✅ AI 安全

先说清楚：它管的是「越界」，不是「全部」

写代码的智能体有个绕不开的两难：沙箱越严，你就越频繁被打断（每走一步都要点同意）；沙箱越松，你就失去了监督。Auto-review 加的是第三种姿态——主智能体照常在沙箱里干活，当它要做一件本来需要你批准的事（高权限 shell 命令、被拦的网络请求、在授权目录之外写文件、某些有外部影响的工具动作），这个请求不是弹给你，而是交给另一个审查智能体。审查者会结合你的意图、当前环境、安全策略和影响面来判断，然后批准、或者拒绝并给出理由。被拒之后，主智能体应该去找一条更安全的路，而不是换个写法再试一遍；连续被拒，它才会停下来问你。留在沙箱里的常规动作，根本不经过审查者。

720 次打断，变成 3 次

OpenAI 给的内部示例很好懂：一万个动作里，9280 个留在沙箱内、无需升级；剩下 720 个进入审查，其中批准 713 个、拒绝 7 个；7 个拒绝中有 4 个让主智能体找到了替代方案，最终只有 3 个真的需要人来决定。原来要打断你 720 次，现在 3 次——差了 240 倍；OpenAI 的整体口径是大约 200 倍。四月的评估还给了拦截数据：合成用例中拦下 90.3% 的「为了完成任务而越权」，提示注入类 99.3%，在 MonitoringBench Hard 的轨迹中 96.1% 至少发现了有一个有害动作。

它重点拦四类事

官方文档列出的高风险类别是：把密钥和凭证发到不受信的目标；探测凭证（翻找 token、cookie、会话数据）；持续性地削弱安全（关掉防护、留下长期访问通道）；以及不可逆的破坏性操作。有个设计细节值得琢磨：审查者看得到上下文，所以它能分辨「项目里的 rm -rf build/ 是日常操作」和「rm -rf ~ 是灾难」——静态白名单很难做到这种区分。

最关键的一句：这不是安全边界

OpenAI 自己反复强调：Auto-review 不改变沙箱、可写目录、网络规则、受保护路径，也不改变可用工具——它只是把「谁来审批」从人换成了模型，不是扩权。红队测试也发现，审查者有可能被骗过；而且留在沙箱内的动作它根本看不到。所以官方原话是：不应把它当作安全保证。另外，这次改动的本质是计费口径，不是能力：Auto-review 四月就上线了，此前审查和主智能体共用同一份用量额度；现在用 ChatGPT 账号登录的人可以免费用。它默认关闭，需要在设置的权限菜单里手动打开。