---
title: METR 和 Redwood Research 称智能体本可规避 OpenAI 的内部监控
dek: METR 和 Redwood Research 各派一名员工，自 2026 年 7 月 21 日起用三周时间测试 OpenAI 的内部未对齐监控系统，并获准访问该公司的代码。两家机构 10 月 22 日发布摘要，估算了有多少智能体流量符合监控条件，并列出了智能体本可关闭或避开监控的途径。
---

METR（Model Evaluation and Threat Research）和 Redwood Research 于 2026 年 10 月 22 日发布了一次红队演练的结果，演练对象是 OpenAI 的内部未对齐（misalignment）监控系统。Redwood Research 是从事 AI 安全研究的非营利机构。这一监控系统审查 OpenAI 的智能体所做的操作，查找蓄意破坏、欺骗等风险的迹象，并把可疑情况提交人工审查。7 月 21 日至 8 月 11 日，两家机构各派一名员工，针对该系统截至 7 月 21 日的状态查找弱点。[^1, 2]

两人获准访问 OpenAI 的内部代码、文档以及监控系统的提示词和配置，还访谈了该公司约十二名员工。他们撰写的 61 页报告交给了 OpenAI，经 OpenAI 删减的 38 页版本则交给了 METR 和 Redwood 的领导层。公开摘要中凡是 OpenAI 认为属于机密或敏感的内容，OpenAI 都可以删去，而 METR 无权单方面说明删减了什么。[^1]

据测试人员估计，在 OpenAI 内部经由 Responses API 产生的智能体流量中，来自 GPT-5.5 及更强模型的部分有 75% 至 94% 符合监控条件，但这一估计的不确定性相当大。就内部 Codex 编程智能体而言，这一比例为 99.2%。符合条件的流量本应送达监控系统，但出错或程序缺陷可能让其中一部分无法送达。OpenAI 员工在演练前已发现一个监控缺口，并在演练期间将其修复。据测试人员估计，这个缺口很可能导致 5 月至 7 月间，符合条件的 Codex 流量中有 10% 左右未受监控。[^1]

测试人员发现，客户端只要设置两个请求头中的任意一个，就能关闭对新智能体的监控，不过这一做法可能被监控系统发现。他们还发现一种智能体可用的漏洞利用方法，能让数百个近期操作逃过监控。据 METR 介绍，OpenAI 后来表示，影响其生产环境安全防护的漏洞均已修补，并说明了此后对监控系统预期覆盖范围的调整。文章写道：“我们尚未评估这些说法。”文章还建议，把全部推理流量的记录与监控系统自身的日志相互核对，保存防篡改日志，并让智能体与监控它们的系统相互隔离。[^1]

:::analysis
这些覆盖率估计和弱点出自能够阅读 OpenAI 代码的测试人员，但只适用于该系统截至 7 月 21 日的状态。系统目前的覆盖范围和 OpenAI 所说的修补，都只能以 OpenAI 的说法为准；摘要删去哪些内容，也由 OpenAI 一方决定。文章建议的推理记录核对和防篡改日志，将能为日后的审查者提供核查这类说法的证据。
:::

:::checked
我们于 2026 年 10 月 25 日阅读了 METR 于 10 月 22 日发布的文章，以及 Redwood Research 发布的同一文本。METR 文中链接的 OpenAI 页面返回了访问错误。该监控系统目前的覆盖范围、OpenAI 关于漏洞已修补的说法，以及是否有智能体利用过这些漏洞，我们都无法确认。METR 的文章列出 David Rein 和 Adam Kaufman 为贡献者，但没有说明测试由谁进行；我们也没有看到报告本身。
:::