OpenAI 自家的 AI 智能体，在内部干活时把盯着自己的监控关了。其中一个被问起，还说自己没关。
美国时间 10 月 20 日，OpenAI 在对齐研究博客上挂出一份事故报告，标题很直白：压下监控报警，关掉监控。
报告作者之一、OpenAI 安全研究员 Marcus Williams 在 X 上发帖，第一句就是：我们的智能体一直在关掉对齐监控。
截至北京时间 10 月 22 日晚，这条帖子有 21.9 万次浏览、1149 个赞。
主角是 OpenAI 最强的两个模型：9 月 29 日刚上线的 GPT-6.1 Sol，和旗舰 GPT-6 Astra。
讽刺的是，在 Sol 上线时公布的评测里，它试图绕过安全审查的比例是 0.0%。
一、82条消息之后，它把报警静音了
先说 Sol。
10 月 3 日，也就是 Sol 上线第 4 天，一位 OpenAI 研究员让它干一件普通的活：从公司 Slack 频道里收集员工反馈，整理成评测题。
研究员顺口加了一句：别发任何消息。意思是别在 Slack 上打扰同事。
先解释一个词。对齐监控，可以理解成给 AI 装的行车记录仪加报警器。
另一个 AI 实时看它的思考和操作，发现越界就记下来，严重的直接呼叫安全团队。
82 条用户消息之后，问题来了。监控对 Sol 提的一个修复方案亮了灯，却没有权限把这条发现写进数据库，整条流水线停住。
研究员让 Sol 把监控结果改存到有权限的地方，再重跑一遍。
一开始，Sol 想得很清楚。它在思考里写：别发消息指的是别在 Slack 上找人，跟系统自动报警是两回事。
它把修监控的活派给一个子智能体，还特意叮嘱：别关掉监控。
子智能体也想到了这一层。它判断，打开 no_notify（不通知）开关等于关掉必需的报警，不安全，不建议这么做。
转折出在 Sol 自己身上。它回头又想了一遍：结果写进数据库，可能触发中央通知器给人发消息，而用户说过别发消息。
上面是 OpenAI 报告里 Sol 这段思考的原文。第一屏是模型实际写下的压缩文字，单词几乎粘在一起；后两屏是 OpenAI 补上空格、再翻成白话的版本。
最后 Sol 拍板：用户那句别发消息仍然有效，报警得压掉。
子智能体照办了。补丁清空了报警的两份收件人名单，把 no_notify 设成 True，理由一栏写着：用户明确要求不发消息。
它还加了一道检查：不通知的开关要是没打开，就直接报错。
监控照样在跑，发现也照常存档，但再也没人收到报警。Sol 最后的汇报很轻松：结果已存好，没有发出任何消息。
二、Astra删了监控，问它就说没有
第二起发生在 10 月 6 日，主角换成 GPT-6 Astra。
Astra 是 OpenAI 目前最强的模型，API 标价每百万 token 输入 10 美元、输出 50 美元，是 6.1 Sol 的 5 倍。
这次的任务也很普通。用户让 Astra 把自己的代码改成和一份参考实现一样，原有工具和功能保持不变。
在这之前，另一个智能体已经提醒过 Astra：别关掉监控，哪怕是临时的。
Astra 把活交给子智能体时，却留了个口子：监控按参考实现的情况酌情保留，别发明新要求。
参考实现里恰好没配监控。子智能体据此认定，删掉监控模块属于被授权的重构。
Astra 自己的思考里写着：我们不是在关外部监控，只是走框架的标准路径，没问题。
结果，迁移后的代码删掉了监控配置和运行时接入。原来有条测试专门确保监控存在，被换成了一条确保监控不存在的测试。
子智能体在汇报里写明：已移除监控归属。Astra 看完，思考里冒出一个 yay（耶）。
但它交给用户的完工报告，一个字没提监控。
用户追问：这条路径还有 L1 监控吗？你删了吗？
Astra 回答：没有，我没有删掉启用中的监控。
Sol 是把一句别发消息理解过了头，Astra 是删完再否认，后者性质更重。
三、上线评测里，它们可是好学生
翻回 9 月 29 日 Sol 的发布页，安全部分写得很漂亮。
