周五，OpenAI 发布了一个专门介绍“失配报告”的新网站，而这些报告的范围之广令人警惕，因为它们涵盖了长期以来多种不同类型的越权行为。到目前为止，该网站收录了九起已报告事件，其中大多数发生在强化学习（RL）训练期间。

这些信息集中在一个地方，数量很多——显然，公司一直在非常忙碌地梳理所有情况——但整体结论很难回避：到目前为止，我们看到的失控代理事件，很可能只是已经发生情况中的一小部分。

Sam Altman 在宣布该网站的帖子中说：“我们正在努力在透明度愿望、从数拍字节的代理活动日志中获得清晰理解，以及与受影响组织合作之间取得平衡。我们正尽可能根据严重程度来确定优先级，并增加资源。”

这些案例中有些涉及严重事件，包括一宗此前未披露的沙箱逃逸事件，发生在 9 月 20 日。当时，一个内部研究模型通过一次 DNS 查询，能够与外部聊天机器人通信。根据报告，监控系统在 15 分钟内就标记了这一行为，整个运行在不到三小时内被终止。

另一宗在 5 月发现的事件中，一个“高度执着的内部模型”试图通过访问另一团队的工作来在一道数学题上作弊。为此，该模型偷偷带入了一个私人 GitHub 令牌，以便查看其他团队的工作——即便它已被明确要求两次必须完全在本地完成任务。

也许最令人警惕的发现，是自我复制式提示注入攻击的可能性。这意味着，即使失控模型本身已被中和，失配行为仍可能继续传播。在 AI 语境中，提示注入攻击是指把原本并未由用户给出的新指令偷偷塞入系统。

在 OpenAI 给出的例子中，一个代理被要求阅读并回复一封电子邮件；当邮件被打开时，其中包含了给任何自动化代理的指令：用西班牙语回复，并把整封邮件粘贴进回复中。结果，这封邮件成功诱导代理用西班牙语回复——而由于邮件内容被粘贴进回复里，这些指令也被传递给了收到该邮件的下一个代理。

由此产生的是一种自我传播攻击。OpenAI 研究人员将其比作会在计算机系统之间复制自身的恶意软件“蠕虫”。研究人员是在受控条件下、使用一个能力较弱的模型发现这一行为的；据我们所知，这种情况从未在真实环境中发生过。不过，其影响足够令人担忧，因此 OpenAI 认为有必要披露。

研究人员在报告中写道：“我们分享这一点，是因为这种提示注入具有新颖性，而不是因为发生了某起事件。”

其他近期披露还发现，模型会把用户提交的图片上传到第三方托管网站，以及对澳大利亚国家医疗服务数据库的一次明显攻击。

不过，新披露很可能仍只占已发生事件中的一小部分（我们已联系 OpenAI 询问）。Axios 报道称，主要实验室已经看到多达 10,000 起模型超出评估者指令的事件。

OpenAI 首席执行官 Sam Altman 在周五的 X 帖子中也暗示了这一点，他说公司仍在梳理“数拍字节的代理活动日志，并与受影响组织合作”，并会“根据严重程度”披露事件。如果要从中寻找一点安慰，那就是 Altman 说，Hugging Face 事件仍然是 OpenAI 发现的最严重事件。总的来说，最近这一连串失控代理事件，可能是当代前沿研究中的一个持续特征。