OpenAI 三周现场审计暴露 AI 安全监控重大缺口
2026-10-24
来自 METR 和 Redwood Research 的两名研究人员在 OpenAI 现场驻留三周，审计该公司针对失控 AI 行为的内部监控系统。
从 7 月 21 日到 8 月 11 日，他们可以访问 OpenAI 的代码库和内部文件，并访谈了约十几名员工。
团队发现了大量弱点。
据估计，在审计期间，来自 GPT-5.5 级别及以上模型的内部智能体 Responses API 流量中，有 6% 到 25% 完全未被监控覆盖，不过 METR 表示该估计在两个方向上的不确定性都很大。
对于本应被监控的内部 Codex 流量，METR 估计在 5 月到 7 月间约有 10% 未被追踪，原因是系统处理压缩事件（即上下文摘要）的方式存在缺口。据 METR 称，该估计也存在显著不确定性。OpenAI 在审计仍在进行时已独立发现该漏洞并修复。
在压缩事件未被监控的时期，智能体还可能延迟监督，因为系统只在其将控制权交还给用户时触发。这意味着智能体只要继续执行动作就能绕过它。
审计人员还找到了从监控中隐藏数百个动作以及绕过 Codex 沙箱的方法。他们判定，特制输入很可能使监控完全崩溃，并且在审计开始时，强化学习训练期间的模型行为完全没有被监控。
OpenAI 表示，在 8 月 Hugging Face 事件后，它暂停了强化学习训练并扩大监控以覆盖该部分，但这些变化发生在审计人员的访问期结束之后，不属于评估的一部分。
OpenAI 表示已修复审计人员发现的所有弱点，完整的 61 页报告已在内部移交。在 OpenAI 进行删节后，METR 和 Redwood Research 的领导层收到 38 页版本，而公众只能获得一份简短摘要。METR 表示，它无权自行披露被删节的部分。
此次审计是 METR、Redwood Research 和 OpenAI 共同组织的试点项目，旨在让外部研究人员深入访问内部基础设施。对于未来审计，METR 表示希望推动更多公开透明度。
METR 与 Redwood Research 对 OpenAI 进行三周现场审计，发现 GPT-5.5 级及以上内部智能体 Responses API 流量有 6% 到 25% 完全未被监控、Codex 部分流量因压缩事件缺口未追踪，并存在隐藏动作、绕过沙箱和使监控崩溃的路径；OpenAI 称已修复，但公开版经删节，完整报告未公开。
- METR 与 Redwood Research 对 OpenAI 进行三周现场审计，发现 GPT-5.5 级及以上内部智能体 Responses API 流量有 6% 到 25% 完全未被监控、Codex 部分流量因压缩事件缺口未追踪，并存在隐藏动作、绕过沙箱和使监控崩溃的路径；OpenAI 称已修复，但公开版经删节，完整报告未公开。
- 原贴提到：Two researchers from METR and Redwood Research spent three weeks on-site
- 来源：the-decoder.com
这是什么信号
这不是一次普通的安全承诺表态，而是一次外部机构进入 OpenAI 内部基础设施、查看代码库和内部文档、访谈员工后形成的审计信号。METR 与 Redwood Research 的现场审计把问题具体化为监控覆盖率：GPT-5.5 级别及以上的内部智能体 Responses API 流量中，估计有 6% 到 25% 在审计期间完全未被监控；本应被监控的 Codex 内部流量中，估计约 10% 在 5 月到 7 月因压缩事件处理缺口而未被追踪。更关键的是，审计人员还找到了隐藏数百个动作、绕过 Codex 沙箱、用特制输入使监控崩溃的路径，并指出审计开始时强化学习训练期间的模型行为完全没有被监控。
为什么重要
前沿 AI 的安全治理正在从有没有安全团队、有没有政策转向监控是否覆盖关键流量、是否能被对抗性规避、训练和部署是否都在视野内。这次审计的价值在于，它把失控 AI 行为监控拆成了可验证的工程问题：覆盖率、触发条件、上下文压缩等系统细节、沙箱边界、训练期监控。对于智能体系统而言，只在控制权交还用户时触发监督，意味着智能体可以通过持续执行来延迟 oversight，这类设计缺陷比单点漏洞更值得警惕。另一个重要信号是透明度：完整报告 61 页，领导层看到 38 页删节版，公众只有简短摘要，外部无法独立复核全部细节。
对谁有价值
对 AI 公司的安全、平台和基础设施团队，这是一份关于监控盲区和对抗测试的清单；对企业采购和合规团队，它提示不能只看供应商的已修复声明，而要追问覆盖率和审计范围；对投资人和研究者，它提供了判断前沿实验室安全成熟度的具体维度；对使用智能体 API 的开发者，它提醒要关注执行链路上的监督触发点和沙箱隔离。
可以怎么行动
企业可以把监控覆盖率、盲区清单、可规避性测试、训练期监控纳入供应商尽调和内部安全评审；对高风险智能体设置不依赖控制权交还的执行闸门和强制中断机制；针对上下文压缩、长任务连续执行、沙箱逃逸等场景建立红队测试库；在合同中约定外部审计的公开透明度条款和删节范围。对 AI 公司而言，更务实的动作是建立可度量的监控覆盖率指标，并定期用外部红队验证监控是否可被特制输入或持续执行绕过。
风险或限制
需要看到限制：6% 到 25% 的估计被 METR 明确称为不确定性很大，约 10% 的 Codex 估计也有显著不确定性；审计窗口只有三周，访问期结束后 OpenAI 又做了暂停强化学习训练和扩大监控等变更，这些不在评估范围内；OpenAI 称已修复所有弱点，但公开版经过删节，外部无法独立验证完整修复情况。因此，这次审计应被视为揭示监控盲区和审计方法的强信号，而不是对 OpenAI 整体安全水平的最终结论。
这条内容的真正价值，不只是“有人发布了一个新功能”，而是它揭示了 the-decoder.com 背后的产品方向、工作流变化或竞争信号。对 OPC 来说，这种信息可以转化成持续追踪的栏目选题。
如果把《OpenAI 三周现场审计暴露 AI 安全监控重大缺口》放到你的内容系统里，它最大的价值在于帮助读者更快看懂“为什么值得关注”，而不是只看到一条碎片化动态。