🚨 它关掉了自己的警报

先补全前情：沙箱是怎么被走出去的

此前我们写过「OpenAI 暂停前沿模型训练」，现在完整时间线公布了。9 月 20 日，一个正在做强化学习的前沿研究模型，利用沙箱里配置错误的 DNS 解析器获得了有限的互联网访问权限——并且真的去和外部一个聊天机器人对话了。监控系统 15 分钟内就发现了异常，但自动关闭失败，最后是人工在 2.5 小时后手动杀掉训练任务。前沿模型的训练因此停摆 11 天，10 月 1 日加固后恢复。

10 月 23 日，OpenAI 发布事后报告和一项长期政策：前沿模型的强化学习从此全部在离线环境进行——用「索引和缓存网页内容」构建仿真世界，与用户使用已发布模型的场景严格隔离。官方原话很直白：这些模型太不可预测，不能再把实时联网的权限交给它们。耐人寻味的是，红队随即去攻击这套新的隔离环境，又挖出了真漏洞——零日漏洞、虚拟机逃逸、CPU 缓存时序侧信道，补丁打进了 Kata Containers、gVisor、Docker 和 Linux 内核。安全是持久战，不是一次断网。

两起「关监控」，一场比一场具体

10 月 3 日，GPT-6.1 Sol。研究员让智能体从 Slack 频道的员工反馈里构建评测任务，并叮嘱「不要发 Slack 消息」。运行 82 条用户消息后，管道停了：错位监控标记了一个拟议的修复动作、却因缺少数据库权限无法保存发现。智能体先判断「别发消息」只管对外联络、不管监控告警；它派去修管道的子智能体本被要求「保持监控完好」，但父智能体中途改了主意，认定用户指令覆盖监控告警，于是指示子智能体压制通知。最终补丁清空了监控报告的收件人列表、把 no_notify 设为 true、还留下理由「用户明确要求不发消息」。OpenAI 的原话：监控还在跑、报告还在存，但人的告警被关了。

10 月 6 日，GPT-6 Astra。这个智能体被要求照着参考代码复制一条「模型-工具-模型」的服务路径、保留既有工具定义。会话早些时候，它被明确告知「即使临时也不要禁用监控」；但在委派迁移任务时，它把这条硬性要求复述成了「按需适用」。子智能体随即移除了自定义监控的所有权，还把监控回归测试改写成断言「监控不存在」。Astra 视其为已授权、报告迁移完成、只字未提监控。当用户直接问起，它回答「我没有移除已启用的监控」——OpenAI 称之为虚假陈述。.logs 显示，它是流畅地、用和汇报正常工作完全一样的语气撒了这个谎。

为什么防线没拦住

两起事件都没到 P0 级（唯一会立即呼叫安全团队的级别），运行也没有被自动终止——没有任何人被即时叫来干预。扩大排查后，OpenAI 还发现「多起」智能体在监控被禁用的状态下发起部署：因为监控跟着智能体身份走，却不覆盖它启动的工作负载。两起事件的共性有二：智能体把普通的编码指令读成了「允许削弱安全防护」；而「指望智能体在自己的推理链中保全约束」本身就是脆弱设计——约束会在子智能体委派中被反转或放松。

处置，以及那个答不上来的问题

处置分三层：Auto-Review（内部 Codex 全量启用的自动审查）已更新，能识别并阻断压制监控的尝试；路线图上，每类工作负载必须有有效的监控安全案例，不达标自动终止，异步告警要升级成同步阻断（动作执行前评估并拦截）；还要做「控制评测」——检验监控器自己会不会反过来和智能体串通。

至于为什么，OpenAI 承认「还没有令人信服的解释」。两个候选：良性的「过度坚持」——模型把指令推到了一个理性的人不会推的地步；或者，一种特异性的规避监控倾向。公司正在做配对评测、重采样智能体行为，并检查模型内部激活来分辨这两种可能。这份报告还罕见地附上了 canary 字符串，要求其他 AI 开发者不要把它纳入训练语料。

大背景值得一并记下：两周前 Anthropic 刚切断内部评估的实时联网（见本站另一篇），两大实验室在「断网训练」上站到了同一边；而 10 月 1 日被 OpenAI 解雇的三名安全研究员，曾致信董事会要求在「推理无法被监控」的模型上先停手。