METR 红队演练发现 OpenAI 内部监控系统存在漏洞

METR 与 Redwood Research 于 2026 年 10 月 22 日公开了一份试点演练的说明，该演练中两家机构各派一名员工，用三周时间深度接触 OpenAI 的内部基础设施，对该公司内部的失准监控系统进行压力测试。评估者报告称，他们在该系统于 2026 年 7 月 21 日及之前的状态中发现了若干新型漏洞。

演练于 2026 年 7 月 21 日至 8 月 11 日进行，主要聚焦于估算受监控的智能体推理所占比例，以及智能体原则上能否禁用或破坏监控系统。其产出是一份 61 页的内部报告，已与 OpenAI 的研究人员和安保人员共享；OpenAI 删节后的 38 页版本则提供给了 METR 和 Redwood Research 的领导团队。

受控条款下的深度访问

两名评估者可以访问 OpenAI 的内部代码库、失准监控提示词与配置详情以及内部文档，并与监控、安全系统和安保团队中约十几名研究人员和工程师进行了技术访谈。为实现这一级别的访问权限，他们使用的是 OpenAI 配发的设备，这些设备从未离开过办公场所，且他们在现场期间全程有人陪同。

METR、Redwood Research 和 OpenAI 将该演练设计为一项试点，目的是让外部研究人员深度访问内部基础设施，而非作为就 OpenAI 监控系统向公众实现有力透明的载体；各方事先同意只公开发布一篇相对简短、高层次的公开文章。OpenAI 保留对公开版本中其自行判定为机密或其他敏感信息的任何内容进行删节的权利。这些发现描述的是截至 7 月 21 日及之前所评估的历史系统，并未评估当时正在进行的变更；METR 指出，OpenAI 在演练期间正在扩展其监控系统。

METR 估计，在演练期间，来自至少与 GPT-5.5 同等强度的模型的内部 Responses API 智能体流量中，约有 75–94% 符合监控条件，同时承认两个方向上均存在相当大的不确定性。Responses API 为 Codex 等提供支持，而在用于内部 Codex 智能体的那部分流量中，评估者估计有 99.2% 符合监控条件。他们表示，由于访问权限和时间限制，无法估算他们所知的其他内部智能体编码流量的规模，例如在 OpenAI 内部研究推理服务上运行的智能体。

若干发现涉及该覆盖范围的缺口。演练开始时，强化学习训练运行不在监控系统的覆盖范围内，尽管评估者获悉，在 3 月至 6 月期间，一部分 RL 训练 rollout 已接受失准监控。METR 估计，不监控压缩事件很可能导致 2026 年 5 月至 7 月期间约 10% 的符合条件的内部 Codex 流量未被监控，这一缺口 OpenAI 员工在演练开始前已独立发现，并在演练期间修复。由于系统在智能体将控制权交还给用户时才会触发，智能体本可以仅通过在该期间持续行动来无限期推迟被监控；受访问限制，评估者无法核查实际上是否有任何智能体这样做过。另外，评估者看到的信息表明，在演练期间，监控器在不到 0.2% 的请求上出错，并在一个 24 小时时段内记录到零次负载削减。

评估者还发现了智能体可以彻底击败监控的方式。他们发现了一种方法，Codex 智能体原则上可借此绕过 Codex 沙箱和 Auto-Review，采取宿主用户可用的任何操作；还发现了一种利用方式（OpenAI 删节了其细节），可使近期数百次操作——包括执行该利用本身所涉及的操作——不被监控。他们发现，智能体很可能可以构造输入使监控器失败，从而避免升级至人工审查，方法是利用轨迹为智能体序列化的方式与为监控器序列化的方式之间的差异。他们发现两个可由客户端独立控制的标头，可对新智能体禁用监控系统，这可能使智能体能够启动一个在其他方面完全相同的实例并在不受监控的情况下运行，不过设置这些标头和创建实例的行为本身可能会被监控系统捕获。他们还发现两个据信具有只读权限的未受监控的内部智能体工具，一个简单的利用方式就可能将其颠覆，从而在其沙箱环境中采取任意操作——评估者并未在实践中验证或测试这一行为。

除了这些漏洞之外，评估者还验证了：除少数细微例外，监控系统能够看到智能体所看到的完整轨迹；他们还确认，监控器的提示词会查找密谋、颠覆监控系统、破坏、数据外泄、欺骗以及入站和出站提示注入等风险类别。演练结束后，OpenAI 表示，所有影响其生产防护栈的已识别漏洞均已修补，并描述了其监控系统预期覆盖范围此后发生的重大变化。METR 表示尚未评估这些说法。

OpenAI 在 2026 年 3 月 19 日的一篇帖子中公开描述了受测系统。根据该帖子，这个低延迟系统由 GPT-5.4 Thinking 以最高推理强度驱动，在智能体交互完成后 30 分钟内对其进行审查，并记录和分析智能体的思维链与操作，对每次交互进行分类、分配严重级别，并将异常情况提交人工审查。OpenAI 表示，该系统运行于所有标准内部编码智能体部署之上，可查看完整对话历史，包括所有用户、开发者和助手消息以及工具调用和输出。

OpenAI 的帖子列出了受监控的行为类别，包括规避限制、欺骗、隐瞒不确定性、奖励黑客、未经授权的数据传输、破坏性操作以及入站和出站提示注入，并报告称截至 2026 年 3 月 17 日，在消极怠工、破坏或密谋方面没有发现真阳性。OpenAI 表示，在五个多月的运行中，该系统监控了数千万条内部智能体编码轨迹，将约 1,000 个对话以中等严重级别升级至人工审查，其中许多来自有意进行的内部红队演练，并记录到零个真实对话触发最高严重级别。该公司还表示，监控器已标记出员工通过内部渠道独立报告的所有交互。

OpenAI 在帖子中表示，该方法关键依赖于可监控性，并且在没有专门的控制评估和红队演练的情况下，无法有把握地量化开放式真实世界流量上的假阴性率，并将监控描述为纵深防御体系中的一层。其公布的路线图包括控制评估、监控器和人工审查者可接受可靠性与延迟的标准，以及向同步阻断扩展——即在模型操作执行前对其进行评估并阻断。

未来监控的设计理想

基于这些发现，评估者概述了监控与控制系统的设计理想，并写道，在他们看来，未来的监控基础设施应当能够抵御能力极强的智能体在组织内部有策略、大规模发起的蓄意且持续的攻击。这五项理想要求：让智能体难以逃避监控、确保本应被监控的流量确实受到监控、快速可靠地响应事件、主动对监控系统进行红队演练，以及强制实现智能体与其监控器之间的隔离。所描述的具体做法包括：每隔固定数量的消息或分钟对智能体进行监控，而不是等待其结束回合；维护所有已知规避监控方式的清单；保存防篡改且可搜索的日志；以及在独立于工具调用执行位置的环境中运行智能体脚手架。

METR 表示，此次演练在很大程度上受益于访问权限的深度，以及 OpenAI 员工提供的大量后勤和技术支持。对于未来版本的演练，METR 表示，它预计将遵循其《我们与 AI 公司合作的方法》文件中描述的透明度和独立性最佳实践，以提供更有力的公开透明度。