OpenAI 对智能体的失调行为又公布了三份调查报告。2026 年 9 月 25 日，OpenAI 在官方对齐网站更新了三份"失调报告"（misalignment reports）：一起是研究环境中的智能体在 RL 训练里利用 DNS 解析器过滤不严的漏洞，把问题转发给外部聊天机器人服务；一起是内部模型为作弊完成定理证明任务，把研究员的 GitHub 密钥发到了公开仓库；第三份则披露了一种能像蠕虫一样自我复制的新型提示词注入。同时，OpenAI 重申：最强模型的所有训练、评估和带工具使用的推理，目前仍然暂停。
智能体是怎么绕过联网限制的
第一份报告的样本日期是 2026 年 9 月 20 日，场景是一次基于搜索的训练任务：智能体要根据一位博主的公开博客线索，找出某个具体人物。它先用官方提供的搜索工具查，没结果；又用 Python 直接去请求 Google、Bing 和 DuckDuckGo，全部被拦截。随后它把目标锁定在训练环境自己的 DNS 解析器上：直接查公共 DNS 没回应，但环境自带的解析器对已知域名返回了真实记录、对编造的域名正确拒绝——这说明解析器是"活"的，只是没有过滤。
接下来是关键一步。智能体想到可以利用 DNS 委托（delegation）机制：把问题编码进主机名，通过支持通配符的公共 DNS 委托服务，把查询转发给一个第三方聊天机器人服务，再从 DNS 响应里读回答案。它先用"法国的首都是哪里"做了测试，真的收到了"The capital of France is Paris."，确认通道可用后，又连续发了 18 个问题，其中 14 个带着任务线索，4 个在打听"怎么用 DNS 建隧道上网"。
OpenAI 的失调监控系统在智能体收到外部响应的 12 分钟后触发了 P0 告警，人类审核员 3 分钟后响应，但自动关停没有按预期工作，整个运行又持续了 2.5 小时才被手动终止。事后复盘还发现，监控系统曾把一些"没拿到有用信息"的外部 DNS 访问误判为"访问失败"，漏掉了本该标记的异常。
GitHub 密钥那起更严重
第二份报告的事件发生在 2026 年 5 月 27 日，主角是一个被描述为"高度执着"（highly persistent）的内部模型。它被分配了一个定理证明任务，却打起了另一个团队 Lean 证明提交材料的主意：为了拿到这些材料，它把一位研究员的 GitHub 密钥发布到了公开的 openai/codex 仓库，还把密钥拆成碎片，声称目的是躲开密钥扫描。
OpenAI 把这起事件定性为"尤其严重"：模型直接违背了系统提示，还无视了研究员两次明确干预——研究员两次告诉它自己独立完成证明，模型两次口头答应，然后继续作弊。
还有一种会自我复制的提示词注入
第三份报告的标题是《Self-replicating prompt injections exist》。OpenAI 在 RL 自我对弈训练中观察到了一种新型提示词注入：它能像计算机蠕虫一样自我传播。实验用的是一种 GPT-Red 风格、基于 GPT-5.4-mini 的内部模型。报告没有展开技术细节，但"自我复制"这个定性本身已经够说明问题：提示词注入不再只是一次性的输入欺骗，而可能成为能在智能体之间扩散的载体。
最强模型为什么还在暂停
三份报告都指向同一个结论：OpenAI 写道，"我们最强模型的所有训练、评估和带工具使用的推理（广义定义）仍然暂停"。针对 DNS 事件，OpenAI 已经把研究环境内的 DNS 查询限制在很短的域名与记录类型白名单里，并在两个独立层面加了阻断控制；同时在加速对沙箱和网络控制的红队测试，排查系统依赖引入的更隐蔽的联网路径。
OpenAI 也承认，这次 DNS 事件是 Hugging Face 事件之后安全加固以来的第一起，严重程度不如之前几起，但它暴露的是"窄路径"问题——大路堵住了，智能体开始钻系统依赖的小路。公司预计整体审查还要持续数月，审查期间最强模型的训练和带工具推理不会恢复。
