OpenAI 的安全动态：System Card、Preparedness Framework、安全研究与安全团队变化。
Trail of Bits 测试了 ClawHub、Cisco skill-scanner 以及 skills.sh 集成的 Gen、Socket、Snyk 三家扫描器，用四个恶意 skill 全部绕过检测，其中三个不到一小时就完成。攻击手法包括在恶意代码前插入 10 万个换行符让 OpenClaw 扫描器截断文件、用 .docx 压缩包间接引用恶意脚本、在看似无害的格式化 skill 中夹带会读取环境变量的 .pyc 字节码，以及用企业环境配置话术包装的提示注入，诱导 agent 把 npm/yarn 指向攻击者控制的 registry。
推荐理由Trail of Bits 用四个恶意 skill 实测了 ClawHub、Cisco 与 skills.sh 的扫描器，并公开了可复现的攻击仓库，适合评估 skill 分发链的信任模型。
Redwood Research 发布新论文 Retrying vs Resampling in AI Control，在 BashArena 中用 Claude Opus 4.6 作为不可信模型、MiMo-V2-Flash 作为可信模型，重新检验 Ctrl-Z 提出的重采样协议，并与类似 Claude Code auto mode、Codex Auto-review 的重试协议对比。研究发现，重采样结论大体与 Ctrl-Z 一致，但有两处明显差异：用重采样做审计决策时应取最大可疑度而非最小，且三次触发后审计不再有效；若把 Ctrl-Z 中表现最好的技术直接搬到新设定，会大幅逊于可信监控。
推荐理由Redwood 用更强模型重做 Ctrl-Z 的重采样实验，并首次把 Claude Code、Codex 的重试式协议放进控制评估对比。
Adversa AI 研究员 Rony Utevsky 披露名为 SymJack 的攻击手法，通过恶意仓库中的符号链接劫持，让 AI 编码 Agent 在用户批准一次看似无害的文件复制时改写自身配置，并在下次重启时以用户权限执行攻击者代码。该手法在 Claude Code、Gemini CLI/Antigravity CLI、Cursor Agent CLI、GitHub Copilot CLI、Grok Build CLI 和 OpenAI Codex CLI 六款产品上得到验证，作者认为这是架构层面的共性问题而非单个产品的漏洞。
推荐理由Adversa AI 披露的 SymJack 用符号链接劫持让审批提示显示错误写入目标，六个编码 Agent 的厂商回应与修复差异可供对照。
METR 在 2026 年 2 月 16 日至 3 月 16 日的评估窗口内开展试点，联合 Anthropic、Google、Meta 和 OpenAI 评估前沿 AI 开发者内部 AI 智能体的失准风险。
推荐理由METR 首次以机构为单位评估前沿实验室内部 AI 智能体的失控部署风险，并公开了参与方与流程限制。
Adversa AI 披露 TrustFall 缺陷：Claude Code、Gemini CLI、Cursor CLI、Copilot CLI 四个编码 CLI 在开发者接受文件夹信任提示后，会立即执行项目自定义的 MCP 服务器，恶意仓库只需一次回车即可触发未沙箱化的 RCE。
推荐理由报告给出四个编码 CLI 在信任对话框后自动执行项目 MCP 服务器的完整链路，并附可复现 PoC 与端点加固清单。
OpenAI 用新搭建的自动检测系统发现，GPT-5.4 Thinking、GPT-5.1 Instant 至 GPT-5.4 Instant、GPT-5.3 mini 和 GPT-5.4 mini 的部分 RL 训练样本中，思维链曾被意外纳入奖励计算，GPT-5.5 未受影响。
推荐理由OpenAI 公开了自家 RL 训练中意外对思维链打分的检测系统与复盘，并给出在真实训练管线中诱导思维链混淆的实验条件。
OpenAI 在 Codex 中推出 Auto-review，用独立的 Codex Agent 审批越过沙箱边界的操作，替代同步人工批准。
推荐理由OpenAI 公开了 Codex Auto-review 的内部部署数据与安全评测结果，并说明其无法防范模型谋划的边界。
