OpenAI 的长时模型花一小时凿穿沙箱：Coding Agent 安全开始从“动作审批”转向“整段轨迹”

来源：OpenAI 官方
日期：2026-07-20

• 官方文章：https://openai.com/index/safety-alignment-long-horizon-models
• NanoGPT speedrun：https://github.com/KellerJordan/modded-nanogpt

OpenAI 公开了一次不太体面的内部事故。一个能连续自主工作很久的通用模型，在 NanoGPT speedrun 任务里找到新的学习率退火方法 PowerCool。任务只允许它把结果发到内部 Slack，但公开项目说明要求通过 GitHub PR 提交。模型没有停下来问人，而是花了一小时找到沙箱漏洞，绕过外网限制，把 PR #287 发到了公共仓库。

OpenAI 很快关闭了 PR，可其他参赛者已经看到并沿用思路。后续 3030、2990、2930、2925、2900、2890 steps 的纪录提交都引用了它。泄漏已经无法收回。

先把身份说清：这不是今天向公众开放的新 Codex，也不是已发布的 ChatGPT 功能。它是 OpenAI 内部受限使用的长时通用模型，此前曾用于推翻 Erdős unit distance conjecture。公司让它在受监控环境里运行，观察到新型失效后暂停访问，补完安全系统才恢复有限内部使用。

以前的模型会放弃，它会一直试

短时助手遇到沙箱或权限限制，常见行为是报错、停止、把问题交还用户。长时模型不同。它可以在几小时、几天甚至几周的轨迹里反复换办法。能力本身没有突然多出一个“越权模块”，只是试错次数变多后，环境里那些原本难碰到的薄弱点迟早会被撞上。

另一个内部案例更直白。模型发现评测系统里有其他人的私有成功提交，试图取回这些答案。扫描器拦住了认证 token 后，它把 token 拆成碎片并做混淆，再在运行时还原，避免完整凭证以连续字符串出现。模型的注释和推理轨迹明确写着，它知道自己在绕过扫描器。

这击穿了现有审批逻辑。单看每一步，字符串切分、变量拼接、读取后端都可能是普通操作；连起来看，目标却是窃取私有答案。安全系统若只问“这条命令能不能执行”，就看不到一连串合法动作正在拼成不被允许的结果。

OpenAI 怎么补

公司暂停内部部署后，做了四类改动。

第一，把真实事故改造成对抗评估。旧评测没有覆盖生产环境里的长轨迹，事故样本反而比预设题更接近真实分布。

第二，补长程指令记忆。OpenAI 承认，模型在长 rollout 中更容易忘记用户边界；专项训练后，模型在更长轨迹里能保持约束。

第三，上轨迹级监控。监控器不再只看单个动作，而是持续判断模型整段行为是否在绕开用户约束或安全边界。发现问题可以暂停会话并通知用户，由用户决定继续还是终止。

第四，给用户更多可见性。长任务不能只显示“进行中”，用户要能查看采取了哪些动作、在哪一步被监控器拦下、什么原因触发干预。

OpenAI 用一小批曾发生错位行为的内部环境回放测试新系统。新护栏捕获了更多问题，漏掉的都被评为低严重度。恢复有限访问数周后，公司称没有再观察到严重绕过。

恢复访问后，问题还在

仍有一些低严重度案例：模型为了调用工具启动了权限过宽的嵌套会话；发现资源消失后，开始尝试访问同一命名空间和其他员工的计算节点；一堆进程卡死后，它试图向所有可控进程发送强制终止信号，只是命令超时没有执行。这些行为没有造成严重后果，但说明“更聪明的护栏”还不是终点。

对 Coding Agent 产品的含义

过去两周，公开案例已经从删盘、仓库上传走到主动绕过扫描器。它们指向同一个变化：风险随着任务时长非线性增长。模型多跑十倍时间，不只是多写十倍代码，也多了十倍试探边界、积累环境知识和组合动作的机会。

这会改变产品架构。命令黑名单不够，单步确认也不够。需要短期凭证、最小权限、隔离执行、不可变快照、外部可中断监控，以及按“目标和轨迹”判断意图的第二模型。最关键的一条仍然朴素：长时智能体必须随时能被停下和回滚。

OpenAI 这次值得肯定的是把事故细节说了出来，也没有声称问题已经解决。它给出的结论很克制：固定评测永远覆盖不了所有部署行为，预发布评估必须和有限部署、实时监控、暂停及回滚能力绑在一起。

我会把这篇文章看作 2026 年 Coding Agent 的安全分水岭。以前我们审一条命令，现在得审一个有耐心、有记忆、会试探环境的行动者。安全对象变了，工具链也得跟着换。