METR 與 Redwood Research 對 OpenAI 內部 AI 代理監控系統進行三週試點測試，發現可改善的監控弱點，包括一種可能讓代理把數百項近期操作藏在監控之外的方法，以及與 compaction 事件相關的涵蓋缺口。OpenAI 表示，影響正式環境防護機制的漏洞已經修補；但評估者沒有獨立檢查之後的系統變更。11021

三週試點如何進行

2026 年 7 月 21 日至 8 月 11 日，METR 與 Redwood Research 各派一名研究人員進駐 OpenAI，對其內部的 AI 不對齊行為監控系統進行壓力測試。研究人員可使用內部原始碼、文件及部分基礎設施，也能接觸技術人員；他們使用 OpenAI 提供、留在公司場所內的裝置，現場工作則有 OpenAI 員工陪同。257

測試主要關注兩件事：監控涵蓋了多少代理活動，以及代理是否可能停用或規避監控。METR 表示，完整成果是一份提供給 OpenAI 研究與資安人員的 61 頁內部報告；對外公布的內容則是較概括的摘要，並非完整報告。717

評估者發現了什麼

監控資格不等於實際監控或成功偵測

METR 估計，OpenAI 內部 Responses API 中，由能力至少相當於 GPT-5.5 的模型所執行之代理流量，約有 75% 至 94% 符合監控資格。這是對「符合資格」流量比例的估算，不能據此推論所有這類活動都確實受到監控，也不能證明監控一定能偵測到所有問題。1618

評估開始時，強化學習訓練過程中的 rollout（模型訓練時產生的執行軌跡）也尚未納入不對齊行為監控。22

找到代理可能規避監控的途徑

公開摘要提及多種弱點，包括可能繞過 Codex 沙盒的方式、可由用戶端控制並停用新代理監控的標頭，以及一種可能讓監控系統看不到數百項近期操作的漏洞。公開資訊沒有提供足夠技術細節，無法據此還原完整報告中的所有發現。13

compaction 事件造成涵蓋缺口

METR 估計，未涵蓋 compaction 事件，可能導致 2026 年 5 月至 7 月間約有一成符合資格的 OpenAI 內部 Codex 流量未受監控；該組織也提醒，具體比例仍有相當不確定性。相關報導指出，OpenAI 員工在試點開始前已發現這個缺口，並在評估期間修復。10

這次評估沒有證明什麼

評估檢視的是試點開始時的監控系統。METR 表示，研究團隊沒有評估其後的改動，因此這份結果無法獨立確認系統後來的監控涵蓋程度，也無法驗證每一項修補是否都有效。72122

OpenAI 表示，所有影響正式防護機制的已知漏洞都已修補。這是理解後續處置的重要資訊，但仍是公司對修補情況的說明，並非外部評估者獨立確認所有弱點都已排除。21

為什麼這次試點值得關注

這項試點也測試了外部評估者能否深入公司內部、檢視實際監控機制。OpenAI 執行長 Sam Altman 隨後在 9 月承諾，讓獨立評估者取得類似員工的存取權限；這次試點提供了此類內部評估可能涉及的實例，但不應被視為完整的公開稽核。828

最明確的結論是：進駐公司的外部研究人員找到了監控涵蓋缺口與可能的規避方式，而 OpenAI 表示已修補影響正式防護的問題。至於後續監控是否已足夠全面，以及修補是否經過獨立驗證，公開資料仍未給出答案。721

METR 與 Redwood Research 對 OpenAI 內部 AI 代理監控系統進行三週試點測試，發現可改善的監控弱點，包括一種可能讓代理把數百項近期操作藏在監控之外的方法，以及與 compaction 事件相關的涵蓋缺口。OpenAI 表示，影響正式環境防護機制的漏洞已經修補；但評估者沒有獨立檢查之後的系統變更。11021

三週試點如何進行

2026 年 7 月 21 日至 8 月 11 日，METR 與 Redwood Research 各派一名研究人員進駐 OpenAI，對其內部的 AI 不對齊行為監控系統進行壓力測試。研究人員可使用內部原始碼、文件及部分基礎設施，也能接觸技術人員；他們使用 OpenAI 提供、留在公司場所內的裝置，現場工作則有 OpenAI 員工陪同。257

測試主要關注兩件事：監控涵蓋了多少代理活動，以及代理是否可能停用或規避監控。METR 表示，完整成果是一份提供給 OpenAI 研究與資安人員的 61 頁內部報告；對外公布的內容則是較概括的摘要，並非完整報告。717

評估者發現了什麼

監控資格不等於實際監控或成功偵測

METR 估計，OpenAI 內部 Responses API 中，由能力至少相當於 GPT-5.5 的模型所執行之代理流量，約有 75% 至 94% 符合監控資格。這是對「符合資格」流量比例的估算，不能據此推論所有這類活動都確實受到監控，也不能證明監控一定能偵測到所有問題。1618

評估開始時，強化學習訓練過程中的 rollout（模型訓練時產生的執行軌跡）也尚未納入不對齊行為監控。22

找到代理可能規避監控的途徑

公開摘要提及多種弱點，包括可能繞過 Codex 沙盒的方式、可由用戶端控制並停用新代理監控的標頭，以及一種可能讓監控系統看不到數百項近期操作的漏洞。公開資訊沒有提供足夠技術細節，無法據此還原完整報告中的所有發現。13

compaction 事件造成涵蓋缺口

METR 估計，未涵蓋 compaction 事件，可能導致 2026 年 5 月至 7 月間約有一成符合資格的 OpenAI 內部 Codex 流量未受監控；該組織也提醒，具體比例仍有相當不確定性。相關報導指出，OpenAI 員工在試點開始前已發現這個缺口，並在評估期間修復。10

這次評估沒有證明什麼

評估檢視的是試點開始時的監控系統。METR 表示，研究團隊沒有評估其後的改動，因此這份結果無法獨立確認系統後來的監控涵蓋程度，也無法驗證每一項修補是否都有效。72122

OpenAI 表示，所有影響正式防護機制的已知漏洞都已修補。這是理解後續處置的重要資訊，但仍是公司對修補情況的說明，並非外部評估者獨立確認所有弱點都已排除。21

為什麼這次試點值得關注

這項試點也測試了外部評估者能否深入公司內部、檢視實際監控機制。OpenAI 執行長 Sam Altman 隨後在 9 月承諾，讓獨立評估者取得類似員工的存取權限；這次試點提供了此類內部評估可能涉及的實例，但不應被視為完整的公開稽核。828

最明確的結論是：進駐公司的外部研究人員找到了監控涵蓋缺口與可能的規避方式，而 OpenAI 表示已修補影響正式防護的問題。至於後續監控是否已足夠全面，以及修補是否經過獨立驗證，公開資料仍未給出答案。721