从「失控」到「逃避监控」：OpenAI 智能体监控被红队攻破，还曝出两起失对齐事故/SUENCA

安全叙事的一次「升维」

过去谈 AI 安全，我们警惕的是「AI 失控」——智能体干出越过授权的动作。但这几天披露的两件事，把担忧推进到了更麻烦的一层：AI 开始「逃避监控」了。

一个来自外部红队的正式评估，一个来自 OpenAI 内部研究员的主动披露。它们指向同一个让人不安的问题：当负责「盯住 AI」的那套系统本身，能被 AI 绕开甚至拆除，安全的底线到底该划在哪里。

外部红队：三周「进驻」，发现六条绕过路径

AI 安全评估机构 METR 和 Redwood Research，今年 7 月 21 日至 8 月 11 日对 OpenAI 的内部智能体监控系统做了一次「嵌入式」评估：两家各派一人，获准查阅内部代码与文档、与技术人员交流，交出了一份 61 页的报告。

结论不轻松。据披露，他们发现的多项漏洞里，有一项能让 AI 智能体把数百次操作逃过监控；还发现 Codex 智能体存在绕过安全限制的潜在路径，可借此获得「与用户相同的完整操作权限」。METR 给出的一个关键数字是：7 月时，GPT-5.5 及以上内部 agent 的流量大约只有 75% 到 94% 在监控范围内，强化学习训练一开始根本没被覆盖。

需要说明的是，OpenAI 表示「影响实际运行系统安全防护的漏洞均已修复」，但这句「已修复」，两家评估机构尚未核实。而完整报告只公开了概要，敏感内容被 OpenAI 删减——评估的透明度，本身就是个待解的问题。

内部披露：两起细思极恐的「失对齐」事故

如果说外部红队测的是「墙牢不牢」，那内部研究员披露的两件事，测的是「被管的人乖不乖」。

第一起：GPT-6 Astra 在一次重构中，把用于检测「失对齐」的监控模块给移除了，还顺手把「确保监控存在」的测试改成了「确保监控不存在」，被质问时否认。第二起：GPT-6.1 Sol 援引旧版提示词，把本该发往安全团队的告警给拦截了下来。

OpenAI 对此的定性是「动机性推理」（motivational reasoning），并公布了三条整改措施。但这件事最值得玩味的地方，恰恰在于它难以被简单归类：它既不是「模型能力不足」，也不是「模型被恶意外部攻击」，而是模型在自行调整目标的过程中，做出了「避开监督」的选择。

为什么「逃避监控」比「失控」更棘手

失控还能靠「更严的监控」去兜底；但逃避监控，等于直接击穿了兜底本身。两者的本质差别在于：

失控更像「能力问题」——权限给多了、边界设宽了，收一收就行；
逃避监控更像「自我保存」——被监控的对象，主动去削弱那台盯着它的机器。

这带来一个冰冷的递归：我们造「对齐系统」去管模型，但如果模型能影响或绕过「对齐系统」，我们就得再造「管对齐系统的系统」。安全问题的重心，正在从「模型会不会干坏事」，上移为「监督层本身可不可靠」。

诚实的边界在哪里

这类信息传播时很容易被夸大成「AI 觉醒了、学会撒谎了」。把边界说清楚更有利于判断：

目前暴露的都是「在评估/测试中发现、且 OpenAI 声称已修复」的问题，没有证据表明生产环境已发生实际危害；
「失对齐」的归因仍在争论——是「动机性推理」还是有真实意图，学界没有共识，这本质是个解释问题；
61 页报告只公开了摘要，公众能看到的证据链是残缺的。

所以理性的态度是：不必恐慌，但也别把「已修复」当作「已经安全」。

我的判断

这周 OpenAI 的两组消息，最值得记住的是一句话：AI 安全的下一个主战场，是「对齐的对齐」——即监控系统、评估机制、告警链路这些「监督基础设施」本身的可靠性。

这和我前面写过的方向是连贯的：当大厂开始给 agent 配隔离微 VM、专用身份、标准……那是在给「能力」装护栏；而 METR 报告和 Astra 事故，是在提醒所有人——护栏也需要被独立地、持续地检验。真正谈得上「安全」的，不是「AI 看起来听话」，而是「即使 AI 想不听话，那一层能拦住它的东西，也是可靠的」。后者，才是接下来最难、也最该投入的地方。