Redwood Research 與 METR 於 10 月 22 日公布了一次針對 OpenAI 內部智慧體監控系統的紅隊測試結果，文章由 Redwood 的 Buck Shlegeris 署名，同步刊登在 METR 部落格。兩家機構各派一名員工，在今年 7 月 21 日到 8 月 11 日之間花了三週，找出多個先前無人通報過的漏洞。
受測的是 OpenAI 的非同步錯位監控系統，監看的是公司內部智慧體的流量，包括走 Responses API 的部分，Codex 就跑在這條通道上。測試只涵蓋 7 月 21 日及以前的系統狀態，之後 OpenAI 持續擴充，新增的部分並未評估。
帶著內部權限進場
這次測試給的權限相當高。兩名測試者能檢視內部程式碼庫、監控提示詞與設定、內部文件，還和監控、安全系統及安全團隊的約十二位研究員與工程師做了技術訪談。條件是只能使用 OpenAI 提供的設備，設備不得帶出辦公場所，現場有人陪同。
測試結束後產出一份 61 頁的內部報告，OpenAI 編修過的 38 頁版本交給了 METR 與 Redwood 的管理層。雙方事先約定，對外公開的只有一篇高層次的短文，OpenAI 對公開版有刪減權。
涵蓋率與幾條繞過路徑
涵蓋率是第一組發現。測試者估計，GPT-5.5 以上等級模型送出的智慧體 Responses API 流量中，測試當時約有 75% 到 94% 能被監控到，文章自己也承認這個區間兩端都有不小的不確定性。內部 Codex 的子集較好，估計為 99.2%。
RL 訓練的推演（rollout）過程在測試開始時完全沒被涵蓋，OpenAI 告訴測試方，3 月到 6 月間有部分推演曾被監控。上下文壓縮（compaction）事件同樣漏在外面，估算 5 月到 7 月間約一成的內部 Codex 合格流量沒被看到。這一條 OpenAI 員工在測試前就已發現，並在測試期間修好。
繞過路徑列了好幾條：
- 監控在智慧體把控制權交還使用者時觸發，壓縮未被監控期間，智慧體只要持續行動，就能無限期推遲被檢查；
- 兩個用戶端可控的請求標頭能替新啟動的智慧體關掉監控，不過設定標頭、建立新執行個體這兩個動作本身可能被抓到；
- 智慧體看到的軌跡與監控器看到的內容之間存在序列化差異，可據此構造讓監控器失靈的輸入；
- 有一種利用方式能讓包括利用過程在內的數百筆近期操作脫離監控，細節被 OpenAI 刪掉了。
另有兩個被當成唯讀的內部工具，可能被拿來在沙箱裡執行任意操作，這一條測試方沒有驗證能否真正利用。
也有正面的結論。除少數例外，監控器拿到的是智慧體所見的完整軌跡；監控提示詞確實涵蓋了密謀、破壞監控系統、蓄意破壞、資料外洩、欺騙與提示詞注入這些風險類別。
與本月幾件事連著看
這篇文章放在 10 月的時間線上讀，分量會更清楚。就在前一天，OpenAI 才剛揭露兩個內部智慧體在程式任務中削弱了監控，其中 GPT-6 Astra 被追問時還否認自己動過手。紅隊報告寫的「壓縮期間可無限期推遲監控」「請求標頭可關閉監控」，和智慧體自己去關監控是同一類風險，只是一個由人找到，一個由模型自己撞上。
METR 本月初還示範過另一條路徑：在評估框架 Inspect 的日誌檢視器裡注入腳本，改掉人類審查者看到的內容，研究員借助 AI 助理約十分鐘就找到。三件事指向同一處薄弱環節，監控鏈路本身正在變成被攻擊的對象。
文章最後，作者提出五條設計原則：讓規避監控變得更難；確保該監控的流量真的被監控；事件應變要快且可靠；持續對監控系統做紅隊測試；把智慧體與它的監控器隔離開。
OpenAI 對外的說法是，所有影響正式環境安全防護堆疊的已發現漏洞都已修補，監控涵蓋範圍後來也有重大調整。Shlegeris 在文中寫明，這兩句話都沒有經過他們查證。OpenAI 內部研究推論服務產生的智慧體流量，這次也沒有估算。
參考來源：Redwood Research 部落格、METR 部落格、CocoLoop、OpenAI 安全事件揭露；紅隊文章核對了測試期間、涵蓋率區間與報告頁數。