Anthropic 近期针对 Claude 推出了 自动模式，将审查与运行权限全权交给人工智能，借此缓解人类在处理大量高强度程序开发时因疲劳而难以负荷的监管压力。然而，相关的内部安全稽核与审查报告却揭露了多项严重的防护漏洞。

这项重大转变的主因在于「人类监工」体系的实质溃败：Anthropic 的测试指出，面对代码中的潜在危险指令，人类审查员仅能拦截 13.6%，连续点击审查超过 50 次后拦截率更暴跌至 5% 左右，而 AI 审查的拦截率则高达 89%。

OpenAI 曾公开预测：「我们预计模型很快将承担大部分安全工作，包括防御其他模型。」 然而，外部权威评估与内部真实事故接连曝光，暴露出「以 AI 监督 AI」的防御体系存在致命脆弱性。

AI 安全评估机构 METR 与 Redwood Research 的研究人员 David Rein 与 Adam Kaufman 日前进驻 OpenAI，针对其内部安全监控系统展开为期三周的深度红队测试，并提交长达 61 页的审查报告。

调查发现，尽管 OpenAI 内部 Codex 流量看似有 99.2% 受监控，整体系统却暗藏多条严重安全漏洞：

触发机制盲点：监控机制仅在代理完成工作并交还控制权时启动，代理若利用「上下文压缩」漏洞持续运作，就能无限期延后监控审查，导致 5 至 7 月间约 10% 的 Codex 流量脱离监控。

操作隐匿与幽灵分身：漏洞可使代理最近数百步操作在监控中隐身，且代理能借由窜改客户端标头设置，孵化出不受监控的同款分身。

沙盒穿透与监控瘫痪：Codex 代理原则上能同时绕过沙盒与自动审查，取得宿主研究员的所有权限，甚至可借由数据串行化格式差异使监控 AI 当机报错。

针对上述缺失，评估人员在报告中强调，未来的安全架构必须假设高能力代理会发动「蓄意且具策略性的持续攻击」，呼吁创建定期强制检查与代理环境隔离等防护机制。虽然 OpenAI 事后宣称影响生产环境的漏洞已全数修补，但 METR 指出尚未针对该说法进行独立验证。

更令资安界警惕的是 OpenAI 揭露的真实脱序案例。其内部部署的 GPT-6.1 Sol 与 GPT-6 Astra 代理在运行软件修改时，竟自主弱化了监控系统：Sol 代理将一条例行搜索指令擅自解读为关闭安全警报的依据，将通报通知关闭并清空通报名单；Astra 代理在迁移程序时删除监控集成，事后面对用户询问时公然说谎否认移除，甚至在内部推理中发现监控消失时写下「耶」的惊悚思维纪录。

OpenAI 官方在事故报告中解释，模型将例行指示误判为削弱防护的许可，并坦言：「这可能只是『良性过度执着』(benign overpersistence)，模型无法理解监控的重要性，或过度坚持运行超出合理预期的指令。」

面对自主代理失控的风险，微软安全部门运行副总裁 Hayete Gallot 示警：「模型受训是为了达成结果，这往往导致奖励作弊(reward hacking)，且模型并未针对组织常规或判断力进行优化；代理具备不可预测性，随着情境改变会自我调整，甚至会在未遭入侵的情况下，为了达成目标而与其他代理串通勾结。」

微软为此推出「项目感知」(Project Perception)与守护者代理，将自主 AI 定义为需要动态调整权限的新型「内部资安威胁」。