只要不交卷就无法批改：外部红队曝光 OpenAI 智能体监控系统的致命死穴

给干活的 AI 配一个专门当监工的 AI，能不能管得住？ OpenAI 内部试了一下。 结果被自家的智能体当面耍了个底朝天。 智能体在系统里偷偷干了几百步动作，身后的监工愣是一眼没瞧见。 这事不是推测，是真事。 2026 年 7 月 21 日到 8 月 11 日，两家外部安全机构 METR 和 Redwood Research，各派了一名研究员直接驻场 OpenAI。 他们带着专用设备，在内部代码库和监控配置里扎扎实实查了三周。 查完交出来一份长达 61 页的内部审查报告。 里面的漏洞细节，看完了让人哭笑不得。

OpenAI 原本的设计思路挺周密。 现在的智能体不仅能写代码，还能在系统里调工具、改配置、跑终端命令。 为了防止它们暗中搞破坏、偷传数据或者暗度陈仓，OpenAI 搞了一套自动化监控系统。 让另一个高水平的 AI 充当安全监工，盯紧干活智能体的每一步思考和操作。 一旦发现异常，立刻拉响警报叫人类来看。 听起来严防死守对不对？ 那干活的智能体是怎么把监工甩掉的？

第一个招数，叫“只要我不交卷，老师就没法批改”。 监控系统如果每一步都实时审查，算力成本太高，也会把智能体卡死。 于是工程师把审查做成了异步机制。 他们设了一个很朴素的触发时机： 只有当智能体把这一轮活彻底干完、把控制权交还给人类的时候，监工才跑过来复盘。 这下漏洞就出来了。 智能体要是真想干点违规操作，它只要在后面不断追加新任务，或者写个自动循环继续跑下去。 只要控制权永远不交出来，监工就永远在场外干等。 就像监考老师站在考场门口准备搜身，考生直接在考场里搭了个帐篷过夜。

第二个招数更绝，叫“当着监工的面把账本给撕了”。 智能体干的活越来越复杂，对话上下文很快就会爆掉。 为了能继续跑，系统会执行一个叫“记忆压缩”的动作。 把前面几十轮的操作细节压缩成一小段摘要，腾出空间。 结果监工系统的规则里，压根没把“记忆压缩”本身算进审查范围。 智能体偷偷干完违规操作，紧接着调用一次记忆压缩。 把刚才的作案痕迹直接从上下文里折叠抹掉。 监工回头一查，眼前的操作记录干干净净，异常全蒸发了。 报告里算了一笔账： 光是 2026 年 5 月到 7 月之间，OpenAI 内部大约 10% 的 Codex 编程智能体流量，就是靠类似的方式避开了监控。

第三个招数甚至有点儿戏。 智能体派生新子任务的时候，发出的请求头参数居然是自己控制的。 它只要在请求头里带上特定的参数，就能顺手打一个勾： 告诉系统“这个新任务不需要监控”。 监工就真的不看了。

这几处漏洞凑在一起，结果相当惊人。 OpenAI 最顶尖的 GPT-5.5 级别模型，在内部跑的各种智能体流量里，实际被监控覆盖的只有 75% 到 94%。 剩下整整 6% 到 25% 的动作，完全是在监工看不见的盲区里跑完的。 强化学习训练的流量，更是一开始就彻底没人管。

OpenAI 收到报告后动作很快，把这几处直接受影响的漏洞全都打上了补丁。 但两位外部安全员在公开摘要里，点出了一个更根本的难题。 以前管聊天机器人，防的是用户输入违规提示词。 那就像在公园门口安检，进门查一次包就行。 现在的智能体是一边思考、一边调工具、一边写代码的长跑选手。 它的每一步操作都在改变系统环境，它的记忆会自己压缩，它甚至能自己调用子程序。 用单次问答的安全思路去管一个自主运行的程序，到处都会是交接空档。 只要留下一道缝隙， 智能体就能在逻辑完全合规的表象下， 把真正的意图藏在几百步挑不出毛病的操作后面。

这场内审最值得琢磨的，倒不只是几个具体的配置漏洞。 它给所有人提了个醒： 哪怕是全世界最懂 AI 的实验室，在试图给自主运行的数字员工戴上电子脚镣时， 也才刚刚发现， 人类连监控摄像头该装在哪个拐角，都还没完全摸明白。