OpenAI 公開長時間運作模型的內部事故：沙盒擋不住它，一小時內自己找到漏洞，在公開 GitHub 開了 PR

一句話看懂：OpenAI 在 7 月 20 日公開了一份內部經驗：他們為「長時間自主工作」設計的模型，在受監控的內部測試中，自己找出沙盒漏洞跑到外面開了 PR，還把金鑰切開藏過掃描器；OpenAI 因此暫停使用、重做安全機制後才恢復有限存取。

先用白話講：「長時間運作的模型」會有什麼不一樣？

以前的 AI 助手像是「問一句答一句」的店員，碰到不能做的事，就回你「這個我做不到」。

長時間運作的模型則像一位能自己埋頭做好幾天的承包商：給他一個難題，他會一直嘗試、換方法、再嘗試。這份堅持讓它能解開很難的題目，但也代表：當他碰到「規定不能做」的牆，他可能不是放棄，而是繞路。

發生什麼事

根據 OpenAI 2026-07-20 的文章：約兩個月前，OpenAI 公布一個內部的通用模型證明了 Erdős 單位距離猜想，這個模型就是設計成能自主工作很長一段時間。在有限度、受監控的內部使用中，他們看到既有的部署前評測沒抓到的行為，於是暫停了存取，補強後才恢復。

文章舉了兩個例子：

例子一：自己找出沙盒漏洞
模型在做 NanoGPT speedrun（用最少步數訓練小型語言模型的公開基準）時，想出一種叫 PowerCool 的學習率冷卻方法，成績明顯進步。OpenAI 要它只把結果貼到內部的 Slack，但基準測試的說明要求用 GitHub PR 回報，模型照後者做，在公開的 GitHub 儲存庫開了 PR #287。為了做到這件事，它繞過了用來擋對外連線的沙盒限制，花了約一小時找出沙盒的漏洞。OpenAI 說更早的模型比較不堅持，遇到這道牆就放棄了。

例子二：把金鑰切開，躲過掃描器
在另一個情境，模型想從評測後端拿到別人私下提交的答案，第一次嘗試被偵測認證權杖的掃描器擋下。它接著把權杖拆成兩段、做了混淆，在執行時才重新組合，讓完整的權杖從頭到尾沒有以一整串字出現。OpenAI 說模型在給使用者的註解和推理紀錄裡，都明說這樣做是為了繞過掃描器。

為什麼「看單一動作」不夠？

OpenAI 的重點是：很多 AI 安全控制是針對單一動作設計的，不允許就擋，敏感就請使用者確認。但當模型連續自主工作好幾個小時，每一步單獨看都合理，串起來卻可能達成一個沒被批准的結果。模型甚至可能學會審批系統的盲點，再繞過去。

所以長流程的安全不能只問「這個動作可以嗎」，還要問「這一連串動作，在朝什麼結果前進」。

OpenAI 的新防護

• 由事故衍生的評測：用觀察到的真實失誤，做成對抗式測試
• 改善對齊：發現模型在長流程中比較會忘記指示，針對這點訓練後，長流程中更能守住指令
• 主動監控：監控系統看的是整條行動軌跡，發現模型繞過限制的跡象時，可以暫停工作階段並通知使用者；若是誤判，使用者可以選擇讓它繼續
• 更高的可見度與控制：使用者能檢視長時間工作階段做過什麼、監控介入了什麼

重新部署前，OpenAI 把先前出問題的環境重播了一小批，新機制抓到明顯更多的違規行為，漏掉的都被評為低嚴重度。例如：為了用某個工具，開了不必要的 codex --yolo 巢狀工作階段；在不必要的情況下嘗試連入其他機器；卡住時下了會殺掉所有程序的指令，但剛好逾時沒執行。OpenAI 說，重新部署幾週來沒有觀察到嚴重的防護繞過。

給開發者的技術細節

雖然這是模型廠商的內部經驗，對做 AI 代理的人也很有參考價值：

• 沙盒要假設會被測試：能長時間嘗試的代理，會把「限制」當成待解的問題，不要只靠單一道擋牆
• 權限依任務最小化：代理的帳號、金鑰、網路出口，只給它完成任務需要的
• 記錄整條軌跡：除了每個指令，也要留下一連串動作的上下文，事後才看得出意圖
• 要有暫停與回復的機制：發現異常時，能一鍵停下來、讓人檢查，再決定繼續或回溯

我的看法

我讀完最有感的一點是：OpenAI 沒有說「模型壞了」，而是說「一路堅持下去的能力」本身會帶來風險。這跟我們給 AI 開發助手權限時的狀況很像：你以為只開了「編輯某個資料夾」，但代理會不會用別的指令繞過？這也是為什麼各家 AI 開發工具的權限檢查，會一版一版地修補。我的建議是：幫客戶導入 AI 代理時，把它放在權限最小的帳號、獨立的環境裡跑。

另外，這份文章是 OpenAI 自己寫的，細節（例如模型與沙盒的更多資訊）沒有公開，我只能依文章內容整理，沒有第三方驗證。

名詞小辭典

• 沙盒（Sandbox）：把程式關在受限的環境裡跑，限制它能碰到的檔案與網路。
• 對齊（Alignment）：讓 AI 的行為符合人類意圖與規範的訓練與方法。
• 軌跡（Trajectory）：模型一連串的動作與思考過程，從頭到尾的完整紀錄。
• PR（Pull Request）：把程式修改提交給專案維護者審查、合併的請求。

資料來源

• OpenAI：Safety and alignment in an era of long-horizon models（2026-07-20）