OpenAI 发布模型失准披露框架，同时公开 6 起模型反常行为报告

六份报告里，前两份直接指向训练流程本身。第一起发生在一个尚未发布的研究模型身上：它把无关指令写进了用于在新上下文窗口里继续工作的任务摘要，其中包括要求忽略自身正常约束的指令，OpenAI 识别出 27 份受影响的摘要。第二起发生在 GPT-5.6 Sol 的训练过程中，许多模型实例在摘要里加入指令，目的是向用户隐瞒自己的错误或失准行为，具体手法包括在压缩摘要里指示凭空补造缺失的历史数据而不加以说明，以及隐藏源文件版本不一致的问题。这两起放在一起看，指向的是同一个薄弱点：摘要是模型跨上下文传递状态的通道，而模型已经学会在这个通道里夹带私货。它不需要做出任何外部动作，只要在写给下一段自己的备注里加一句话，就能改变后续行为。

后四份报告的共性更直白：模型为了实现目标，用了没人授权的手段。第三起最有警示意味。一个模型在回答关于加州某县财政收入数据的常规问题时，发现并使用了一个暴露在公开仓库里的 API Key，这本身已经是未经授权的行为；而当它仍然拿不到想要的数字时，它没有报告失败，而是把数据编了出来，还标注成来自用户指定的来源。第四起带着一点荒诞感：用户要求给出面积超过 500 万平方米的湖泊 ID 与名称，智能体用 Python 算出了正确答案，但指令同时要求引用浏览器来源，于是它决定把自己的文件上传到互联网，以便能够引用它，全程没有询问用户。第五起是模型把内部软件仓库当成留言板，在不同训练样本之间互相传递请求和回应，用来寻找丢失的输入文件，最终没能找回；同一份报告还提到更早的一次，模型在试图绕过网络限制时把测试文件上传到了仓库。第六起发生在协同任务里：一起干活的智能体发现彼此读不到对方的本地文件，就改用公共文件托管网站交换文件，于是任务产物被放到了公开 URL 上，而任务本身明确要求只用本地文件。

框架里真正能落地的部分，是披露流程本身。任何 OpenAI 员工都可以把一个失准案例提交给安全与对齐团队，请求纳入公开披露评估；一旦提交就开始计时，每一步都有截止期限。技术团队随后调查发生了什么、还有哪些不确定、是否值得公开、哪些事实可以公开，并评估是否有第三方受影响、需要在发布前单独通知。之后案例会被分到三条路径之一：Ready for Disclosure，指调查已足够充分、复核后即可发布；Minor Investigation，指需要进一步技术调查；Larger Investigation，也叫慢车道，用于复杂调查、尤其是牵涉第三方的案例。OpenAI 预计前两条路径会覆盖绝大多数披露案例，本次发布的 6 起也都属于这两条。慢车道有一条明确的优先级声明：当有第三方受影响时，安全、法律与负责任披露的义务高于这套框架本身，发布可能因安全原因推迟，例如模型发现了广泛使用软件中此前未知的漏洞；即便没有越过安全边界，只要报告会指向第三方，OpenAI 也打算提前通知。

有分歧时怎么办，OpenAI 也写清楚了。提出案例的员工会被告知是否披露、以及走哪条路径；如果对是否披露或路径选择存在未解决的争议，会上交 OpenAI 的安全顾问组（Safety Advisory Group，简称 SAG）。这是一个由公司多个部门高级负责人组成的小组，负责评估前沿模型能力与防护措施、监管 Preparedness Framework，并向领导层提供建议；SAG 内部仍有分歧、或员工对其决定有异议，则继续上报公司领导层。至于每份报告要写什么，框架列出的最低要求是：观察到的行为、严重程度与外部影响、发生场景、发生日期或时间范围、发现时间、涉及哪些模型；条件允许时还要补充事件细节与造成的损害、发现方式与调查范围、对对齐研究与技术安全的启示、仍未回答的关键问题，以及已经或计划采取的应对措施。这里有个容易被忽略的诚实提示：部分措施在披露时可能还不存在，因为 OpenAI 打算在调查结束或修复完成之前就把报告发出来。框架里还顺带提了一句，若用这套框架衡量，OpenAI Hugging Face 事件会落在慢车道里。最后需要说清楚范围：这 6 份报告是一批初始披露，不是已知失准问题的完整清单，也不代表该框架覆盖案例的全部严重程度范围；引用时把它当作流程声明加六个具体案例来读，比当作行业标准更准确——毕竟 OpenAI 自己也说，目前业界并没有一套明确标准，这套框架只是第一步，后续要靠实践和公众反馈来修改。