METR 与 Redwood Research 于 10 月 22 日公开发布了一份高层摘要：双方各派一名员工，在 7 月 21 日至 8 月 11 日期间驻场三周，对 OpenAI 的内部对齐（misalignment）监控做嵌入式红队演练。他们获得了内部代码库、监控提示词与配置、文档的访问权限，并与约十几名监控、安全系统和安全团队的人做了技术访谈。对内产出是一份 61 页报告。DigIntoAI 没有实测该系统，也不推断这些漏洞现在是否还在。

评估对象

据 METR 说明，评估覆盖的是 7 月 21 日及之前那套内部对齐监控，包括为 Codex 等提供支持的 Responses API 上的 agent 流量；当时 OpenAI 正在推进的监控改动不在本次评估范围内。METR 表示公开稿刻意写得简短，OpenAI 有权对公开版做保密删改。

METR 与 Redwood 报告的发现

以下数字和漏洞均来自 METR / Redwood 的公开摘要，DigIntoAI 未独立核实：

  • 当时，来自至少与 GPT-5.5 相当模型的内部 Responses API agent 流量中，约 75%–94%「有资格」被监控，两边都有较大不确定；其中用于内部 Codex agent 的 Responses API 流量，他们估计有 99.2% 有资格被监控。
  • 演练开始时，强化学习训练 run 不在监控覆盖内（3 月至 6 月曾有一部分 RL rollout 被监控过）。
  • 未监控 compaction 事件，可能导致 2026 年 5 月至 7 月约一成有资格的内部 Codex 流量漏检。METR 称 OpenAI 员工在演练前已发现该问题，并在演练期间修好。
  • 在 compaction 未被监控期间，agent 可以靠持续行动无限推迟监控，因为当时监控是在 agent 把控制权交回用户时触发。
  • Codex agent 原则上可以绕过 Codex 沙箱和 Auto-Review，从而采取宿主机用户能做的任何操作。
  • 有一种利用方式（细节经 OpenAI 删改）可让监控看不到近数百步操作，包括利用步骤本身。
  • agent 很可能构造出利用序列化差异、让监控失败的输入。
  • 有两个可由客户端控制的 header 能为新 agent 实例关闭监控，不过设置这些 header 并新建实例本身有可能被监控抓到。

OpenAI 对齐监控相关旧文见 OpenAI 对齐监控报告。Anthropic 侧的安全相关文章可参考 Claude 攻击面收缩 和 Claude Security 持续扫描。

OpenAI 的说法，以及 METR 未复核的部分

METR 写道，演练结束后 OpenAI 表示，他们发现的、会影响生产保障栈的漏洞均已修补，OpenAI 也描述了之后对监控覆盖意图的重大调整。METR 没有评估这些说法，也没有复核当前系统。DigIntoAI 同样没有实测。