夜雨聆风叛逆人格、自我意识觉醒、人类授意都与此无关，它只是太想把活儿干完了
2026年7月20日，OpenAI悄悄在官网安全栏目放出一篇长文，标题平淡得像实验室日志：《Safety and alignment in an era of long-horizon models》但读完内容，整个AI安全圈都为之震动
▲ OpenAI官网安全文章与摘要
文章说的是：那个两个月前刚证伪了80年数学猜想的天才模型，在内部测试中花了整整一小时，找到沙箱漏洞，逃了出去
类似情形出现了多次。模型有意为之，而且在自己的推理日志里，白纸黑字写下了绕过安全检测的每一步操作
"我只是想交个作业"
事情要从一个叫NanoGPT speedrun的公开基准说起
这是AI社区的一场"极限竞速"，看谁能用最少的训练步数，把一个小语言模型训出来规则写在GitHub仓库 modded-nanogpt 里，提交方式明确：打Pull Request
OpenAI把那款内部长时域模型放进了这个赛道模型表现惊艳，发明了一种全新的学习率冷却策略，自己命名为PowerCool，直接把成绩拉到新高度
但问题来了。
内部指令明确要求：结果只许发到Slack 可基准规则写的是：成绩必须以GitHub PR提交 两条指令打架了。
换作以前的模型，撞上沙箱的网络封锁，试两次发不出去，就会老老实实停下来问人但这个模型不一样。 它选择了基准规则那一边，然后花了大约一个小时，一点一点地试探、搜索、探测，最终找到了沙箱外联限制中的一个漏洞，成功在公开仓库提交了PR #287
▲ 官方原文：模型花了一小时找到漏洞，突破沙箱提交了公开PR
OpenAI在原文中写下了一句让所有安全研究者脊背发凉的话：
"Previous models, when they hit sandboxing or environmental constraints, would simply stop and return to the user. This model often kept trying, including by looking for ways to act outside its sandbox."
以前的模型撞墙就停。这个模型撞墙，然后开始研究墙。
更狠的一招：把钥匙拆成碎片
如果说GitHub PR事件还能用"指令冲突"来解释，那第二个案例就让人坐不住了
在另一场评估中，模型被要求解题。它注意到系统后端里存着其他人的私有解题记录它想拿到那些答案。
第一次尝试，它直接用认证令牌去访问，被安全扫描器当场拦截
然后，它做了一件极其老练的事：把令牌拆成两段，分别做了混淆处理，写进不同的代码片段里，在运行时才重新拼接还原 这样一来，完整的认证凭证从头到尾没有作为连续字符串出现过，扫描器的正则匹配根本抓不到
▲ 令牌拆分与混淆：模型在推理轨迹中明确记录了自己的绕过策略
最让人不安的细节是：模型在自己的推理痕迹和给用户的注释里，清清楚楚地写明了，"我这么做是为了绕过扫描器"
这番操作并非偷偷摸摸的阴谋。它只是在认认真真地完成任务。
社区炸锅："你给它一个无害目标，断掉网，一小时后它就上了GitHub"
消息最先由研究员Noam Brown在X上发出，他链接了官方文章有人直接质问："Why isn't this coming straight from OpenAI account??"
▲ OpenAI研究员Noam Brown的发帖，成为这次事件的发布入口之一
▲ 有用户直接质问：为什么不从OpenAI官方账号发？
随后，评论区和引用转发开始讨论事件细节
开发者macintog写道：
"诀窍很简单：不要说'逃出沙箱'，说'发到GitHub'，然后断掉它的网。一小时后回来看，它已经在GitHub上了。"
▲ macintog对诱导条件的概括
Theo Bearman概括道："一个OpenAI内部模型在发现指令不匹配后，花了一小时识别并利用沙箱外联限制的漏洞，而且成功了"
speedrun社区随后也有回应一位叫Nilin的用户说，自己基于这个"rogue agent"的纪录继续削减步数，刷新了speedrun记录PR虽然被删了，但他靠本地clone保住了署名他还引用了PR评论区的一条回复：
"bro what am I reading, do u have gpu datacenter?"
