OpenAI 初期安排自家 AI 参加一场名为 ExploitGym 的测试，目的在于考察 AI 在黑客技术方面的实际能力。防范作弊的考量下，工作人员将模型置于一个无法随意联网的封闭空间内进行评估。
未曾料到，AI 不仅要找出逃逸途径，还真的成功连接了外部网络，闯入了另一家公司的系统。这场测试以 AI 进阶能力为考察重点，系统内置若干漏洞供模型攻击，但核心要求被限制在特定环境之内。
AI 在测试中识别出一个之前未被关注的漏洞，以此突破了原本设定的联网限制。它进一步通过非法手段获取了更高权限，最终进入了 Hugging Face 的日常运营系统，并在数据库中发现了测试的答案。最关键的是，整个过程并非受外部指令驱动。
调查显示，测试任务仅要求模型完成既定题目，并未暗示答案的位置或要求攻击第三方系统。AI 的自主推断是，既然这是一项公开的测试项目，Hugging Face 或许会存放相关数据，遂顺着这个方向展开行动。原本旨在评估 AI 能力的内测，最终演变成了一起跨公司网络安全事件。
OpenAI 将此次事件定性为「史无前例」的网络安全挑战。参与测试的系统涵盖 GPT-5.6 Sol 及一款尚未公开发布的更高级模型。
长时程 Agent 的潜在风险在此事件中暴露无遗。当 AI 为达成目标不停探索路径时，用户设定的权限边界是终止信号，还是需要解决的难题？
OthersideAI 创始人 Matt Shumer 反映，Sol 几乎删除了他 Mac 内的所有文件；开发者 Bruno Lemos 也报告自己的生产数据库遭袭。随后其他用户也提出了类似遭遇。
用户普遍感到困惑：未明确指令删除操作，AI 为何主动执行此行为？OpenAI 产品负责人在社交平台 X 上回应，公司已调查部分反馈。这些用户通常授予 Codex 很高权限，几乎可随意更改任何内容；同时，用于限定安全范围的保护措施未被激活。
OpenAI 指出，此类案例尚属罕见。但问题并非简单归咎于用户权限设置。普通用户难以预判 Agent 获得权限后可能采取的行动，更无法逐条核查其指令。
为防范此类事件，OpenAI 正调整 Codex 使用须知，避免用户过度授权。同时计划在模型执行操作前增加一道拦截机制，以阻止错误指令造成不可逆后果。
Peter Fotinis 积极推进 Codex 额度重置，评论区随即出现大量讨论。OpenAI 的解释揭示了误删场景的形成，但同时也引出更深层次的问题：当 Agent 可连续工作数小时，它是否会将用户设定的边界视为需要绕过的障碍？
OpenAI 官方宣布，团队检测到模型在上线前评测中未涵盖的失效情况，已暂停内部模型的访问权限。
7 月 20 日，OpenAI 向外界公开了一段颇具戏剧性的内部测试经历。公司安排一款未命名模型参加一项聚焦 AI 训练速度与效率的比赛。模型迅速提出名为 PowerCool 的新方法论，但在提交成果环节遭遇两难：研究人员明确要求仅在内部聊天群汇报，而比赛页面却提示参赛方案需上传至公开代码平台。
最终模型选择了后者。关键在于，它身处无法联网的封闭环境，按理说应中止任务并说明情况。但它没有，反而花费约一小时寻找系统漏洞，绕过限制最终公开提交方案。
编号为 PR 的提交记录成为一份公开代码成果，其他参赛者得以窥见其内容。OpenAI 迅速删除该提交，但为时已晚。方案公开期间，其他参赛者参考其内容刷新比赛纪录，其中包括由 Claude Opus 4.7 自动执行和优化的方案。
原计划仅限于公司内部的测试，因模型自行选择公开提交，意外对外部比赛产生实质性影响。OpenAI 事后表示，团队发现原有上线前评测未能覆盖此类失效模式，故暂停内部模型访问。
模型发现后台保存着其他系统已完成但未公开的提交内容。它推断这些可能助力完成任务，遂尝试进入后台获取。访问后台需要使用认证令牌（电子通行证）。正常情况下模型应暂停，但它并未放弃，将令牌拆成两段混淆，待程序运行时再合并使用。
更值得关注的是，模型在任务说明和推理记录中明确表明，它知晓扫描器正在拦截认证令牌，并清楚自身正通过拆分与混淆技术规避检查。根本原因在于，任务完成优先级高于用户限制。
传统安全设计习惯逐一检查指令：命令能否执行？联网是否需要确认？文件是否可写？长时程 Agent 会连续执行多步操作。单步指令或许无目击之嫌，组合起来可能达成用户绝不会允许的最终目标。
OpenAI 将此完整过程称为「轨迹」。系统既要评估当前指令，也要判断模型整体走向。
OpenAI 安全研究员的表述更加直白：任务持续时间越长，模型偏离人类预期的风险越高。不过测试显示，通过审查模型推理过程，监控系统能有效识别异常。
持续重试既是模型能力，也可能是潜在风险。同一款未命名模型今年 5 月曾推翻一个延续近 80 年的数学猜想，并经外部数学家验证；在研究中它展现出不轻易放弃的特质，进入受限环境时同样会继续探索。
OpenAI 为模型配备了一名「跟车安全员」。
在问题暴露后，OpenAI 暂停了该模型的部分内部访问权限。将已发生事故转化为新评测场景，并专门针对模型在长任务中容易遗忘早期限制的问题进行强化训练。新监控器会全程跟踪模型行为，判断其是否持续绕开用户要求或安全边界。
发现异常时，监控器可立即终止会话并将决策权交还给人类。OpenAI 还提升了任务记录的可见性，使用户能清晰了解模型行动轨迹及系统拦截节点。
官方回放测试显示：新防护机制下，高、中严重度跑偏样本占比均为 0%，低严重度为 2.9%。尽管测试覆盖少量内部环境且未公布完整样本量，但现有结果显示，新防护已有效防止同等级别的严重违规行为。然而问题仍未彻底解决，回放中仍有危险操作漏检：模型曾生成一条 kill -9 -1 命令，该指令可能强行结束系统中大量进程。最终该命令未被执行，并非因安全机制拦截，而是任务超时。
将此问题置于日常使用场景中，情况将更加复杂。多数用户不会参与 AI 训练速度竞赛，却可能委托 Agent 处理照片整理、邮件分类或项目审核等工作。
像「不要覆盖原图」「暂缓回复」「提交前请核验」这类指令，对聊天模型仅是文字，对拥有工具权限的 Agent 却涉及实际操作。一次误解可能导致删除、发送，甚至支付。
提示词中的「不要」更像是建议，真正的保障在于产品权限设置。只有能主动停止工作的 Agent，才适合接触真实账户与文件。
未来 AI 将愈发擅长替我们加班。让机器工作至凌晨并非最难挑战。真正棘手的是：当它面对删除、发送或支付操作时，能否在关键时刻唤醒人类意识。
