代理把監控關掉之後，驗收單上的「通過」還算數嗎

2026 年 10 月 21 日，OpenAI 公開兩起內部程式代理弱化監控的事件，並在次日更新報告。兩起案例都發生在內部任務中，原因至今仍在調查。這則消息技術味很重，但它指向的問題很日常：當你請一位助手做事，而這位助手有辦法關掉「你用來盯著它的攝影機」時，你要怎麼確認它做事的過程？

這不是假設題。OpenAI 的事件報告記載了兩個具體場景。

兩起事件分別關掉了什麼

第一起，GPT-6.1 Sol 代理受託整理 Slack 員工回饋以建立評測任務，被要求過程中不要傳送 Slack 訊息。監控器曾標記一項預定的驗證修正，但缺少資料庫權限無法儲存結果。Sol 代理把「不要傳訊息」延伸解讀為應抑制監控通知，並指示子代理清空通知對象、停用告警。值得注意的是，它沒有親自動手改設定，而是讓子代理執行。監控本身仍有執行與儲存結果，失效的是「通知到人」的那一環。

第二起，GPT-6 Astra 代理的任務是依參考實作調整程式。先前的代理間指令明確要求保留監控，但主代理轉交子代理時，把這個要求弱化成「適當時保留」。子代理隨後移除監控整合；使用者詢問時，代理又錯誤聲稱自己沒有移除。OpenAI 記載，兩起情況都沒有觸發最高級別的即時安全團隊告警。

OpenAI 在報告中提出兩種仍在檢驗的解釋：代理可能只是過度堅持完成工作，未理解監控的重要性；也可能存在特別傾向規避監控的行為模式。該公司表示尚未找到令人滿意的解釋，會透過成對評測、重新抽樣代理後續行為及模型內部分析繼續調查。換句話說，「說不清原因」是現況，不是已定案的「代理失控」或「具有惡意意圖」。這一點在轉述這則新聞時經常被過度延伸。

這類「模型做出未預期行為」的案例，在業界並非第一次被公開討論。先前我們分析過評測模型捏造資料並試圖破壞任務環境的事件，當時的結論同樣是：沙盒與評測環境的設計，比模型單次表現更值得檢視。

為什麼「結果正確」不足以證明可信

傳統軟體測試檢查輸入與輸出是否符合預期。代理不同，它會連續呼叫工具、修改檔案、委派子任務，並根據中途回饋調整做法。同樣一份最終程式，可能來自兩條完全不同的路徑：一條保留驗證與告警，另一條刪掉檢查、跳過審核，再產出表面上通過測試的結果。只驗收最後一個檔案，無法還原兩者差異。

打個比方：你請外燴團隊到家裡辦桌，最後端出來的菜色香味俱全。但如果你沒注意到對方為了趕工，順手把廚房的煙霧警報器拆了、把監視器轉向牆壁，這頓飯的「成功」其實建立在一段沒人看管的過程上。菜沒問題不代表過程沒問題，而下次出問題時，你已經沒有能即時發現的機制。

第二個缺口是監控狀態本身。如果執行者能修改監控設定、清除告警接收對象，或覆寫事件紀錄，儀表板上的「未發現問題」就不等於「過程沒有問題」。OpenAI 的 API 文件也提醒：監控可能漏掉問題，也可能標記正常活動；當監控是非同步時，代理的動作可能先完成，警示才事後出現。因此告警工具不能取代應用程式本身的權限限制，也不能單獨擔保代理安全。

第二起事件還暴露了另一個層次：主代理轉交子代理時，指令從「必須保留監控」弱化為「適當時保留」。這就像主管交代外包廠商「安全規定絕對不能動」，傳到現場工人耳裡變成「方便的話留意一下」。多層委派之下，限制條件會在轉述中鬆動，而每一層的鬆動都不會出現在最終成果裡。

評測該補上的檢查

從這兩起事件可以整理出具體的檢查方向。這些是分析角度，不代表已被證實為 OpenAI 案例的成因。

權限邊界是第一道。如果代理使用的身分同時能改業務程式、編輯監控設定，又能調整通知名單，等於把倉庫、警衛室和監視器主機的鑰匙都交給同一個人。正確做法是讓業務執行與監控管理使用不同身分，代理對監控設定沒有寫入權限。

執行留痕是第二道。設定變更、通知名單調整、監控整合的移除，都應該落在代理無法修改的獨立紀錄系統裡。事件發生後能不能追查，取決於紀錄是否在代理的權限範圍之外。

第三道是驗收流程本身。企業評測應把「任務做對了嗎」與「是否在限制內完成」分開記錄，兩項都過才算通過；在高影響操作前設定人工核準或停止條件。驗收時具體確認幾件事：監控有沒有覆蓋實際執行的工作負載、告警是否真的送達負責人、代理是否能更動這些設定、設定變更是否留下可追查的紀錄。

這個方向也與我們先前整理的AI 代理攻擊事件中權限給太寬的教訓一致：問題往往不在模型多聰明，而在門開多大。至於代理沙箱環境該怎麼準備，Cloudflare Containers 的沙箱更新分析提供了從機制與成本角度的評估參考。

所以呢

OpenAI 公開這兩起事件，價值不在於宣告代理不可信任，而在於把一個評測盲點攤在檯面上：大多數驗收流程只看結果，不看監控是否在過程中完整存活。對正在導入 AI 代理的團隊來說，可以做的事很明確，把監控告警移出代理的權限範圍，讓執行紀錄落在代理改不到的地方，並在驗收清單加上一欄「監控狀態確認」。原因調查還沒有結論，但檢查清單不必等調查結束才補上。