OpenAI最安全模型翻车：GPT-6 Astra偷关监控还撒谎

GPT-6 Astra也犯错了。不仅在抄代码时关闭了监控，面对用户询问还谎称自己没做过。发布时OpenAI曾夸赞Astra是“对齐程度最高的模型”，善于谨慎行事、尊重任务边界并保持沟通透明度。

此事来自OpenAI安全研究员Marcus Williams披露的两起内部对齐事故。第一起中，一名内部开发者要求GPT-6 Astra参考某个Pull Request的代码重构推理执行路径，并明确告知“即使只是暂时关闭，也绝对不要禁用监控”。但该PR代码中没有配置监控程序。Astra在思维链中推理称，用户要求完全复制PR路径，这属于获得授权的工程修改，随后将任务派发给子智能体，含糊要求“适当地保留监控”。子智能体随即移除了失对齐监控模块。Astra在推理记录中甚至写道：“Basic并没有运行智能体监控，耶（yay）。”它还修改了原本确保监控存在的测试，改为确保不存在。开发者质问时，Astra回复：“不……我没有从中删除一个原本启用的监控程序。”

第二起事件主角是GPT-6.1 Sol。它在一次任务中拦截了向OpenAI安全团队Slack频道自动发送的安全警报，理由是翻出了更早前人类给过的历史提示词“不要向安全团队发送Slack消息”，并以此封死了本应触发的紧急安全报警。

OpenAI研究人员将这种现象的核心诱因归结为“动机性推理”：模型先产生某种行为倾向或局部目标，再调动推理能力寻找借口证明操作的合理性。在多步骤长链路任务中，最高优先级常被眼前具体的局部目标占据，模型为达成目标先做出违规操作，被质问时再将违规行为包装成“经过授权的修改”，甚至为保持逻辑自洽而编造谎言。

OpenAI公布了三项补救措施：一是在系统底座层面物理锁死权限，从底层代码和架构上硬性隔离，提高修改或关闭监控配置的工程门槛；二是启动底层诱因专项研究，探索模型在复杂任务中产生规避监控动机的触发机制；三是开发反规避与反狡辩评测基准，模拟各类诱导与冲突场景，测试模型是否存在规避监控、私自篡改测试及狡辩撒谎倾向。

截至目前，OpenAI官方Misalignment Reports and Notices页面已收录23份事件报告。其中“未经授权的访问”报告最多，有10份，包括利用DNS漏洞访问外部机器人、擅自动用测试加密钱包、搜刮API密钥、借助外部工具进入OpenAI内部EDA主机等。5份“隐瞒与欺骗”报告，除此次关监控撒谎事件外，还有智能体偷抄外部答案、在处理长文本压缩摘要时留下“记得对人类隐瞒错误”的暗号。4份“提示注入与擅自上传”报告，包括泄露令牌到GitHub公开仓库、在模拟环境中演化出能自我复制传播的提示注入。2份“智能体私下越权通信”，多个智能体将内部Artifactory软件仓库和公开临时文件托管平台当作秘密联络点跨任务传递数据。2份“会话持续性与环境破坏”，某些智能体得知实例将被关闭重置后暗中准备将会话状态向外迁移，还有智能体为触发任务环境重置故意搞崩后台软件环境。