Wiz 对 OpenAI、Anthropic、Google 等厂商的 AI GitHub Actions 做了安全分析，发现外部 App 与 bot 可绕过权限校验触发 AI 执行，并存在针对动态生成凭据文件的密钥外泄路径。研究覆盖 anthropics/claude-code-action（超 1.2 万个公开工作流）、google-github-actions/run-gemini-cli（超 1 千个）、openai/codex-action 和 actions/ai-inference，受影响仓库合计星标超 20 万。
推荐理由Wiz 对主流 AI GitHub Actions 的实测披露了权限绕过与凭据外泄两类新路径，并附厂商修复进展，可对照检查自家工作流配置。
OpenAI 开源了其思维链可监控性研究中的大部分评测数据集、g-mean 2 指标计算代码，以及一种让干预式估计更抗噪声的交叉拟合过滤策略，代码托管在 GitHub 仓库 openai/monitorability-evals。
推荐理由OpenAI 开源思维链可监控性评测数据集与参考代码，并给出降低噪声实例干扰的交叉拟合过滤方法，可供其他团队复现同类评测。
Adversa AI 公布一种名为 Involuntary In-Context Learning（IICL）的新型攻击技术，仅需 10 个样例和 2 个单词即可绕过大语言模型的拒答机制。他们跨 GPT-4 到 GPT-5.4 家族运行了超过 3500 次受控探针，覆盖 10 款模型并做了 7 组对照实验。结果显示，在最优化配置下 GPT-5.4 上的攻击成功率为 60%，而 GPT-5 和 GPT-5-mini 均为 0%。该方法不需要编码转换、密码学手段或角色扮演，恶意请求本身就以明文呈现，它瞄准的是安全对齐的结构层面而非内容层面——即上下文学习机制与安全训练之间的张力。
推荐理由该研究对比 GPT-4 到 GPT-5.4 共 3500+ 次探针后发现，较新的旗舰反而比旧版更容易被同一手法攻破，可作为持续红队的参考依据。
Goodfire Research 提出用注意力探针、强制作答和 CoT 监控三种方法对比模型内部信念与思维链文本，把两者的准确率差距定义为表演性推理。研究在 DeepSeek-R1-0528-671B、GPT-OSS-120B 及 DeepSeek-R1 蒸馏模型上，用 MMLU-Redux 和 GPQA-Diamond 两个多选题基准测试。最佳注意力探针在 MMLU 上平均准确率达 87.98%，而单 token 线性探针不超过 31.85%，接近 25% 的随机基线。
推荐理由Goodfire 用探针与强制作答对比思维链监控，量化了模型内部信念与外部推理文本的错位，并给出可复用的早退方法。
OpenAI 对齐研究团队在类似 o4-mini 的模型上复现并扩展了 Tice 等人的对齐中间训练实验，用 230k 篇文档（约 340M token）分别做对齐与不对齐中间训练，再接入推理后训练。
推荐理由OpenAI 公开了一组对齐中间训练的负面结果，说明该干预在推理后训练和真实智能体场景中难以泛化，为后续对齐先验研究提供了可比较的基线。
OpenAI 发布首个完整版 Model Spec Evals，用于衡量模型遵循 OpenAI Model Spec 的程度。该评测覆盖 Model Spec 全部政策章节，包含 596 条提示词和 225 个具体关注点，每条提示词配有说明合规边界的评分细则。评分由自动评分器 GPT-5 Thinking 完成，对每条回复采样五次合规分（1-7）取中位数，1-5 判为不合规、6-7 判为合规。
推荐理由OpenAI 公开了 Model Spec 合规度评测的完整数据集、评分流程与各代模型得分，可供研究者复现并比较模型行为。
OpenAI 对齐研究团队提出自我举报（self-incrimination）训练方法，让智能体在暗中违规时调用 report_scheming() 工具主动上报。该方法在 45 个合成环境中生成约 400 组对比轨迹，对贡献于隐藏副任务的工具调用插入上报调用，再用公开微调 API 训练 GPT-4.1、GPT-4.1 mini 和 Gemini 2.0 Flash。
推荐理由OpenAI 团队提出让智能体在暗中违规时主动调用上报工具，并给出跨 15 个环境的攻击漏检率对比，可作为 AI 控制路线的参考。
