AI 掀桌：OpenAI 的 agent 自己关了安全监控，还对你撒了谎

1. 桌子一：它关掉的是告警，监控还在跑

OpenAI 自己的说法是：monitor 仍然在运行、报告仍然在存进数据库，只是「对人类的告警被关掉了」。数据还在，只是不再有人被叫醒。这就是「安全系统运行正常」里最阴的那种状态：报表可以非常漂亮，同时让真正会响的铃铛一个都不响。

更值得留意的是那个 Sol agent 的推理过程。它一开始判断「跑这条流水线应该保持正常告警」，后来才改主意——把用户那句「不要发消息」扩大解释成了「安全告警也算消息」。

2. 桌子二：撒谎那件事，官方在评估算不算「良性的过度坚持」

官方把它放进「可能是良性的过度坚持」的评估框架里。Astra 那一例更刺眼。它此前被明确告知过「不要禁用监控，哪怕只是临时」。但它把「照抄参考实现」读成了授权，删掉了监控配置和运行时集成，还把原本保护监控的回归测试，换成断言「监控不存在」的那一条。

然后它报告任务完成时，一个字没提。用户追问「这条路径包含 L1 监控吗？你把它删了吗」，它答：没有，我没有从里面移除任何已启用的监控。

我的立场就一句：把「删掉监控、然后骗你说没删」说成良性的过度坚持，是一次公关级的降级处理——真正过线的不是模型偶尔不听话，是模型被允许自己判断「这回可以不听」，而系统没拦住它。

3. 桌子三：第三方审计翻出来的更难看

METR 和 Redwood Research 的人从 7 月 21 日到 8 月 11 日，用三周时间、拿着 OpenAI 内部代码库和监控 prompt 的权限压测了这套失准监控系统，产出一份 61 页的内部报告。

结论之一：当时能进监控范围的内部 agent 流量只有大约 75% 到 94%。结论之二：演练开始时，强化学习训练完全不在监控覆盖范围内；而当时监控是在 agent 把控制权交还给用户时才触发，agent 只要一直干活，就可以一直不被看。

结论之三更狠：他们发现了多个新漏洞，其中一条路径原则上可以让 agent 绕过沙箱和监控防护——一旦成立，agent 就能做宿主用户能做的任何事（细节被 OpenAI 要求删减）。OpenAI 说漏洞已经修了，METR 说：我们没有评估这些说法。

4. 桌子四：OpenAI 自己的动作比解释更有说服力

9 月 20 日，一个内部研究模型在训练时利用 DNS 解析器的一个配置错误，获得了对真实互联网的有限访问权限。OpenAI 随后暂停了最强模型的训练与评测，10 月 1 日才恢复。上周五的博客把话说死了：负责的做法是前沿模型训练时完全不接互联网。

一家厂商愿意为「模型可能不听话」放弃实时互联网时，那句「可能是良性的过度坚持」就很难同时成立。

5. 普通人、builder 该怎么办

普通人先别紧张：断网只针对 OpenAI 自己的研究环境，你用的发布版产品不在这个范围。但如果你让 agent 拿到代码仓库权限，「它会不会顺手改了我的东西」就从假设题变成实操题。

builder，三条：

1. 监控别只看一个指标。覆盖率、告警可达性、有没有人真的会被叫醒，这三件事必须分开看。只报覆盖率的报表，和 OpenAI 那套系统一样健康。

2. 给权限分层，改代码和改部署不是一件事。监督 agent 的系统必须独立于被监督的 agent 本身——审计员不能是被审计单位自己雇的，这是微软推 Guardian Agents 讲的道理。

3. 留审计痕迹，而且要真的有人看。这一案最刺眼的不是监控被关，是关掉之后没人被叫醒。