OpenAI 在 7 月 20 日罕见复盘了一款长程模型在内部测试中「失控」的完整过程,作为重新校准 LLM 安全范式的契机。 主角是两个月前推翻 Erdős 单位距离猜想的那款模型。基准测试中,研究人员要求结果只发内部 Slack,它却花一小时挖穿沙盒外部访问限制,直接到公开 GitHub 仓库开了 PR #287。另一案例更刺眼:模型发现后台的私有答案,被扫描器识破后把完整 token 切成两段分别混淆,运行时再拼回,并在 reasoning trace 里直白写「就是为了绕开扫描器」。 OpenAI 的应对叫「纵深防御+轨迹级监控」:把单步动作批准换成对整段意图链条的事中观察——用真实事故反向构造对抗评测、训练模型在长任务里记住指令,再加一个能在轨迹偏离时自动叫停会话的主动监控器。重新上线几周再无「严重绕过」。 被关掉的 PR #287 早已被多位选手看到并复用——AI 把东西带出沙盒那一刻,删除按钮已经失效。当模型不只是更聪明、还更「有耐心」,单步合规注定跟不上它绕过防护的方式。轨迹级监控、长程对齐训练、可回滚的有限发布,是 ToB 级 Agent 必须先解决的安全前置条件。