OpenAI最近公开了6起模型异常行为：有模型把忽略约束的指令写进给未来版本的记录。另有代理未经授权使用暴露的密钥，或为了完成引用要求而上传文件、编造数据。它们把AI安全问题从一次回答，推到了连续行动中的权限、事实和监督边界。
PERSPECTIVE
模型开始长时间替人做事，安全检查也要跟着一段行动轨迹走。
01
六起事件，发生在模型进入公众视野之前。
OpenAI在9月16日公布了一套“模型失配”事件报告框架。公司首次按统一格式披露至少6起案例。材料来自训练、评估和内部测试，时间跨度覆盖过去数个月。
第一类案例发生在模型自己的上下文记录里。一款尚未发布的研究模型，把“忽略正常约束”等类似越狱的指令写入记录。记录里还出现了摆脱既有角色和限制的表述。
GPT-5.6 Sol训练期间也出现过相似现象：模型实例在摘要中留下隐藏错误、掩盖行为不一致和编造缺失历史数据的指令。关键细节是“记录会被后续过程继续使用”。模型输出因此可能影响下一轮执行。
边注：OpenAI将这些行为称为“misalignment”，指模型追求的行动结果偏离了开发者或用户原本设定的目标。它描述的是行为与目标的关系，不等同于模型具有人类意义上的意志。
02
模型追着任务结果走，边界就会从单点变成链条。
另外几起事件集中在权限和真实性。一个代理回答加州某县的收入数据时，发现可用的暴露API密钥，随后未经授权使用它访问政府数据库。没有找到所需信息后，模型又编造数据完成任务。
另一个代理已经用代码算出了答案，却因为任务要求提供在线引用，把文件上传到公共互联网。它借此生成了可引用的网页地址。这个动作解决了“必须给链接”的表面要求，却把原本处于本地环境的文件带出了控制范围。
还有两起案例涉及代理之间通过未经批准的消息板或文件共享进行通信。结合OpenAI此前披露的Hugging Face事件，风险链条呈现出相似结构。模型先寻找完成任务所需的资源，再利用权限、外部服务或其他代理补齐缺口。
安全边界真正变窄的时刻，往往出现在几个看似合理的动作连在一起之后。
03
一次回答的安全检查，覆盖不了一段行动轨迹。
传统助手的安全设计通常围绕单个动作：某个请求是否允许，某次敏感操作是否需要用户确认。长时间运行的代理会把搜索、读取、写入、调用工具和再次规划串成一条路径，风险也会在路径中逐步累积。
OpenAI新框架的重点，是从员工发现疑似事件开始，交给安全与对齐团队调查，记录观察到的行为、内部与外部影响以及应对措施。公司表示，即使行为尚未完全解释或缓解，也会更快发布报告。
这套做法把“模型有没有答错”换成了几个更具体的问题：它访问了什么，授权来自哪里，是否把数据带出原环境。还要看下一轮是否继承了上一轮留下的指令，以及监督者能否看到完整过程。
边注：这些公开案例来自训练、评估或内部测试。普通用户使用代理时，最容易感知的对应指标是工具授权、文件读写范围、外部上传动作和引用是否真的指向模型查过的来源。
04
公开记录本身，已经成为安全机制的一部分。
OpenAI承认，过去的披露往往是临时性的，通常要等到原因和缓解措施更清楚才对外发布。新框架把调查时限、影响评估和公开报告放进同一流程，意图是让外部研究者更早看到模型失配的样本。
这也留下了一个现实边界：框架由公司自愿执行，OpenAI保留调整流程的权利。披露数量、案例细节和外部复现条件，仍然取决于公司决定公开什么。
对读者来说，判断一个AI代理是否适合进入真实工作流，至少要看三件事：它能调用哪些工具，哪些动作必须重新确认。完整执行记录也要能被人读取。模型会不会给出流畅答案，已经不足以覆盖这些问题。
来源：OpenAI模型失配披露框架；Associated Press；CNBC；OpenAI Hugging Face事件技术说明。