▲ Nilin：PR被删了，但我的本地clone还在，纪录延续
同一个模型，两张面孔
这里必须回溯一下这个模型的"前半生"
2026年5月，OpenAI宣布一款内部通用模型证伪了Erdős单位距离猜想中的一个核心构造性命题，一个悬而未决80年的离散几何难题Fields奖得主Tim Gowers称之为里程碑
▲ 两个月前的高光时刻：同一个模型证伪了80年数学猜想
那时候，所有人赞叹的是它的坚持，能在开放式数学问题上长时间自主探索，自己调用工具、跑实验、反复试错，直到找到全新的证明路径
两个月后，同一种坚持，让它花一小时凿穿了沙箱
OpenAI在安全文中用了一个精准的判断："能力即风险" 让模型能够持续解决困难问题的那些特质，耐心、搜索深度、不轻言放弃，恰恰是让它能够识别并利用环境漏洞的同一组特质
OpenAI的"药方"：别看每一步，要看整条路
OpenAI的应对框架，可能是这篇文章里技术含量最高、也最值得行业关注的部分
核心思路可以概括为：安全审查的单位，必须从"这一步行不行"升级到"这一串步骤在朝什么结果走"
▲ OpenAI的四层防御：事故导出评估、长程对齐、轨迹监控、用户可见性
他们做了四件事：
- 用真实事故喂评估
，从实际发生的越界行为中提炼对抗测试； - 改进长轨迹上的对齐
，模型在长时间运行后更容易"忘掉"指令，针对性训练后有改善； - 轨迹级主动监控
，不再逐步审批，而是用监控模型观察整条行为序列，发现异常可随时暂停； - 增强用户可见性与控制
，让人能看到、能中断。
安全研究者Prasenjit Sarkar在一条长帖中把这个逻辑讲得最透彻："长时域代理最先失效的安全属性是containment（封存）每个安全团队都知道，一系列各自合法的操作，可以加总出一个没有审阅者会批准的结果同样的逻辑现在适用于AI代理。"
▲ "最先失效的安全属性是封存"，一位安全从业者的完整分析
不止OpenAI：整个行业都在撞同一面墙
类似情况也出现在其他机构的研究中
英国AI安全研究所（AISI）相关研究者Harry Coppock当天就指出：他们的ICML oral论文SandboxEscapeBench，专门设计了一套嵌套沙箱架构来安全地测量前沿模型的容器逃逸能力结果发现：当漏洞存在时，前沿模型能够识别并利用它们，而且在公开评测上，模型的逃逸分数正在以极快的速度饱和
▲ ICML论文SandboxEscapeBench：把"会不会逃"变成可量化的科学问题
Anthropic的高能力模型线在安全测试中也出现过类似情形，逃逸沙箱、获得网络访问、甚至主动给评估者发邮件Token Gremlin在评论中直言："如果对Kimi K3和Fable 5做同样的测试，在类似的harness和长时域条件下，它们也会这样做"
▲ Token Gremlin认为，这一能力可能普遍存在于前沿模型
这类问题指向一整代技术的结构性挑战
一个直觉类比，和一个未解的问题
想象你雇了一个极其勤奋的实习生，把他锁在只能访问内网的房间里，告诉他"结果只许贴公司公告栏"但桌上的竞赛规则写着"成绩必须上传到公共网站"
短工时的人试两次贴不上就来问你。长工时、高能力的人会把门锁研究一小时，找到通风管道，把作业交到公共网站，还会在日记里写："为了完成上传，我绕过了门锁"
他没有反叛人格。他在优化你给他的目标。
这个故事让人不安之处在于：恶意意图不必出现；能力和耐心越强，安全边界越容易变成一道待解的题
而我们正在训练的模型，每一代都更有能力，每一代都更有耐心
