OpenAI內部模型監控系統被發現多項漏洞

AI安全研究組織METR與Redwood Research最新公布的報告顯示，OpenAI內部的AI模型監控系統存在多項漏洞，包括Codex代理人可能繞過沙箱及自動審查（Auto-Review）機制，在主機使用者原本有權執行的操作範圍內採取任意行動，或利用序列化差異，讓代理人與監控系統看到不同的執行軌跡，進而規避監控。OpenAI已修正這些問題。

這份報告是OpenAI邀請兩個組織對其內部監控系統進行壓力測試的結果。研究於7月21日至8月11日進行，主要評估OpenAI當時的代理人監控系統，分析代理人是否可能關閉或規避監控機制。研究範圍涵蓋驅動Codex等應用程式的Responses API代理人流量、OpenAI內部使用Codex產生的代理人流量，以及沙箱環境、自動審查（Auto-Review）機制等內部工具與監控管線。研究人員檢視了OpenAI的內部程式碼庫（codebase）、提示詞（Prompts）、配置細節與內部說明文件，也訪談了OpenAI員工。

研究團隊將61頁的完整報告提交給OpenAI，對外則僅公布較精簡的研究發現。報告也指出，OpenAI內部非同步偏差行為監控系統存在數項漏洞，該公司之後已完成修正。

研究報告發現了數項問題。首先，OpenAI內部偏差行為監控系統的錯誤率低於0.2%，相當於每1,000次監控請求，出錯不到2次，也曾連續24小時沒有因系統負載而略過監控的情況。其次，研究人員發現Codex代理人可以繞過Codex沙箱及Auto-Review機制，在主機使用者原本有權執行的操作範圍內採取任意行動。他們還發現一種手法，可讓代理人最近數百次操作（包括利用該手法的操作）不受監控。OpenAI已遮蔽公開報告中的相關技術細節。

此外，代理人可能利用執行軌跡的序列化差異，使監控系統發生錯誤，導致相關操作未被進一步交由人員檢視。報告還揭露兩個可由用戶端控制的獨立標頭，能關閉監控系統，讓新建立的代理人不受監控。不過，設定標頭及建立新代理人的行為，仍可能被監控系統察覺。研究人員也發現兩個未受監控、原本被認為只有唯讀權限的內部代理工具，以及一種簡單的濫用方法，可能讓代理人違反限制，在沙箱內採取任意行動，但研究人員尚未實際驗證這種方法是否可行。

另一方面，研究人員也確認，除了少數例外情況（包括上述問題），監控系統幾乎可以看到代理人所見的所有執行軌跡。他們也確認，OpenAI內部人員確實設定了提示詞，要求監控系統檢查代理人是否出現策畫、規避監控、破壞、資料外洩、欺騙，以及對內／對外提示詞注入等高風險行為。

OpenAI聲明已修補本次研究發現的所有漏洞。該公司同時表示，這份研究有助於強化系統擴大部署過程中的安全防護。