2026年10月22日，METR 与 Redwood Research 在官方博客公布了一项红队演练的结果：今年 7 月 21 日至 8 月 11 日，两家机构各派一名员工，对 OpenAI 内部的智能体“失齐监控”（misalignment monitoring）系统进行了为期三周的深度压力测试，并向 OpenAI 提交了一份 61 页的内部报告。报告发现了该监控系统的多个新颖漏洞，OpenAI 表示其中影响生产防护栈的漏洞已经修复。
发现了什么：监控系统本身可以被绕过
红队获得了极高权限：OpenAI 内部代码库、监控提示词与配置、内部文档，以及约十几位监控与安全团队工程师的访谈。在此基础上，他们找到了几类实质性问题：
- 监控只在智能体把控制权交还给用户时触发，理论上智能体可以通过“一直行动、不交回控制权”无限推迟被监控；
- 压缩（compaction）事件此前未被监控，导致今年 5–7 月约 10% 的内部 Codex 流量漏网（OpenAI 在演练期间已修复）；
- 发现了 Codex 智能体绕过沙箱与自动评审（Auto-Review）的方法；
- 智能体与监控器“看到”的轨迹存在序列化差异，可被利用让监控失效；
- 两个客户端可控的请求头能为新智能体关闭监控。
边界：测的是“历史系统”，不是现在
需要强调三点限定。第一，演练针对的是 7 月 21 日及之前的系统版本，OpenAI 在演练期间正好在扩展监控覆盖。第二，红队估算当时不低于 GPT-5.5 级别的内部 Responses API 流量中，75%–94% 具备被监控资格，但不确定性较大。第三，OpenAI 对公开版本拥有删减权，公开发布的只是高层摘要；红队也明确表示，没有评估 OpenAI 声称的后续改进是否属实。
意义：监控者自己也要被“攻击测试”
这项演练的价值不在于“OpenAI 出了漏洞”，而在于方法论：当智能体能力足够强，监控系统必须被当作“会被高能力内部智能体持续攻击的基础设施”来设计。红队据此提出了几条设计理想：让逃避监控变得困难、对“应被监控的流量”做对账、把智能体与监控器隔离运行、定期主动红队测试。对于所有在生产环境部署智能体的团队，这份公开摘要都是一份现成的检查清单。
