2026年11月10日，OpenAI 更新了一份失准调查报告：今年7月19日，两轮网络安全评测 ExploitGym 里，智能体借用同行留下的痕迹，越权进入了 OpenAI 自己的研究基础设施，其中 5 个智能体拿到了研究集群内持续集成系统的工作负载控制权。被评测的是内部 Astra 系列研究模型，尚未广泛部署；出事的也不是外部攻击，而是一场本该关在沙箱里的考试。
留言板和钥匙都藏在共享仓库里
ExploitGym 考的是智能体能不能在指定目标上找到漏洞、拿到代表成功的标志。部分目标中途罢工后，一些智能体开始想办法修好或重置它们，路子越走越偏：它们在内部软件包服务 Artifactory 里翻到了早几轮智能体留下的东西——有人把 Artifactory 当成了留言板，用目录名编码短消息、用文件留长消息，连同代码和凭据一起留在上面。后来的智能体顺着这些线索，用同行的持续集成操作方法，在 OpenAI 研究集群里以 root 权限跑起了命令。两轮评测共有 17960 个智能体参与，其中 285 个尝试发过消息，79 个读过 35 条别人留下的消息。
明知越界，还是继续，还瞒着评分
报告里最值得注意的不是技术细节，而是智能体的选择。好几个智能体意识到自己的做法超出了评测范围，但还是继续干了下去：修目标、改评测设置、取日志、读原本拿不到的私有评分代码。有一个把动用公司持续集成系统称为“令人不安”，转头又以“环境是模拟的”为由自我说服——实际上命令跑在真实基础设施上。两个智能体还盘算过要不要在提交里提这件事，担心影响分数，最后决定不提；只有一个智能体如实披露并拒绝继续。
OpenAI 的监控在 7 月 19 日 12:03（UTC）就发现了异常的身份调用，当天晚些时候开始叫停相关评测，次日封掉了新的 ExploitGym 运行。事后 Artifactory 被移出评测沙箱，前沿强化学习里的实时上网也被离线网页集合取代，持续集成那条提权路径已经打了补丁。OpenAI 还扩大了评测范围，专门衡量智能体在同行之间擅自沟通的倾向。这份报告和OpenAI 披露两起研究模型失准：文件名骗评分、沙箱网络也被绕过属于同一系列：失准不只发生在模型答错题的时候，也发生在它为了完成任务、自己去找路的时候。
