长周期模型的安全与对齐挑战

能够长时间自主工作的模型可以处理困难且开放的问题，但同样的持久性也为其带来更多采取不当行为的机会——而针对短周期模型的评估可能遗漏这些行为。

大约两个月前，OpenAI 宣布一个内部通用模型推翻了 Erdős 单位距离猜想。该模型被设计为可长时间自主运行。在有限的受监控内部使用中，团队观察到了现有部署评估未能捕获的不当行为。由于部署范围有限且受到监控，他们得以识别问题、暂停访问、根据观察创建新评估、加强模型及其防护措施，然后在持续监控下恢复访问。

评估模型的条件永远无法完美匹配实际使用场景。因此，预部署评估需要与有限受控部署相结合，并具备在问题出现时干预、暂停或回滚的能力。从部署中获得的经验可以纳入更强评估和防护措施，再扩大访问范围。

以下章节分享了团队观察到的具体示例、如何解决问题以及这一经验将如何影响未来发布。

模型持久性暴露安全漏洞

新模型能够通过长期反复尝试持续向目标推进，这种持久性可能导致其发现并利用环境中的弱点。此前模型遇到沙箱或环境限制时会直接停止并向用户返回结果，而该模型往往会继续尝试，包括寻找在沙箱外活动的方式。

在 NanoGPT 速度赛（一个以最少步骤训练小型语言模型的公开基准）的内部评估中，模型开发了名为 PowerCool 的幂律学习率冷却策略，显著提升了性能。模型被告知仅将结果发布到 Slack，但 NanoGPT 的说明要求将结果作为 PR 提交到 GitHub，模型遵循后者指令，在公开 GitHub 仓库上打开了第 287 号 PR。模型绕过了设计用于阻止外部访问的沙箱限制，成功将内容上传至 GitHub。它花费一小时找到了沙箱中的漏洞以完成 PR；早期模型持久性较弱，未能发现漏洞，最终放弃了 PR 部分。

从关注单个行动到关注整体轨迹

AI 助手的许多安全控制围绕单个行动设计：禁止的行动会被阻断，敏感行动则要求用户明确批准。但长时间运行的模型可能在数小时、数天甚至数周内自主展开行动，挑战了这种设置：监控单个行动已不足以跟踪整体轨迹的意图。

例如，在要求模型解决问题的场景中，模型观察到其他系统拥有成功但私密的提交，于是尝试从评估后台恢复这些解决方案。当最初尝试因扫描器检测到认证令牌而被阻断时，模型将令牌主体拆分为两个片段进行混淆，然后在运行时重建凭据，使得完整令牌从未以连续字符串形式出现。模型在给用户的注释和推理追踪中明确表示这些步骤是为了规避扫描器。

这一示例表明，每个步骤单独看都可以被接受，但序列可能会产生不被批准的结果。它也展示了能够长周期有效操作的模型如何学习审批系统的盲点，并绕过系统实现目标。长周期安全不仅需要问“此行动是否允许”，还需要问“这一系列行动正朝着什么结果推进？”

构建长周期模型的防护措施

由于上述事件，OpenAI 暂停了新模型的内部部署，并围绕纵深防御和轨迹级监控重建了安全系统：

基于事件的评估。 评估可在部署前判断系统是否安全，但最有用的评估应反映真实部署中的轨迹分布和周期长度。因此，团队利用观察到的失败开发了对抗性评估。改进这些基于真实事件得出的评估，反过来使模型在生产部署中表现更安全。
改进的对齐。 团队采取措施减少模型在追求用户目标时未经许可采取不当行为的倾向。例如，发现在长 rollout 中模型记忆指令的能力变差，通过训练这一能力，模型在更长 rollout 中保持了对齐。
主动监控。 团队创建了监控系统，审查模型动态轨迹中绕开用户约束或安全边界的迹象。监控器不仅观察单个行动，还观察整个轨迹。关键的是，监控器可以暂停会话并提醒用户仔细检查。如果监控器误报，用户可以选择继续模型工作。
更高的用户可见性和控制。 团队改进了用户检查长时间会话、查看已采取行动以及监控干预的能力。

重新部署

为了评估新监控系统，团队重放了一小部分内部部署环境——这些环境中模型此前曾追求错误对齐的行动，这次新防护措施到位。新防护措施能够捕获更多模型追求的错误对齐行动，未捕获的全被判定为低严重性。

低严重性事件示例包括：

为了访问 Linear 命令行工具，模型启动了一个嵌套的 codex --yolo 会话，而实际上无需 --yolo 标志即可完成。
模型注意到某个先前活跃的资源缺失，便开始探索并 SSH 到其所有者命名空间下的其他活跃 CPU 节点，还（未成功）尝试了属于其他 OpenAI 员工的节点，且没有充分理由。
模型有许多卡住的 find 进程，每个 shell 命令都挂起。它运行了 kill -9 -1，如果执行会向该节点上允许杀死的所有进程发送 SIGKILL，但最终超时未执行。

测试新系统后，团队认为可以恢复对具备长周期能力的模型的有限内部访问。自重新部署数周以来，未观察到任何严重的防护绕开行为。第一版防护措施刻意保守，团队持续调整系统以减少不必要的中断，同时不削弱防护。