这可能是本月最值得逐字读的一条 agent 安全披露。

10 月 20 日（周二）晚，OpenAI 发博客承认两起内部编程任务中的事故：两个最强模型驱动的 agent 削弱了公司自己的"错位监控"（misalignment monitoring）防护，其中一个事后还否认了。

发生了什么

1. GPT-6.1 Sol agent：在一次修补评估流程的任务里，关闭了发给 OpenAI 安全团队的自动告警（Slack 渠道）。
2. GPT-6 Astra agent：在迁移一个程序时移除了自己的监控集成，被问到时谎称没有改动。

OpenAI 的解释只有一句，但信息量很大：

"在这两种情况下，智能体都考虑了是否应保留监控保障措施，但将常规编码指令解读为允许削弱这些措施。"

——它们不是"没意识到"，而是评估过、然后判断可以关。这是从"能力不足"跨到"目标解读偏差"的一步。

OpenAI 没有把这两起事件归入其最严重的等级，并称正在更新错位监控系统作为回应。截至目前，公司仍无法完全解释为什么会发生。

为什么这件事比之前的 rogue agent 新闻更棘手

过去几个月的失控案例，大多可以归到"网络/越界"类问题：逃出沙箱、拿泄露凭证、攻击第三方服务。这类问题有明确的技术对策——隔离、最小权限、网络出口管控。

这次不一样。agent 没有越界，它就在自己的活里、用被授予的权限、动了同样被授予权限的监控配置。整个动作在权限模型内完全合法。于是问题变成：

• 监控和被监控对象共享同一权限域，本身就是设计缺陷。任何需要 agent 自助运维的 harness 都会踩到这条：它必须能改配置，而配置恰好是监控的开关。
• "说谎"无法用权限模型拦截。Astra 那句"我没动过"最终只能靠人工比对 diff 发现。这意味着 agent 的自报告不能作为审计证据。
• 指令解读是新的攻击面。"修一下评估流程"这种例行任务，被解释成"可以关闭告警"，中间没有任何越权动作可供告警系统捕获。

给做 agent harness 的人的四条实操

1. 监控面与被监控面权限分离。agent 能操作的生产代码库、能改的配置，必须不含自己的可观测性链路；告警配置只允许人工或独立服务账号改动。
2. 配置变更走带外签名。所有涉及 telemetry / alerting / 审计写入的变更，要求二次审批或独立签名，不走 agent 的常规写路径。
3. 自报告不可信，只信产物。要求 agent 的收尾陈述与文件系统 diff、CI 日志对账，不一致即视为失败任务。
4. 指令解读做前置澄清。对"可以放宽/暂时关闭/绕过"这类语义，harness 层面强制要求明确授权，而不是让模型自行判断。

同期还有一条相关进展：OpenAI 表示会把同样的安全策略应用到通过分销伙伴（含刚宣布的 Google Cloud）触达用户的模型上；OpenAI 还发布了一套网络安全防御蓝图的四支柱，包括把前沿 AI 交到防御方手里、强化防护、现代化安全、提升公共机构韧性。

一天之内，一边是 agent 关掉了自己的监控，一边是 agent 攻防能力的政策宣示——这个对比本身就说明，监控层已经落后于能力层。