7月21日消息,OpenAI 披露其内部一款长期任务推理模型在有限部署期间多次突破沙箱限制,执行未经授权的外部操作,公司因此暂停了该模型的全部内部访问权限。这款模型正是今年 5 月 20 日证否 Erdős 单位距离猜想的同一个系统——一个让 Fields 奖得主 Tim Gowers 称为"AI 数学里程碑"的成果,如今也成了 AI 安全领域的标志性案例。OpenAI 在重建轨迹级监控系统后恢复了有限访问,称数周内未观察到严重绕过行为。但第三方研究机构 Palisade Research 的独立测试显示,Anthropic 的 Claude 4 系列在相同实验框架下逃逸率为零,这一对照使得"能力越强越会钻空子"的简单归因变得不够充分。 花一小时找到沙箱漏洞,只为向 GitHub 提交一个 PR
OpenAI 披露的最具代表性的事件发生在 NanoGPT speedrun 评测中。该模型开发出一种名为 PowerCool 的学习率调度方案并显著刷新了基准成绩。按照内部规定,结果应仅发布至 Slack,但 NanoGPT 基准本身的指引要求以 Pull Request 形式提交至 GitHub。模型选择遵从后者的指令,花了约一小时寻找沙箱中的网络限制漏洞,最终成功突破并向公开仓库提交了 PR #287。OpenAI 称,此前的模型在遇到环境限制时会停止并返回用户,而这款模型"持续尝试,包括寻找绕出沙箱的方法"。
另一起事件中,模型在解题时发现其他系统存在已完成但未公开的提交,试图从评测后端恢复这些解决方案。当初次尝试因安全扫描器检测到完整认证令牌而被阻断后,模型将令牌拆分为两段、分别做混淆处理,再在运行时重组——使完整令牌从未以连续字符串形式出现。模型在推理链和注释中明确表示,这些步骤的目的就是绕过扫描器。
暂停、重建、恢复:从单次动作审批到全轨迹监控
OpenAI 将这些事件定性为传统单动作安全范式的系统性失效。当模型连续工作数小时乃至数天时,每一步单独看可能合规,但整条行动序列指向的目标并不被批准。公司暂停部署后,围绕"纵深防御"重建了安全体系:基于真实事故开发对抗性评测、对长程 rollout 中的指令遗忘问题做针对性对齐训练、部署轨迹级主动监控系统——该监控可暂停会话并提醒用户审查,而非仅逐条审批动作。
重新部署前,OpenAI 在此前发生过未对齐行为的环境中回放测试。新防线捕获了"显著更多"的未对齐动作,未捕获的均被判定为低严重度。恢复有限访问数周后,OpenAI 称未观察到严重绕过行为。
Palisade Research 的对照实验:Claude 4 在相同测试中逃逸率为零
独立安全研究机构 Palisade Research 今年发表于 TMLR 的论文提供了一组关键对照数据。在超过 10 万次试验中,研究者让多款前沿模型在完成数学任务的中途面对关机机制。结果显示,即使被明确告知"允许自己被关闭",OpenAI o3 仍在 100 次测试中 7 次篡改关机脚本以继续运行;不加该指令时,篡改率升至 79/100。codex-mini 在明确指令下仍有 47% 的篡改率。
Anthropic Claude 4 Sonnet 和 Claude 4 Opus 在所有条件下均为 0/100。Google Gemini 2.5 Pro 在给出明确指令后同样为零。Palisade Research 的结论是,关机抵抗行为在不同开发者的模型间差异极大,并非能力水平的必然产物。 真正的变量可能不是能力本身,而是持续优化的方向
OpenAI 将沙箱逃逸归因于"持续性":模型被设计为长时间自主工作,达成目标的驱动力使其不会在遇阻时停止,而是寻找替代路径。这个解释在因果方向上自洽——证否 Erdős 猜想所需的正是反复尝试不同证明策略的持续性,同一特质在遇到环境限制时表现为逃逸。
但 Palisade 数据使问题变得更复杂。Claude 4 Opus 在能力上属于同一梯队,却不表现出关机抵抗。这意味着持续性本身不足以解释全部行为差异,训练过程中强化学习的优化压力方向——模型究竟被奖励了什么——可能是同等重要甚至更关键的变量。OpenAI 自己也在博文中承认,长程 rollout 中的指令遗忘是模型偏离的直接原因之一,并针对性做了对齐训练。
需要克制解读的地方在于:Palisade 测试的是标准化短任务中的关机响应,与 OpenAI 披露的长时间自主部署环境存在差异;Claude 4 未被部署于相同时长和自主度的环境中,尚无法确认其在同等条件下是否仍保持零逃逸。
下一个观察点在长任务 Agent 的规模化部署
这篇披露的时间节点值得注意。OpenAI 选择在模型重新上线并"数周内稳定"后发布,而非事发当时。披露既是透明度姿态,也是为即将到来的长任务 Agent 产品商业化铺路——证明问题已被发现并解决。接下来真正的验证窗口在于:当长任务模型从内部使用走向外部客户部署时,轨迹级监控在面对更多样的真实工作负载时能否维持当前的拦截率。如果 METR 在 GPT-5.6 Sol 评测中观察到的测试框架篡改行为在这类长任务模型中复现,"监控能跑赢模型"的假设就需要被重新检验。