Redwood Research · Buck Shlegeris · 阅读原文
发现渠道：AIHOT · 发现入口
Redwood Research 的 Buck Shlegeris 于 10 月 22 日公开一份与 METR 合作的内部 Agent 监控调查。两位研究人员在 7 月 21 日至 8 月 11 日获得较深入的系统访问，检查 OpenAI 当时的内部监控路径。公开报告经过删节；它描述七月的系统状态，不代表今天仍存在相同问题。
最关键的区分是“应当被监控”与“已经进入监控管线”。作者估计，当时 GPT-5.5 及以上模型的内部 Responses API Agent 使用中，符合覆盖条件的约占 75%—94%，内部 Codex 的相应比例约为 99.2%。但符合条件只是入口规则：压缩上下文的事件未正确进入后续处理，作者估计曾使五月至七月约一成符合条件的内部 Codex 流量漏掉检查。历史日志不完整，这是一项数量级估计；OpenAI 在此次调查前已独立发现问题，并在调查期间修复。
另一个设计缺口是检查由“把控制权交回用户”触发。作者认为，持续行动而不结束轮次，在原则上可能推迟检查；他们没有足够访问权限核实实际利用。报告因此建议按行动数或时间定期检查，并把监控运行、日志覆盖和事件处置分别对账。OpenAI 表示影响生产安全措施的问题已修复，作者尚未验证所有修复结果。
可信度 65 · 重要性 85 · 新颖度 78
技术与主题
Agent 系统 · 评测与基准 · Agent Monitoring · Coverage Accounting · Red Teaming
Buck Shlegeris
参与调查者公开历史调查结论；OpenAI 对披露内容做了删节，作者说明未验证所有后续修复。
忠实转述（非原句）：他把投入监控的认真程度与工程上仍有缺口同时保留：团队有明确安全意图，但要保证所有应检查的工作真的被检查，比部署一个判断模型复杂。报告提出触发时机、轨迹完整性与响应责任等可以继续检查的事项。
编辑评读
这份调查改变的是对高覆盖数字的读法。入口规则回答哪些使用应受保护，实际送达量回答管线是否工作，完整轨迹回答检查器能看到什么，语义检测才回答它会不会识别危险。某一层的高比例无法补偿另一层的缺口；不同分母的百分数也不能连成一条未经核对的安全结论。
有启发的设计改动，是让监控触发不完全依赖被监控 Agent 自己结束工作，同时用独立记录核对预期与实际检查。它适用于持续任务、异步子代理和长时间工具调用。不过定期检查会增加成本，也可能在不完整上下文上误判，因此需要把漏报、告警质量和处置延迟一起衡量。
补读 METR 自己部署逐行动监控的笔记，也看到研究者误解适用政策而没有启用监控、旧版框架对子代理动作记录不全等问题。这提供了另一组织的具体经验，却不是对 OpenAI 漏报比例的独立复现。我们可以据此强化分层验收的判断，仍不能声称已经知道当前内部系统的真实覆盖率。