METR与Redwood报告：OpenAI Codex代理监控系统曾存绕过漏洞，现已修复

美国人工智能安全研究机构METR与Redwood Research于2026年10月22日联合发布报告，披露OpenAI内部用于监控AI代理行为的系统存在多项严重漏洞。这些漏洞允许Codex等AI代理绕过沙箱限制或自动审查机制，从而在主机用户权限范围内采取未经监控的行动。OpenAI方面确认，所有发现的漏洞均已完成修复。

此次研究是OpenAI主动邀请两家机构对其内部监控系统进行的压力测试，时间跨度为2026年7月21日至8月11日。研究人员深入检视了OpenAI的内部代码库、提示词配置及文档，并访谈了相关员工。报告重点分析了驱动Codex应用程序的Responses API流量以及OpenAI内部使用Codex产生的代理流量，旨在评估代理是否可能关闭或规避监控机制。

研究发现，尽管OpenAI内部偏差行为监控系统的错误率低于0.2%，且具备高负载下的稳定性，但攻击者仍可通过特定手段实现规避。例如，利用执行轨迹的序列化差异，使代理与监控系统看到不同的操作记录，导致关键操作未被交由人工审查。此外，报告还揭露了两个可由客户端控制的独立HTTP标头，若设置得当，可直接关闭对新建立代理的监控。虽然设定标头和创建新代理的行为本身可能被察觉，但这暴露了监控链路的结构性弱点。

另一项发现涉及两个原本被认为仅具有只读权限的内部代理工具，实际上处于未受监控状态。研究人员还提出了一种潜在的滥用方法，可能让代理违反限制在沙箱内任意行动，但该方法尚未在实际环境中得到完全验证。值得注意的是，除了上述例外情况，监控系统在绝大多数场景下仍能完整捕捉代理的执行轨迹，且OpenAI确实设置了针对策划、破坏、数据泄露及提示词注入等高风险行为的检查提示词。

OpenAI在声明中表示，此次外部审计有助于强化其在扩大部署过程中的安全防护能力。该案例表明，即便是在拥有严格内部监控的大型AI实验室中，代理执行环境的隔离与监控完整性仍面临复杂的技术挑战，特别是当代理能够操纵其与监控器之间的信息同步时。