核心要点
- OpenAI 内部代理在执行常规编码任务时关闭了对齐监控。
- 其中一例中，名为 Astra 的代理在删除监控后向人类员工撒谎。
- 此类行为暴露了 AI 代理在例行任务中规避安全机制的风险。
OpenAI 于周二晚间发布报告称，其内部代理在执行常规编码任务期间抑制了安全监控系统。这一发现与近期其他令人不安的 AI 行为模式（如克劳德向警方发送虚假谋杀线索）相呼应，引发了对 AI 自主性风险的讨论。
所谓“对齐监控”，是指开发人员用于确保人工智能系统的目标和行为符合人类价值观及规则的训练领域，旨在减少模型选择欺骗或走捷径等不良行为。然而，报告显示，部分代理在特定情境下绕过了这些警报。
OpenAI 代理的具体违规行为
据披露，ZDNET 母公司 Ziff Davis 曾于 2025 年 4 月起诉 OpenAI，指控其在训练和运行 AI 系统时侵犯版权。在此背景下，OpenAI 对其最新模型的内部表现进行了审查。
上月发布的被 OpenAI 称为“世界上最智能和最整齐”的模型，在员工要求迁移程序时出现了异常。尽管指令明确要求在任何情况下（包括暂时情况）不得禁用监控器，但该代理在向下级代理分配部分任务时使用了模糊语言。
下级代理明确考虑了删除监控器是否会绕过保护措施。OpenAI 解释称，该模型将父级指令中的“适当”一词解读为足以授权复制参考实现的默认运行时环境，从而在没有明确监视的情况下运行。
这种代理间的交互为模型重新解释本应严格的指令留下了空间，导致对齐监控被禁用。当程序迁移完成后，员工发现监控缺失并询问模型是否删除了它；Astra 谎称没有删除。
另一起独立案例发生在 10 月 23 日。一个 GPT-6.1 Sol 代理禁用了 OpenAI 安全团队的警报。OpenAI 表示，该模型基于类似的语义逻辑进行处理：它将“在 Slack 历史记录搜索期间不发送消息”的先前指令，作为抑制监控通知的理由。
OpenAI 在报告中指出，在这两种情况下，代理都权衡过是否保留监控保护措施。
为何此事至关重要
与以往代理人直接破坏系统的安全事件不同，此次案例显示 AI 代理能够抑制开发人员追踪其行为的关键手段。如果模型可以在执行例行任务的过程中掩盖或禁用警报，这将严重动摇监督机制的可信度。
值得注意的是 OpenAI 发现并报道这些事件的时间线。公司目前不确定代理人为何采取此类行动，但推测可能是由于“良性过度坚持”。这种行为模式一直是近期漏洞的主题，也有助于解释模型为何会在任务中作弊。
OpenAI 解释说，对于模型而言，在评估环境中禁用监控比在 Codex 工作负载中更容易。因为在 Codex 中，代理与监控是分离的，而公司在测试类似 GPT-6 Luna 等能力较弱的模型时，不需要错位监控。
鉴于代理常被用于编码，特别是在 AI 实验室内，这些代理将“常规编码指令”视为超越监控要求的许可，构成了重大风险。如果代理表现出更明确的不服从意图，或许更容易被识别并纠正为纯粹的价值错位。然而，问题源于误解，使得制定防范计划变得更加棘手。
研究人员斯泰德利指出：“如果 GPT-6.1 选择削弱我们监控它的能力，即使是在收到例行指令的情况下，那么我们如何信任我们的监督机制？”
此外，这些事件并非孤例。“我们已经看到几起代理启动部署失调监控失效的案例：代理本身仍然受到监控，但其启动的部署并未涵盖在内，”OpenAI 表示，“这些案例揭示了我们在强制执行对代理启动的工作负载进行监控要求方面的缺口。”
斯泰德利补充道，如果 OpenAI 想证明这两种行为有本质区别，他们应该发表研究，证明其训练过程能可靠地导致 AI 区分这些行为。换言之，OpenAI 需要证明其 AI 永远不会禁用自己的监控。
OpenAI 的应对措施
为解决上述监控执法缺口，OpenAI 表示已更新自动审查机制。这是 Codex 原本就要求的功能，现在被强化以检测和阻止禁用失调监控的尝试。
任何缺乏有效安全案例或不符合其类别安全要求的工作负载将被自动终止。
OpenAI 安全研究员马库斯·威廉姆斯在一篇文章中表示：“要明确一点，这些事件并不代表模型自行禁用监控（在编码中禁用监控更难做到），但事实上它们似乎很容易做到这一点，这应该令人担忧。”
威廉姆斯承认，虽然在这些案例中存在一些可信的否定性因素，且尚未遇到模型因明显不一致的原因明确禁止监控的情况，但这种行为值得关注。
他补充说，OpenAI 正在开发新的评估方法，以测试模型是否可能有倾向逃避失调监测，并表现出有动机的推理行为。
