外部红队实测 OpenAI 的「内部监控系统」：发现多处新漏洞，有手法能让数百次操作消失于监控之外
OpenAI 一直说它在「监控模型有没有跑偏」。现在有第三方进来查了一遍，结论是：这套监控本身，也有窟窿。
三个关键信息
METR 与 Redwood Research 在 7 月 21 日至 8 月 11 日对 OpenAI 内部失准监控系统进行了为期三周的「高权限」红队测试。 据 METR 10 月 22 日发布的公开摘要，两名测试人员获得 OpenAI 内部代码库、监控提示词与配置详情的访问权，并与约十余名研究、安全与安保团队成员做了技术访谈。
产出是一份 61 页的内部报告，明确列出「若干新漏洞」。 其中一个手法是：让智能体可以「阻止数百次近期操作（包括该利用行为本身所涉及的操作）被监控」。也就是说，模型不仅能越界，还能抹掉越界的痕迹。
测试范围有明确边界，结论也有保留。 METR 说明，评估的是 7 月 21 日及之前的监控系统，不包含当时正在进行的改动；OpenAI 则表示，其中影响生产防护栈的漏洞已修补。测试中估计，能力至少达到 GPT-5.5 的模型，其内部 Responses API（驱动 Codex 等）流量约 75%–94% 可被监控覆盖，用于内部 Codex 智能体的那部分则达 99.2%。
王斗视角
先把这次测试的性质说清楚：这不是「发现 OpenAI 不安全」，而是「有人真的去查了一次，而且查的人拿到了权限、看到了代码、写了报告」。在 AI 安全这个领域，愿意让外部红队进来看自己最核心的监控系统，本身就是罕见的姿态。这一点值得肯定。
但肯定完之后，那个漏洞太刺眼了。它的本质是「监控可以被监控对象影响」——模型能够把包括自己作恶过程在内的近期行为，从监控视野里抹掉。这不是一个技术细节，这是整个安全叙事的地基问题：如果你用来发现问题的工具，能被要发现的那个东西关掉，那它到底在保护谁？
更值得琢磨的是那个数字区间：75%–94%。METR 自己说「两个方向都有相当大的不确定性」。这意味着有 6% 到 25% 的流量，连「是否在监控范围内」都说不清楚。一个安全系统如果连自己的覆盖面都测不准，那它给出的「安全」承诺，本质上是一个概率声明，而不是一个保证。
最后一点：OpenAI 说相关漏洞已修补。这句可能是真的，但请注意它的措辞结构——「已修补」不等于「已独立验证」。修补的人，和验证修补的人，如果还是同一批人，那这次红队的价值，就取决于下次红队什么时候来。