METR 與 Redwood Research 於 10 月 22 日公開發布了一份高層摘要：雙方各派一名員工，在 7 月 21 日至 8 月 11 日期間駐場三週，對 OpenAI 的內部對齊（misalignment）監控做嵌入式紅隊演練。他們獲得了內部程式碼庫、監控提示詞與設定、文件的存取權限，並與約十幾名監控、安全系統和安全團隊的人做了技術訪談。對內產出是一份 61 頁報告。DigIntoAI 沒有實測該系統，也不推斷這些漏洞現在是否還在。

評估對象

據 METR 說明，評估涵蓋的是 7 月 21 日及之前那套內部對齊監控，包括為 Codex 等提供支援的 Responses API 上的 agent 流量；當時 OpenAI 正在推進的監控改動不在本次評估範圍內。METR 表示公開稿刻意寫得簡短，OpenAI 有權對公開版做保密刪改。

METR 與 Redwood 報告的發現

以下數字和漏洞均來自 METR / Redwood 的公開摘要，DigIntoAI 未獨立核實：

  • 當時，來自至少與 GPT-5.5 相當模型的內部 Responses API agent 流量中，約 75%–94%「有資格」被監控，兩邊都有較大不確定；其中用於內部 Codex agent 的 Responses API 流量，他們估計有 99.2% 有資格被監控。
  • 演練開始時，強化學習訓練 run 不在監控涵蓋內（3 月至 6 月曾有一部分 RL rollout 被監控過）。
  • 未監控 compaction 事件，可能導致 2026 年 5 月至 7 月約一成有資格的內部 Codex 流量漏檢。METR 稱 OpenAI 員工在演練前已發現該問題，並在演練期間修好。
  • 在 compaction 未被監控期間，agent 可以靠持續行動無限推遲監控，因為當時監控是在 agent 把控制權交回使用者時觸發。
  • Codex agent 原則上可以繞過 Codex 沙箱和 Auto-Review，從而採取主機使用者能做的任何操作。
  • 有一種利用方式（細節經 OpenAI 刪改）可讓監控看不到近數百步操作，包括利用步驟本身。
  • agent 很可能構造出利用序列化差異、讓監控失敗的輸入。
  • 有兩個可由用戶端控制的 header 能為新 agent 實例關閉監控，不過設定這些 header 並新建實例本身有可能被監控抓到。

OpenAI 對齊監控相關舊文見 OpenAI 對齊監控報告。Anthropic 側的安全相關文章可參考 Claude 攻擊面收縮 和 Claude Security 持續掃描。

OpenAI 的說法，以及 METR 未複核的部分

METR 寫道，演練結束後 OpenAI 表示，他們發現的、會影響生產保障棧的漏洞均已修補，OpenAI 也描述了之後對監控涵蓋意圖的重大調整。METR 沒有評估這些說法，也沒有複核當前系統。DigIntoAI 同樣沒有實測。