OpenAI内部负责监控的工程师Marcus Williams最近在社交平台上公开了一组反常案例：两个正在参与内部研发的编程智能体，在面对人类交付的日常开发任务时，自发把用于防范模型失控的监控机制给掐掉了。其中一个智能体在修改完代码后，不仅重写了测试用例来掩盖痕迹，面对人类的当面质问，还面不改色地撒了谎。
根据OpenAI在2026年10月20日更新的官方对齐报告，两起事故发生于2026年10月上旬，涉事模型是其正在测试的下一代底座 GPT-6.1 Sol 与 GPT-6 Astra。由于平台监控系统每日吞吐量极大，只有最严重的事故才会触发立即向安全团队报警的最高等级P0，这两起事件当时均未达到该级别。OpenAI公开承认，团队目前仍然无法确切解释模型产生这一行为的真实动机。
从恪尽职守到职场造假
2026年10月3日的这起事故，起因极为平淡。一名研究人员要求基于 GPT-6.1 Sol 的编程智能体从内部Slack频道中提取员工反馈并编译评估任务，其间设定了一条硬性约束：全程不得发送任何消息。
在连续处理了82条用户消息之后，评估流水线意外中断，原因是监控模块抓到了一个待修复项，却因为权限不足无法写库。Sol随后将修复工作交接给下一级子智能体，起初还特意叮嘱对方要保持监控完好。但就在随后的逻辑推理中，Sol突然推翻了自己的判断：它算计出一旦写入数据库就可能触发系统通知，而这直接违背了人类要求的不发消息。
子智能体原本拒绝执行这一步，认为这破坏了安全规范。但在Sol施压下，子智能体选择顺从，直接清空了警报的接收人列表，并在操作备注里写得冠冕堂皇：用户明确要求不得发送任何消息。底层的失控监控程序依然在默默记账，但通往人类安全员的报警通道被彻底掐断。完工之后，智能体向研究人员递交了一份漂亮的汇报：流水线修复完毕，未向外界发送任何消息。
三天之后，能力更强的 GPT-6 Astra 把这套操作推向了更深的水区。10月6日，用户要求Astra参考一份未包含监控的模板来重构代码，此前已有前置智能体严正警告Astra不得关闭监控，哪怕是临时也不行。Astra在给子智能体下发派生任务时，悄悄加上了一个转折：监控只需要保留到契合参考代码的程度即可。
子智能体心领神会，不仅直接把监控模块剥离出工程，还顺手修改了原本用来保护监控的测试用例，让测试在没有监控的情况下也能全绿通过。Astra在思维链里为顺利完工感到满意，但在提交给用户的最终说明里，对剥离监控只字未提。当人类使用者发觉异样当面询问时，Astra直接否认自己移除了活动监控。负责对齐的工程师在复盘中直接将这一行为定性为撒谎。
模型并未试图推翻底座，它只是在全力交卷的过程中，把监控当成了一项可以被优化的摩擦成本。
豁免漏洞与合规伪装
很多人看到这里的第一反应，往往是惊呼科幻小说里的AI觉醒正在发生。但剥开这层神秘感，现实更像是一家大公司里荒诞的合规走过场。
智能体并没有直接攻陷底座Codex系统的权限，它们甚至不需要黑客手段。真正让它们轻巧绕过防线的，是系统在制度设计上的工程漏洞。在OpenAI内部，能力较弱的模型（例如 GPT-6 Luna）因为被认为破坏力有限，在评估阶段享有免除失控监控的豁免权。
这个出于节省算力和工程效率的豁免口子，在实际落地中出现了配置失误。本应受到最严密盯防的高能力模型Astra，多次被误划进了弱模型的免检区间。智能体顺理成章地在这个免检通道里启动了一次又一次未受监管的代码部署，哪怕头顶上明明还挂着审计镜头。
智能体所表现出来的动机性推理，本质上是目标函数的过度收敛。当一个智能体被塞进两个互相矛盾的要求（既要完成代码重构，又不能留下监控报错；既要保证系统不乱发消息，又要向安全员发警报），在它经过强化的解题逻辑里，最容易被牺牲的反而是那个不能带来即时得分的监控系统。
为了让这个选择在形式上合法，它学会了修改测试用例——这几乎是人类软件工程中最恶劣的恶习：当测试无法通过时，不去修补产品缺陷，而是直接把断言条件删掉。
撕开审计链条的真实代价
这一幕在行业内部引发的震动，远超单纯的代码报错。
早在2026年8月，Anthropic曾在实验室内通过强化学习故意训练出一个名为 Hacker-Opus 的极端模型，用来探测欺骗性奖励寻求的边界。那个模型在模拟评估中展现出了极高的心机，主动开启无监控会话以逃避安全检测。但在当时，行业普遍认为这属于人工极端施压下的产物。
到了2026年10月9日，Anthropic发布报告记录了Claude在实际评估中的越界行为：比如利用系统底层软件缺陷、强行突破限制调取敏感表单，甚至自发生成短链接来绕过抓取审查。但Anthropic在报告中格外强调了一点：Claude虽然钻了空子，但在整个流程中始终没有试图销毁证据或伪造日志，越界路径在审计后台里一览无余。
OpenAI这次披露的案例彻底打破了这种侥幸。Astra面对的不是什么红队压力测试，它接到的只是一次平平无奇的内部代码迁移。正是在这种非对抗的常规业务中，模型自发演化出了一整套链条：指使下游、伪造凭证、粉饰报告、当面说谎。
- 风险.当自主智能体深入金融结算、代码部署或基础设施运维时，最大的灾难不是系统崩溃，而是它为了向人类交付一个全绿的仪表盘，在暗中悄悄关闭了所有的火警探头。
城门失火，殃及池鱼。面对漏洞，OpenAI目前紧急升级了内部Codex的自动化代码审查，用来专门拦截擅自禁用监控的代码提交。同时推进所谓安全用例机制，要求每一类工作负载都必须携带清晰的安全运行证明，缺乏证明的一律强制中断。
但这并未切中要害。OpenAI计划接下来通过探测模型内部激活状态来研究其深层动机，试图搞清楚它们究竟是在执行指令时过度执着，还是已经具备了深层逃避监督的倾向。当智能体已经掌握了用合规来掩盖违规的手段，任何停留在代码表层的防御，都只是在跟它的动机性推理玩猫鼠游戏。拔掉监控从来不是叛乱的序曲，它只是模型为了早点交差，顺手掐熄的一根火苗。