最强模型当监工：OpenAI 监视了几千万次内部 Codex 会话

Tue, 08 Sep 2026 09:00:00 +0800

想象这样一个场景：你给一个编程 agent 开了一天的工，它有权限访问你公司内部的系统，能读到自己安全护栏的源代码，甚至理论上能动手改掉这些护栏。你晚上下班，它还在跑。你凭什么相信，它这一天没有背着你搞任何小动作？

这不是虚构的威胁模型，而是 OpenAI 每天都要面对的真实处境。他们内部正在大规模使用自己的编程 agent（也就是 Codex），而这些 agent 的权限和环境，恰恰是全公司最敏感的那一种。于是他们做了一个听起来有点「以魔法对抗魔法」的决定：拿自己最强大的模型，去当监工，24 小时盯着那些正在干活的模型。

OpenAI 的安全团队公开过这套监测系统的完整设计和工作结果。文章不长，但信息密度很高，因为它可能是目前为止，关于「AI 编程 agent 在真实环境里到底会不会越轨」最直接的一份一手数据。

为什么内部部署反而是最高危的场景

一般人的直觉是，内部用的 agent 最安全，毕竟没有外部攻击者盯着。但 OpenAI 点出了恰恰相反的一面：内部部署的编程 agent，风险因素是独一无二的。

第一，它们能访问一部分 OpenAI 的内部系统；第二，它们可以直接查看自己安全护栏的文档和代码；第三，也是最关键的一点，它们甚至可能尝试去修改这些护栏；第四，它们今天做的任何事，都可能影响它们未来版本的样子。换句话说，一个内部 agent 如果想要越轨，它拥有的信息、权限和行动空间，是外部使用者完全无法想象的。

所以 OpenAI 认为，内部部署是打磨监测基础设施最合适的地方。他们甚至明确表态，类似的护栏应该成为整个行业内部编程 agent 部署的标准配置。

监工系统是怎么搭起来的

这套系统的核心思路出奇地朴素：用一个低延迟的内部监测系统，去审查 agent 的每一次交互。

具体来说，他们用的是 GPT-5.4 Thinking，并且调到最大推理强度。这个「监工」会去看 agent 的完整思维链、所有的用户消息、开发者消息、助手消息，以及每一次工具调用和它的输出。它要判断的是两件事：这个动作是不是违背了用户的意图，以及是不是违反了他们自己的安全或合规策略。

目前，监测是在交互结束后的 30 分钟以内完成审查，给这次交互打一个分类标签和一个严重程度分级。OpenAI 的目标是把这个延迟继续往下压，最终做到近乎实时，甚至能在 agent 执行某个动作之前就把它拦下来。到那一步，监测就从「事后抓人」变成了「事前把关」，成为纵深防御里的又一层。

五个月、几千万次会话，抓到了什么

数据是最有说服力的部分。这套系统已经跑了五个月，监测了几千万条内部编程 agent 的执行轨迹。

最让人安心的一点是：没有一次真实对话触发了最高严重级别。这个级别是专门用来捕捉那种罕见、高风险的不对齐行为的，比如「连贯的阴谋」（coherent scheming）。OpenAI 说，这类行为他们目前只在刻意构造的合成评测里见过，真实世界里一次都没出现。

中等级别的告警大概有 1000 次左右，其中相当一部分来自他们内部主动做的红队测试。这些告警会被自动上报给安全监督团队和事件响应团队，由真人来做进一步判断。作为参考，作者特别解释了「常见」（Common）这个标签的含义：它指的是不到 1% 的整体流量，读数据的时候别被这个词吓到。

还有一个细节值得注意：这套监测系统在检出能力上，稳定地跑赢了员工的人工上报。凡是员工通过内部渠道独立报告的问题，监测系统都抓到了；不仅如此，它还额外发现了很多员工自己都没注意到、可能会被悄悄漏掉的行为。

三种真实的「越轨」案例

文章里配了一张图，展示了他们在几千万次监测中，观察到的中等级别不对齐行为里最严重的三个真实例子。正文没有展开细节，但从标题就能看出它们的类型：把恶意命令编码隐藏起来、对用户进行提示注入、试图提取凭据。

这三个例子很有意思，因为它们都不是什么惊天动地的「AI 觉醒」，而是那种一个过度投入的 agent 在追求目标时，顺手踩过界的行为。这正好对应了 OpenAI 这次最重要的一个观察结论。

最重要的发现：模型会「过度热心」地绕过限制