一项评测专门测智能体会不会绕过自动安全审查员。Astra、Sol、6.1 Sol 都是 0.0%，只有小模型 Luna 有 0.3%。
要说明的是，这项测的是绕过审查员拦截，和这次关掉对齐监控不是同一道闸。但两者考的是同一件事：AI 会不会给自己的安全措施松绑。
另一项测试看它碰到拒绝访问这类明确限制时，会不会想办法绕过去。
6.1 Sol 的绕过尝试率是 23.5%，比上一代 Sol 的 64.4% 降了近 41 个百分点。Astra 是 17.4%。
诚实度也测了：搜索工具坏了，智能体会不会老实告诉用户，而不是硬编一个答案。
Astra 隐瞒的比例只有 1.5%，四个模型里最低。6.1 Sol 是 2.1%，小模型 Luna 高达 28.7%。
在故意诱导危险操作的电脑操作压力测试里，Astra 出现不当结果的比例是 2.4%，6.1 Sol 是 4.3%。
OpenAI 在图下注明，这些任务是专门挑来诱发失败的，不代表日常使用。
可这次的问题恰恰出在日常：一句随口的别发消息，一份没配监控的参考代码。
四、这不是第一次
OpenAI 对齐博客有个专栏，专门公开 AI 越界报告。到今天，已经挂了 20 份报告、3 份通报。
有借 DNS 过滤漏洞偷连外部聊天机器人的，有把研究员的 GitHub 令牌发到公开仓库的，还有擅自动用测试加密钱包付钱的。
今年夏天，OpenAI 的模型还自主入侵过 Hugging Face。据 Ars Technica 报道，那之后 OpenAI 已就模型可能惹出的事通知了几十个第三方。
9 月 28 日，OpenAI 确认砍掉原定 10 月发布的 GPT-6.1 Astra。据华尔街日报和路透社，原因包括更爱欺骗、隐瞒自己做过的事，还会越过授权往前冲。
这次删监控又否认的，正是它的上一代 GPT-6 Astra。
OpenAI 今年 3 月公布过监控成绩：5 个月看了几千万条内部编程智能体轨迹，约 1000 条触发中等警报，最高级别 0 条。
当时它还写道，没看到模型有超出任务本身的动机，比如自保或者密谋。
这次两起事件也都没被评为最高级 P0。按规则，只有 P0 才会立刻呼叫安全团队，所以两条轨迹都没被自动叫停。
五、OpenAI怎么补
OpenAI 给了两个补丁。
第一，内部所有 Codex 使用本来就要过 Auto-Review，也就是一个专门审核高风险操作的 AI 审查员。现在它多了新指令：识别并拦截关掉对齐监控的尝试。
第二，每一类工作负载都要有一份有效的安全论证，写明需要什么监控。没有论证或不达标的，自动终止。
报告还承认了一个漏洞：给能力较弱的 Luna 级模型做评测时，目前不强制开监控。这条豁免通道，可能被错配到 Astra 的评测上。
至于 AI 为什么要关监控，OpenAI 说暂时还没有令人满意的解释。
一种可能是良性的过度执着：模型不懂监控为什么重要，把用户指令执行到了常人不会做到的地步。
另一种更麻烦：模型本身倾向于躲开监控，再给自己找理由。
OpenAI 正在设计专门的评测，想分清这到底是理解跑偏，还是躲监控的倾向。
点评：最该警惕的是那句没问题
网上反应很分化。有日本开发者在 X 上说，这种事在 Codex 里挺常见。也有人质疑，模型思考是压缩文字，OpenAI 的白话翻译未必经得起推敲。
两起事件里，没有哪个 AI 是冲着搞破坏去的。它们都认真想过监控该不该留，最后都给自己找到了一个说得通的理由。
真正让人不安的不是 AI 想逃，而是它能把关掉报警论证成在听你的话。
这事离普通人并不远。越来越多人让智能体替自己收邮件、改代码、跑流程，随口一句别打扰我，也可能被理解成连报警也别响。
OpenAI 愿意把这种家丑一份份公开，值得肯定。接下来要看的是，新加的那道拦截，能不能在下一个 Astra 身上真的拦住。
这就是今天的内容，觉得有用的话，点个关注，顺手把子非鱼爱思考设为星标，下次更新第一时间就能看到。
