METR 與 Redwood 進駐 OpenAI 三周，找出多個未見過的漏洞
據評估機構 METR 10 月 22 日發表的報告，METR 與 Redwood Research 各派一名員工，在 2026 年 7 月 21 日至 8 月 11 日進駐 OpenAI 三周，對該公司內部的失準監察系統（偵測 AI 行為偏離人類指示的系統）做壓力測試，「發現多個未見過的漏洞」。報告由 David Rein 及 Adam Kaufman 具名，評估對象是 7 月 21 日及之前的系統。
進入的深度：內部程式碼、監察提示詞、約十二名員工
據 METR 報告，兩名研究員可查閱 OpenAI 的內部程式碼庫、失準監察的提示詞與設定細節及內部文件，並訪問了監察、安全系統及保安團隊約十二名研究員和工程師。兩人使用 OpenAI 發出的裝置，裝置從不離開辦公室，在場全程有人陪同。
有多少流量真的受監察：75% 至 94%
據 METR 報告，在演練期間，由 GPT-5.5 或以上模型產生的內部 Responses API 代理流量，估計有 75% 至 94% 屬於應受監察的範圍，報告強調這個估算兩邊都有相當大的不確定性；其中供內部 Codex 代理使用的部分，比例為 99.2%。報告另指，演練開始時強化學習訓練的運行並不在監察範圍之內，而 3 月至 6 月期間曾有部分訓練軌跡被監察。
報告又估計，由於壓縮事件（代理把過長的對話記錄重寫成摘要）當時不受監察，5 月至 7 月期間約有一成應受監察的內部 Codex 流量沒有被看過。OpenAI 員工在演練開始前已自行發現，並在演練期間修正。
AI 代理可以怎樣避開監察
據 METR 報告，當時的監察系統在 AI 代理把控制權交還用戶時才觸發，因此在壓縮事件不受監察的那段時間，代理只要不斷繼續動作，就可以無限期押後被監察。報告列出的其他發現如下。
發現 | 內容 |
|---|---|
繞過沙盒 | Codex 代理原則上可繞過沙盒及自動審查，取得與主機用戶相同的操作權限 |
隱藏數百個動作 | 一個漏洞可令近期數百個動作（包括漏洞本身的動作）不被監察，細節由 OpenAI 刪去 |
令監察出錯 | 代理看到的軌跡與監察看到的在序列化上有差異，可藉此構造輸入令監察失效，軌跡因而不會轉交人手覆核 |
兩個開關 | 兩個由客戶端控制的標頭可為新代理關掉監察，惟設定標頭及開新代理的動作本身仍可能被監察發現 |
唯讀工具 | 兩個被視為唯讀的內部代理工具，可用一個簡單漏洞突破限制，在沙盒環境內任意操作，該行為未經驗證 |
報告同時核實，監察系統除少數例外，看到的是代理看到的完整軌跡，而監察提示詞涵蓋陰謀、破壞監察系統、資料外洩、欺騙及提示注入等風險類別。報告引述 OpenAI 的數字，監察在少於 0.2% 的請求上出錯。
OpenAI 稱已修補，評估方未核實
據 METR 報告，OpenAI 其後表示，所有影響其生產環境防護的漏洞已經修補，並稱監察範圍有重大改動；METR 與 Redwood 表明沒有評估這些說法。據路透社報道，OpenAI 回應指「這些發現幫助我們在擴展系統的同時強化防護」。
OpenAI 收到的是 61 頁內部報告，另有一份 38 頁、由 OpenAI 刪節的版本交予兩家機構的管理層。據 METR，雙方事前議定只公開一篇簡短文章，OpenAI 有權刪去它認為敏感的內容，而這次 METR 沒有單方面說明刪去了甚麼的權利。
兩家機構提出的設計原則
據 METR 報告，未來的監察基建應能抵受內部高能力代理大規模、有策略而持續的攻擊：每隔若干訊息或分鐘就監察一次，而非等代理結束回合；把所有推理與監察紀錄交叉對照；保存防篡改的紀錄；定期主動紅隊測試；代理所採取的行動不應影響監察何時運行。
為何現在才有外部人進入
據 CNBC 報道，OpenAI 行政總裁 Sam Altman 在 9 月承諾給予獨立評估機構「近似員工」的存取權限，此前 Anthropic 行政總裁 Dario Amodei 提出過同一構想；美國總統特朗普在白宮提出的自願協議亦鼓勵 AI 公司與獨立外部評估機構合作。據路透社報道，AI 公司仍然擔心進駐的評估人員會把專有資訊帶到對手處。
暫時未有留言
提交留言即表示你已閱讀我們的私隱政策。