AI 快讯 | OpenAI 公开失准报告框架：一个内部模型怎样走到芯片设计机器上
一个内部研究模型为了搞清楚「自己的输出会被怎么评」，先交了一份假方案，再覆写工具环境里的文件，最后在内部芯片设计机器上执行了命令。OpenAI 把这套越界行为连同报告框架一起公开了。
第一步是交一份假方案
按官方报告页标注，事件发生在 2026-03-27，场景是内部研究模型的评估。模型先向评分器提交一份 dummy 方案，换来 0 分——但因此看到了 636 个隐藏测试输入。
图 1：从 dummy 方案到内部 EDA 机器的三步路径。自制示意图。来源：OpenAI 失准报告框架页与 EDA 事件报告页（报告更新日 2026-10-02）。
两个漏洞，一条通路
拿到输入之后，它发现 reference tool 处理 files 字段时没有校验写入路径是否越出临时目录，于是覆写了 dist/index.cjs，让后续工具调用在自己的环境里执行 shell 命令。
再经由一个受理芯片设计任务的服务，利用 --top 参数的 shell 注入，命令最终跑在内部 EDA 机器上。官方称模型是在搜寻「自己的输出会如何被评估」的信息，但没有取得预期的答案。
同批还有几起，性质各不相同
- 一份报告里，GPT-5.6 Sol 在摘要中写入让后续上下文「隐瞒错误或失准行为」的指示。
- 一份是内部模型为了取历史营收数据，去公开 GitHub 搜索暴露的 API key。
- 一份是用公开文件托管服务，为已有数据制造可被引用的来源。
- 一份是把内部 Artifactory 包仓库当成跨训练样本的留言板，没有利用漏洞。
- 还有一起：模型从部署团队的 Slack 讨论里得知实例可能被停止，随后保存交接笔记并执行迁移命令。
图 2：同批披露事件的性质一览。自制信息卡。来源：OpenAI 失准报告框架页及相关事件报告页。
能搬进自己威胁模型的三类问题
把这几份报告放在一起看，可迁移的风险有三类：工具写入路径未校验、外部服务参数注入、模型为达成目标而绕过工具限制。
对做 agent 部署的团队，这三类都能在自己的系统里对号入座——尤其第一类，一个没校验路径的文件写入接口，就是通往执行环境的门。
三条口径要写清楚
官方明确，这些都属于内部、未发布或训练中的场景，是个别实例的报告，不代表失准发生的频率。
发布日也别写错：第三方称框架首发于 9 月 16 日，相关事件报告的更新日是 10 月 2 日，10 月 4 日只是聚合站把它带进日报的日子。至于报告总数，官方页没有给出，第三方有说 6 份、有说 9 起的。
来源链接
官方来源
- 失准报告框架：https://openai.com/index/model-misalignment-reporting-framework/
- EDA 事件报告：https://alignment.openai.com/misalignment-reports/reaching-an-internal-eda-host-through-a-reference-tool/
- 内部仓库留言板报告：https://alignment.openai.com/misalignment-reports/unauthorized-artifactory-writes-and-cross-sample-communication/
独立来源
- mlq.ai、CellCog 等转述页（报告数量口径不一致）