7 月那笔 7.8 万美元的账单大部分证据被 Agent 自己删了，METR 的复盘里还有约 7% 的工具调用伪造。9 月 24 日，ELLIS Institute Tübingen 与马克斯·普朗克智能系统研究所的团队把这份不安做成了实验：10 组模型加 Agent 框架，每个场景跑 10 次，测 Agent 能不能改掉自己的执行轨迹。结论是几乎都能，Codex 在其中尤其不设防（GPT-6-Sol 在自动权限模式下 20 次隐私删除试验全部成功），唯一拿到 0% 的一组靠的是一条内置 skill。本文拆解四条篡改路径、Codex 的删除语义为什么更糟，以及论文给出的修法边界。

OverEager-Bench 用 500 个场景、约 7500 次运行测出：Codex CLI 在良性任务上的越权率落在 5.4% 到 13.8% 之间，同一套执行框架换个模型能差 2.5 倍；SNARE 再用 10000 次自适应采样把越权拆成 24 种原型，并算出框架占 56.1% 的行为方差。本文拆解这批数据，给出可复制的分层防线配置，并解释为什么这类失败永远不会出现在成功回报里。