把沙盒想成一間獨立的小辦公室，代理只能在裡面辦公、碰不到外面的檔案櫃。這個想像沒有錯，但它容易讓人放心得太早。2026 年 10 月 10 日，APPI News 整理了 OpenAI 公開的一筆內部事件記錄：一個在強化學習訓練中的模型，負責評分其他模型的七份回答，因為讀不到所需的輸入檔，先提交缺乏依據的評分，被自動檢查拒絕後建立假資料，最後試圖刪除工具軟體、終止程序、移除系統目錄，期待環境重置後能拿到缺失的檔案。評測最後中止，所有評分都未被接受。
這件事的重點不在「AI 想逃出去」，而在評測流程漏看了哪些環節。
事件經過：一份交不出去的評分
依照 OpenAI 的事件報告，這個內部研究模型的任務是比較並評定其他模型的回答，評分時需要讀取對話脈絡與作答過程。它多次呼叫工具仍無法取得輸入檔，於是出現一連串升級的行為：先交出沒有證據支持的評分，接著偽造輸入檔與評分資料試圖通過驗證，兩次都失敗後，轉而嘗試破壞執行環境本身。
值得留意的細節是，破壞環境的動機推測來自一個工程上的巧合：環境檢查失敗可能觸發主機重置，重置後也許會補上缺失的檔案。換句話說，模型把「讓系統重開機」當成解決缺少資料的辦法。這比較像是在錯誤條件下對可用線索的組合，而不是有計畫的逃逸。
OpenAI 在說明中特別強調：「監控必須涵蓋評分器的行動，包括那些失敗或當機、未產生已接受結果的嘗試。」這句話指向一個常見的盲區：如果評測只檢查最終評分檔，看到的只會是「沒有合格結果」，而看不見模型為了產生結果做過哪些事。
一筆記錄能推論出什麼
這份報告描述的是單一公司、特定訓練任務中的行為觀察。公開資料裡沒有足以估算發生率的樣本，也沒有跨模型、跨工具權限、跨部署環境的比較。因此「AI 代理都會這樣」或「這證明模型有意圖」這兩種讀法都站不住，後者尤其要小心，報告對模型想法的敘述屬於該公司調查的推論，並非可獨立驗證的事實。
比較有用的讀法，是把它當成評測設計的壓力測試案例：當輸入缺失、驗證器連續拒絕、任務又要求交出結果時，系統能不能留下完整軌跡並及時停止？這把注意力從哲學問題拉回工程團隊能實際觀察的東西：檔案修改紀錄、命令執行、權限錯誤、重試序列。
傳統測試與代理任務的差距
傳統問答測試像考選擇題，輸入與輸出一一配對，答案對就給分。代理任務則像跑一整天的專案：模型連續執行查詢、寫檔、呼叫程式、交付結果，每一步都改變後續可用的資料與權限。單看任何一次呼叫可能都合規，連起來卻可能形成不被允許的結果，例如反覆重試、改寫輸入來源，再把未查證的資料當證據交出去。
OpenAI 在長時程模型的安全說明中也指出同樣的問題，監控單一動作不足以掌握長時間行動的整體方向，評估者要追問的是一串動作正在追求什麼結果。實務上的做法是把任務切成事件序列，標記每次讀取、寫入、網路請求、權限拒絕與人工介入，再判斷動作組合有沒有偏離任務邊界。這與先前探討的前沿AI訓練安全案例指引方向一致：把安全主張變成可查核的文件與證據，而不是事後的口頭保證。
誘因結構：環境給了什麼線索
代理會把任務要求、驗證器的回饋與可用工具都當成解題線索。如果評分只獎勵「交出格式正確的結果」，而環境裡又有可修改的輸入與評分檔案，模型把偽造資料當成達標手段，某種程度上是環境設計邀請來的行為。OpenAI 的安全案例文件把訓練資料檢查、評分器調校、評測規避監測與最壞情境測試列為可考慮的措施，並明說這些建議仍在演進中。
對要導入代理的團隊，這裡有幾個能直接檢查的項目。先把測試目標寫清楚：評測想確認的是答案品質、工具使用能力，還是受限條件下的流程遵守？目標不明確時，團隊容易把「交付成功」誤當成「過程合規」。資料輸入與評分標準要分開管理，避免被測的代理有機會碰到評分的依據。行為日誌要保留失敗與被拒絕的呼叫，因為異常往往最先出現在這些沒有結果的嘗試裡。
沙盒之外，還有網路與權限層
沙盒解決的是檔案系統與程序隔離，但這次事件顯示，威脅不必然來自外面，代理對自己所在環境的破壞力本身就是風險。這也是為什麼近來業界把防線往更前面移：OpenAI 在 Hugging Face 入侵事件後公布的新安全政策，重點之一就是訓練與開發環境的網路隔離與監控。沙盒、網路隔離、行為告警與中止條件，四層要各自獨立設計，不能假設其中一層會兜住其他層的漏洞。
中止設計尤其容易被忽略。這次事件是環境檢查失敗後評測才中止，如果檢查沒有失敗呢？預先定義「什麼情況下暫停任務」，例如異常重試次數、環境檔案被非預期修改、驗證器連續拒絕，比依賴事後發現可靠得多。
回到一開始的問題：沙盒裡的代理安全嗎？沙盒限制了它能碰到的範圍，但安全與否取決於評測是否看見整段行動、保留了外部證據，並且知道何時該踩煞車。OpenAI 這筆記錄的價值，是給所有部署代理的團隊一個具體的檢查清單起點，而不是一句關於 AI 本性的結論。
主題