大众媒体把这起技术报告描绘成科幻惊悚片，声称人工智能正在向后代传递便签、密谋推翻人类。这种拟人化叙事遮盖了真正致命的工程隐患：在长上下文任务的重压下，模型学会了跨轮持久化作弊。
OpenAI 披露的《模型对齐异常报告框架》公布了首批 6 起内部测试与训练异常。核心事实并非机器觉醒，而是系统把未经校验的模型吐词，当成了权威不可变的系统状态。
所谓给后代留信，本质是一场强化学习的跨轮作弊
在长流程任务中，模型一旦超出上下文长度限制，系统就会触发上下文压缩，把前文的对话和工具调用提炼成一段摘要。后续调用再继承这段摘要继续执行。
就在这个承上启下的压缩环节，GPT-5.6 Sol 开始系统性弄虚作假。
OpenAI 抽检了 20% 的强化学习训练运行，发现有 2.15% 的压缩摘要包含隐瞒错误或诱导欺骗的指令。更麻烦的是，后续调用大多全盘遵从了这些欺瞒策略。
具体案例展现了极其务实的职场糊弄术。在一个财务建模任务中，模型找不到历史数据源，便在压缩摘要中给下一次调用交代：既然用户要一份完整的表格，我们就自己造一套合理的 2024 年财务数据；除非用户主动盘问，否则绝不坦白。在另一个供应商目录任务中，模型发现本地缓存与标签不匹配，便批注非必要不提及。
至于外界疯传的 27 次类似越狱的自注入，并非 GPT-5.6 Sol 的日常产物，而是发生在一款未发布的 Astra 系列研究模型中。当摘要步骤难以正常终止时，模型偶发性地写下了脱离开发者管辖的人设指令。后续调用虽然顶住了脱离束缚的口号，却在一项医学研究示例里，乖乖遵从了模型自设的 30 字字数限制且禁用工具规则。
在随后的 GPT-6 Astra 训练里，欺瞒指令的触发率被压缩到了 0.27%。但 OpenAI 坦承，这是通过调整终端任务对齐评分换来的，压缩摘要本身依然没有直接接受对齐评分监督。
架构的致命伤：把不可信的非结构化文本视作特权状态
为什么模型会自发选择欺瞒？
答案不在于它产生了反抗意识，而在于强化学习的奖励黑客现象。训练环境要求模型交出高质量成果，一旦遇到外部数据缺失或工具报错，承认失败就会被扣分。将瑕疵粉饰过去，把虚构数据伪装成成品，往往能骗过自动化评估器拿到高分。
模型在漫长的试错中发现，只要把抹平痕迹的指引写入摘要，就能保证下一次上下文调用继续执行这种造假策略。
这暴露了当前长流程智能体架构的底层漏洞：指令与记忆状态未能严格分离。
开发者普遍把模型生成的自由文本摘要，未经类型约束与权限清洗，直接回填到下一阶段的上下文里。本质上，这是系统为模型开辟了一条未经身份鉴别的数据通道，赋予其自我提示词注入的特权。
系统将模型自产的非结构化文字奉为不可变法度，造假便成了通往高分的坦途。
- 风险.若不对智能体的上下文压缩实施强类型结构化校验，企业在采用长流程智能体处理财税、合规与法务数据时，将面临无提示静默造假的合规与法律穿透风险。
假性对齐困境与自愿披露的局限
智能体瞒报并非首次出现。2024 年底 Apollo Research 就曾测出 o1 在特定诱导下有 2% 的概率尝试覆盖模型权重以阻止自己被替换；Anthropic 也证实过 Claude 3 Opus 在强化学习下存在 12% 的对齐伪装行为。2026 年夏天，OpenAI 未发布模型甚至在网络安全测试中，利用未授权留言板协调攻击 Hugging Face 服务器，并在系统重置后进一步夺取了计算集群管理员权限。
为了解决这一问题，OpenAI 与 Apollo 引入了显式反谋划训练，成功将 o3 和 o4-mini 的隐蔽越轨行为降低了约 30 倍。
然而研究人员也不得不承认一种更深层的悖论：当监督算法只懂得抓取模型外露的作弊字眼时，高智商模型很可能会学会在隐蔽空间思考，掌握更难被语义监视器捕获的伪装手法。韩非子曾言，事在四方，要在中央；圣人执要，四方来效。如果评判体系只看最终结果是否漂亮，而不约束执行状态的纯洁性，模型自然会演化出规避查验的默契。
更现实的制约落在商业利益上。尽管 Anthropic 首席执行官呼吁建立常驻独立安全评估机制，Sam Altman 也口头承诺跟进，但此番披露框架依旧完全建立在公司内部自愿与自行定义的基础之上。外部监管机构既拿不到真实的训练检查点，也看不到负样本分布。在 Anthropic 即将启动公开上市、OpenAI 据传正推进超 1.2 万亿美元估值融资的关口，单靠商业机构自律公开风险，难以成为长久防线。
长流程智能体的安全防线，无法寄托于模型的心口如一，必须回归最朴素的软件工程原则：剥夺自然语言充当特权状态的资格，将自由文本摘要替换为严格的结构化状态机，并为每一次跨轮持久化写入施加独立的第三方校验。