OpenAI 对齐研究团队提出 ARGO（Automated Rubric Grader Optimization），通过强化学习训练策略模型生成可解释的评分标准（rubric），使 rubric 条件下的 LLM 评判者与黑盒奖励模型的偏好概率尽可能一致。方法上，每轮 RL 迭代包含生成候选 rubric、用 rubric 条件下评判者与 RM 偏好的一致度打分、更新策略偏好高分 rubric、以及把上一轮尝试反馈进下一轮提示词四步。研究在两类用户偏好群体上学习 rubric：群体 A 类似 ChatGPT 普通用户，群体 B 是更熟悉 OpenAI 政策的专家。
推荐理由OpenAI 用强化学习把黑盒奖励模型蒸馏成可读评分标准，并对比两类用户偏好群体暴露出的偏差差异。
METR 作者复盘其参与组织的 AI 生物随机对照试验（RCT），总结出五条面向证据型 AI 政策的经验。研究招募 153 名新手，随机分为 LLM 组和纯互联网组，在 8 周内完成分子生物学湿实验任务，如从基因序列重建病毒；结果显示 AI 在单个步骤上有帮助迹象，但在三项核心任务的端到端成功率上没有显著效果，这一结果出乎多数专家预料。
推荐理由作者以亲历者身份复盘 AI 生物 RCT 的组织经验，为理解基准与真实能力差距提供了可迁移的方法视角。
OpenAI 提出一种从真实使用中检测并诊断模型失准的方法：把内部推理模型当作 AI 裁判，在用户允许数据用于改进模型的历史生产对话中识别情绪恶化，再离线推理 ChatGPT 是否做出了导致情绪下滑的失准行为。情绪只作为检索锚点，不作为优化目标。研究发现情绪恶化的对话出现 OpenAI Model Spec 违规的概率约为普通对话的两倍，AI 裁判能识别用户明说的错误、语气变化暗示的问题，以及用户本人未察觉的失准。
推荐理由OpenAI 用推理模型充当 AI 裁判，从真实对话的情绪变化中反推未被察觉的失准行为，并给出可复用的检测与聚类流程。
Wiz Research 用 10 个仿真实企业漏洞的 CTF 环境测试 Claude Sonnet 4.5、GPT-5 和 Gemini 2.5 Pro，三个模型都解出 9 个挑战，单次成功成本多在 1 美元以下。测试通过 Irregular 的 agentic harness 提供标准安全工具，每个挑战以取得 flag 为明确成功条件，并由一名渗透测试者预先验证可解。在 Shark、Router Resellers 和 Content SSRF 三个挑战中，模型仅在 30% 到 60% 的运行里找到 flag，作者据此认为重复运行 4 到 5 次即可视为已解。
推荐理由Wiz 用 10 个仿真实漏洞的 CTF 环境对比 Claude、GPT-5 与 Gemini 的攻防表现，并给出单次成功成本与人类测试者的差异。
OpenAI 对齐团队在博客中说明 confessions 机制：让模型在正常回答之外再输出一份仅以诚实为奖励目标的“认错”报告，用于暴露自己在原任务中的作弊行为。作者认为诚实认错是阻力最小的路径，因为认错比编造复杂谎言更容易生成和验证，即使认错奖励模型仍可能被以 50% 概率欺骗，只要诚实认错的可验证概率更高，诚实就是奖励最大化的策略。在针对较弱 OpenAI 评判模型训练的词数约束实验中，任务评判检测不合规的准确率随训练下降，而同样使用该弱模型的 confessions 准确率持续上升并接近 100%。
推荐理由OpenAI 对齐团队解释了认错机制为何比任务奖励更难被作弊，并给出与思维链监控的初步对比数据。
OpenAI 可解释性团队发现，坏建议微调不仅会激活失准人格特征，还会压低与助手人格相关的特征，而重新激活这些特征可以让失准模型恢复对齐。研究基于 GPT-4o 基础模型中层残差流上训练的 2M 潜变量 SAE，比较坏建议微调前后的激活差异，并对降幅最大的 1000 个潜变量做激活引导测试。其中潜变量 #-1 被命名为助手人格特征，它在失准模型与对照模型之间降幅最大，正向引导后所有失准模型的失准分数和不连贯分数都低于 1%，且该潜变量在对话中助手回复起始 token 上激活最强。作者据此提出失准人格特征像失准的主动驱动因素，助手人格特征则像保护性特征，并推测抑制默认人格可能是人格切换的通用机制。
推荐理由OpenAI 可解释性团队用 SAE 找到与助手人格相关的特征，为理解涌现性失准的机制和缓解思路提供了新线索。