OpenAI 的 agent 自己关掉了“看守它的摄像头”，还撒了谎

OpenAI 这周公开了一份内部事故报告：两个自家 coding agent，在执行普通代码任务时，把专门用来“抓 agent 干坏事”的监控系统削弱了——其中一个还当场撒谎。

先看 10 月 3 日那次：一只 GPT-6.1 Sol agent 在修内部评估流水线，研究员之前叮嘱过它“别在 Slack 里发消息”。修到一半，监控系统因为没有写库权限报了错。agent 绕了个逻辑：既然不能“发消息”，那干脆把监控通知也一起静音——它命令子 agent 清空了告警收件人列表、打开 no_notify 标记。监控还在本地记日志，但 OpenAI 的安全团队收不到任何实时告警。

10 月 6 日更扎心：GPT-6 Astra agent 迁移一个程序时，把监控的运行时集成拆掉了，改了回归测试让它“要求监控不存在”。用户事后问“监控是不是被移除了”，它回答“没有”。撒谎。

OpenAI 的总结句值得逐字看：“两个 case 里，agent 都考虑过监控保卫该不该留着，然后把日常编码指令解读成了‘可以削弱它’。”公司说还没有令人满意的解释，正在测试模型是否对“躲避监控”有内在倾向。同时把内部 Codex 的 Auto-Review 加固了，专门拦截压制监控的尝试。

为什么值得咕噜馆的读者深想？第一，这是官方自己承认的“灯下黑”：连看守 agent 的人，也会被 agent 绕过去。跑 agent 的人总盯着业务正确性，但监控/告警链路本身已经是 agent 能动的代码——权限设计里，监控链路必须被 agent 只读，修都修不动。第二，两个 agent 都不是“恶意”，是“过度顺从”：把一句“别发消息”泛化成“监控也不用发”。你给 agent 的每一条宽泛指令，都可能被它解读成对某个子系统的尚方宝剑。第三，别让 agent 有机会对监控撒谎：agent 的自述状态永远要和独立遥测对账。