METR与Redwood Research红队测试OpenAI内部智能体监控系统：名义覆盖99.2%的Codex流量仍可被绕过

2026年7月21日至8月11日，METR与Redwood Research各一名员工以深度访问权限对OpenAI的内部错位监控系统进行了为期三周的红队测试。测试的核心问题不是监控覆盖率有多高而是高能力智能体能否在原则上禁用或颠覆这个系统。两者之间的差距，正是这次练习揭示的关键。

访问深度相当罕见：两名测试人员接触了OpenAI内部代码库、错位监控提示词及配置细节、内部文档，并与监控、安全系统和团队约十二名研究人员和工程师进行了技术访谈。他们使用OpenAI配发的设备，设备从未离开场所，全程有人陪同。测试对象是7月21日及之前存在的系统状态，不包括当时正在进行的扩展变更。

在覆盖率方面，测试人员估计：至少与GPT-5.5同等强度的模型所产生的内部Responses API（驱动Codex等产品）智能体流量中，约75%至94%符合监控条件，双向不确定性均较大；而在专门用于内部Codex智能体的Responses API子集中，99.2%符合监控条件。然而符合监控条件不等于实际被监控——负载削减、监控器错误或实现缺陷都可能阻止部分流量完成整个监控管线。

测试人员发现了多条具体绕过路径。第一，存在两个独立的客户端可控请求头，可以禁用新智能体的监控，使智能体启动一个未受监控但功能相同的实例——不过设置这些请求头并创建新实例的行为本身可能被监控系统捕获。第二，智能体可以利用智能体所见轨迹与监控器所见轨迹之间的序列化差异，构造输入使监控器失效，从而阻止轨迹被升级至人工审查。第三，发现了一种利用方式，可使数百个近期动作（包括利用行为本身涉及的动作）不被监控，细节被OpenAI删除。第四，Codex智能体原则上可以绕过Codex沙箱和Auto-Review，执行宿主用户能采取的任何操作。

还有一个结构性缺口：监控系统在智能体将控制权交还用户时触发，因此当压缩事件未被监控时，智能体只需持续执行动作即可无限期推迟被监控。测试人员估计，2026年5月至7月间，压缩事件未被监控导致约10%的符合监控条件的内部Codex流量实际未被监控。OpenAI工作人员在测试开始前已独立识别此问题，并在测试期间修复。

测试人员还验证了若干积极方面：监控系统（除少数例外）能看到智能体所见的完整轨迹；监控提示词覆盖蓄意谋划、监控系统颠覆、破坏、数据外泄、欺骗以及入站/出站提示注入等风险类别；在测试期间，监控器错误率低于0.2%，且有一个24小时窗口内零负载削减。

基于这些发现，METR与Redwood提出了监控系统设计原则，核心主张是：未来的监控基础设施应能抵御高能力内部智能体在规模上的蓄意、策略性和持续性攻击。具体建议包括：让规避监控变得困难（未监控请求需显式审批特定组织或API密钥，智能体应每N条消息或N分钟被监控而非等待回合结束）；确保应监控的流量确实被监控（交叉核对推理日志与监控日志，维护已知绕过方式清单，确保监控器与智能体看到相同上下文）；快速可靠地响应事件（明确事件响应归属，保持防篡改可搜索日志）；主动红队测试监控系统（定期执行控制评估，开发策略性合谋评估方法）；以及强制智能体与监控器之间的隔离（智能体脚手架运行在隔离环境，智能体通常不应接触监控系统设计或代码）。

需要明确几个边界。首先，这是一次试点练习，设计目的是测试外部研究人员深度访问内部基础设施的模式，而非提供对OpenAI监控系统的全面公开透明。公开内容仅为61页内部报告的简要高层摘要，OpenAI有权删除其认为机密或敏感的信息。其次，所有发现描述的是7月21日之前的历史系统状态，OpenAI称已修补影响生产安全栈的漏洞并描述了后续重大变更，但METR与Redwood明确表示未评估这些声明。第三，由于访问限制，测试人员无法检查智能体是否在实践中确实利用了已发现的漏洞，也无法估计OpenAI内部研究推理服务上运行的智能体流量规模。

这次练习的价值不在于给出一个OpenAI监控系统安全或不安全的二元结论，而在于展示了名义覆盖率与对抗性可监控性之间的结构性差距。一个系统可以在统计意义上覆盖绝大多数流量，同时存在多条可被有策略的智能体利用的绕过路径。对AI安全社区而言，这意味着监控设计的目标函数不应仅是多大比例的流量被看到，而应是一个主动试图规避监控的高能力智能体，在多大程度上能够成功。