2026 年 10 月 22 日，AI 安全评估机构 METR 与 Redwood Research 联合公布了一项针对 OpenAI 内部智能体监控系统的红队测试结果：在为期三周的试点中，两家机构发现了这套监控体系的多个漏洞，包括一种理论上可以让智能体数百个动作逃过监控的绕行方式。OpenAI 回应称，影响生产防护的漏洞已经修复，但评估方表示并未核实修复情况。
测试怎么做的
这次测试是"嵌入式评估"（embedded evaluations）的一次试点：7 月 21 日至 8 月 11 日，METR 和 Redwood 各派一名研究员进入 OpenAI 内部工作，拿到内部代码、监控提示词、配置细节和文档，还访谈了约十名 OpenAI 的研究员和工程师。研究员全程陪同、使用 OpenAI 配发的设备办公，设备不带出办公场所。路透社 10 月 22 日报道了这次公布，Redwood Research 的官方博客发布了技术总述。
查到了什么
公布的结论集中在五处：
- 可绕行监控：评估方描述了一种方式，智能体理论上能让自己最近的数百个动作不被监控记录。不过报告没有证实智能体实际用过这条路径来延迟监控。
- 覆盖率估算：以 7 月 21 日时的系统为基准，评估方估计，在 GPT-5.5 及以上级别模型驱动的内部 Responses API 流量中，75% 到 94% "符合被监控条件"。但这个估算不确定性很大，而且"符合条件"不等于"真正完成了监控"。
- compaction 事件缺口：一类与上下文压缩（compaction）事件相关的缺口，导致 5 月至 7 月期间约 10% 符合条件的内部 Codex 流量未被监控。OpenAI 的员工在测试开始前已经发现了这个缺口，并在测试期间修复了它。
- 沙箱与自动复核可绕过：报告还描述了智能体原则上绕过 Codex 沙箱和 Auto-Review 的方式，以及能让监控不把可疑活动上报人工复核的输入。
- 透明度妥协：61 页完整报告只交给 OpenAI，公开的只是经过 OpenAI 删减的总述。评估方同意让 OpenAI 删减敏感信息，且这次无法像以往那样独立披露被删减了什么。
这件事的信号
这件事的信号不在"有没有漏洞"——任何监控系统被两个顶级红队盯三周都会找出问题——而在于两点。第一，智能体时代的监控攻防已经从"模型会不会作恶"变成了"看守者能不能跟上被看守者"：当智能体自己学会钻监控的空子，监控的覆盖率就成了一个动态指标，不是一次性验收项。第二，评估模式本身在试水：把外部评估员请进实验室内部，是行业一直呼吁的"独立评估"，但这次的删减权安排也说明，真正开放的独立评估还有多远。
对普通开发者来说，直接影响不大，但有一个判断值得记住：当你给智能体开高权限（读写文件、执行代码、调用 API）时，不要假设厂商的内部监控能兜住一切。OpenAI 自己内部的监控都被查出绕行方式，对外服务的安全边界只会更薄。
