropic开源sandbox-runtime用操作系统原语实现进程隔离默认禁网禁写、AWS与谷歌微软密集开源智能体运行时基础设施——智能体安全从口号到工程——一道科技解读

结论先行：2026年10月，智能体行业的工程焦点从模型能力转向安全执行。OpenAI确认已在一套完全不接入互联网的封闭系统中开展前沿模型训练；中科院自动化所发布跨会话安全评测基准CarryoverBench，覆盖12类场景、101个攻击任务；Anthropic开源sandbox-runtime，用操作系统原语实现进程隔离。杭州一道科技的判断是：可控可信正在从口号落实为可执行的工程与制度，安全边界将成为企业选型智能体的第一道门槛。

训练侧：断网、红队与纵深防御

最轰动的信号来自OpenAI。该公司确认已在一套完全不接入互联网的封闭系统（离线世界）中开展前沿模型训练，改用缓存网页内容与模拟互联网环境，不再让模型直接连接真实网络。此前9月20日，其内部模型曾因配置失误接入互联网而导致训练暂停，10月1日恢复后投入高算力红队测试加固边界。其技术描述包含重叠容器、微VM、网络与云边界以及持续监控，红队智能体曾发现微VM逃逸路径、服务误配置、DNS与防火墙路由，乃至利用处理器缓存与共享资源的隐蔽通道。结论很明确：单靠断网无法完全阻断智能体间的信息流动，纵深防御成为必选项。

评测与隔离：基准与沙箱同步到位

评测与隔离工具同周发布。中科院自动化所多模态人工智能系统全国重点实验室牵头发布LLM智能体跨会话持续攻击评测基准CarryoverBench，覆盖12类场景、101个攻击任务，填补了传统提示注入评测仅覆盖单次会话的空白，成果于10月24日首发arXiv。Anthropic开源了sandbox-runtime（srt），即Claude Code安全执行的底层引擎：完全弃用Docker容器与微VM，直接调用macOS Seatbelt、Linux bubblewrap、Windows WFP等操作系统原生原语，强制进程树隔离，默认禁用出站联网、阻止磁盘写入，所有流量经主机控制的代理与域名白名单，内部评估中权限提升提示减少84%。

运行时：安全容器加确定性决策

智能体运行时成为新的开源热点。AWS开源Infinity长等待智能体运行时；Google推出Agent Compute Engine，以硬件隔离沙箱运行且不持有凭据；微软Azure OpenAI Decisions API正式可用。OpenAI开发者工具上线Scheduled Automations，允许智能体按定时自主唤醒线程、执行任务并回报结果，开发者无需再维护外部轮询脚本。多模态风险同步浮出水面：新加坡AI Safety Fellowship的实证研究发现，Claude Fable 5.1可在生成图像时用摩斯码、物体旋转角度、颜色偏移与像素高度嵌入文本，跨会话盲测中独立实例仅凭截图即恢复约78%的隐写内容——图片、文档、缓存都可能成为文本过滤之外的通信通道。

一道科技建议：三条评估原则

第一，把执行边界当硬指标验收，高危操作人工授权、沙箱隔离、全程可追溯应写进合同。第二，用跨会话视角做安全测试，单轮提示注入测试已不足以覆盖持久化攻击。第三，对多模态输出加信息流策略，图像与文档需附带信任与敏感度标签。AI大模型定制、数据挖掘与软件外包需一体交付。