Η ομάδα red team της METR εντοπίζει ευπάθειες στο σύστημα παρακολούθησης της OpenAI

Στις 22 Οκτωβρίου 2026, η METR και η Redwood Research δημοσίευσαν μια δημόσια αναφορά για πιλοτική άσκηση, στο πλαίσιο της οποίας ένας υπάλληλος από κάθε οργανισμό πέρασε τρεις εβδομάδες αποκτώντας εκτενή πρόσβαση στην εσωτερική υποδομή της OpenAI και δοκιμάζοντας εντατικά το εσωτερικό σύστημα της εταιρείας για την παρακολούθηση της μη ευθυγράμμισης. Οι αξιολογητές ανέφεραν ότι εντόπισαν αρκετές νέες ευπάθειες στο σύστημα όπως λειτουργούσε έως και τις 21 Ιουλίου 2026.

Η άσκηση διήρκεσε από τις 21 Ιουλίου έως τις 11 Αυγούστου 2026 και επικεντρώθηκε κυρίως στην εκτίμηση του ποσοστού της συναγωγής μέσω πρακτόρων που παρακολουθείται, καθώς και στο κατά πόσο οι πράκτορες θα μπορούσαν, κατ’ αρχήν, να απενεργοποιήσουν ή να υπονομεύσουν το σύστημα παρακολούθησης. Το αποτέλεσμά της ήταν μια εσωτερική έκθεση 61 σελίδων, η οποία κοινοποιήθηκε σε ερευνητές και στελέχη ασφαλείας της OpenAI· μια εκδοχή 38 σελίδων, με περικοπές από την OpenAI, κοινοποιήθηκε στις διοικητικές ομάδες της METR και της Redwood Research.

Εκτενής πρόσβαση υπό ελεγχόμενους όρους

Οι δύο αξιολογητές είχαν πρόσβαση στον εσωτερικό κώδικα της OpenAI, στις προτροπές και στις λεπτομέρειες διαμόρφωσης του συστήματος παρακολούθησης της μη ευθυγράμμισης, καθώς και στην εσωτερική τεκμηρίωση. Πραγματοποίησαν επίσης τεχνικές συνεντεύξεις με περίπου δώδεκα ερευνητές και μηχανικούς από τις ομάδες παρακολούθησης, συστημάτων ασφάλειας και ασφαλείας. Για να καταστεί δυνατή αυτή η πρόσβαση, εργάστηκαν με συσκευές που τους παρείχε η OpenAI, οι οποίες δεν έβγαιναν ποτέ από τις εγκαταστάσεις της, και συνοδεύονταν όσο βρίσκονταν εκεί.

Η METR, η Redwood Research και η OpenAI σχεδίασαν την άσκηση ως πιλοτική προσπάθεια παροχής εκτενούς πρόσβασης σε εσωτερική υποδομή σε εξωτερικούς ερευνητές και όχι ως μέσο για την επίτευξη ουσιαστικής δημόσιας διαφάνειας σχετικά με τα συστήματα παρακολούθησης της OpenAI. Τα μέρη συμφώνησαν εξαρχής να δημοσιεύσουν μόνο μια σχετικά σύντομη δημόσια ανάρτηση υψηλού επιπέδου. Η OpenAI διατηρούσε το δικαίωμα να αφαιρεί από τη δημόσια εκδοχή οποιαδήποτε πληροφορία έκρινε, κατά την αποκλειστική της διακριτική ευχέρεια, εμπιστευτική ή άλλως ευαίσθητη. Τα ευρήματα περιγράφουν το ιστορικό σύστημα που αξιολογήθηκε έως και τις 21 Ιουλίου και δεν εξετάζουν αλλαγές που βρίσκονταν τότε σε εξέλιξη· η METR σημείωσε ότι η OpenAI επέκτεινε το σύστημα παρακολούθησής της κατά τη διάρκεια της άσκησης.

Κενά κάλυψης και τρόποι παράκαμψης του συστήματος παρακολούθησης

Η METR εκτίμησε ότι, κατά τον χρόνο της άσκησης, περίπου το 75–94% της εσωτερικής κίνησης του Responses API που αφορούσε χρήση πρακτόρων από μοντέλα τουλάχιστον εξίσου ισχυρά με το GPT-5.5 ήταν επιλέξιμο για παρακολούθηση, αναγνωρίζοντας παράλληλα ότι υπήρχε σημαντική αβεβαιότητα και προς τις δύο κατευθύνσεις. Το Responses API υποστηρίζει, μεταξύ άλλων, το Codex, και οι αξιολογητές εκτίμησαν ότι στο υποσύνολο αυτής της κίνησης που χρησιμοποιούνταν από εσωτερικούς πράκτορες Codex, το 99,2% ήταν επιλέξιμο για παρακολούθηση. Ανέφεραν ότι δεν μπόρεσαν να εκτιμήσουν τον όγκο άλλης εσωτερικής κίνησης κωδικοποίησης μέσω πρακτόρων, την οποία γνώριζαν ότι υπήρχε, όπως εκείνη των πρακτόρων που λειτουργούσαν στην εσωτερική υπηρεσία ερευνητικής συναγωγής της OpenAI, λόγω περιορισμών πρόσβασης και χρόνου.

Αρκετά ευρήματα αφορούσαν κενά σε αυτή την κάλυψη. Κατά την έναρξη της άσκησης, οι εκτελέσεις εκπαίδευσης με ενισχυτική μάθηση δεν καλύπτονταν από το σύστημα παρακολούθησης, αν και οι αξιολογητές ενημερώθηκαν ότι ένα υποσύνολο των εκτελέσεων εκπαίδευσης RL είχε παρακολουθηθεί για ενδείξεις μη ευθυγράμμισης από τον Μάρτιο έως τον Ιούνιο. Η METR εκτίμησε ότι η μη παρακολούθηση των συμβάντων συμπίεσης πιθανότατα άφησε χωρίς παρακολούθηση περίπου το 10% της επιλέξιμης εσωτερικής κίνησης του Codex μεταξύ Μαΐου και Ιουλίου 2026. Το κενό αυτό είχε εντοπιστεί ανεξάρτητα από το προσωπικό της OpenAI πριν από την έναρξη της άσκησης και διορθώθηκε κατά τη διάρκειά της. Επειδή το σύστημα ενεργοποιούνταν όταν οι πράκτορες επέστρεφαν τον έλεγχο στον χρήστη, οι πράκτορες θα μπορούσαν να αναβάλουν επ’ αόριστον την παρακολούθησή τους, απλώς συνεχίζοντας να ενεργούν στο μεταξύ· οι περιορισμοί πρόσβασης δεν επέτρεψαν στους αξιολογητές να ελέγξουν αν κάποιος πράκτορας το είχε κάνει στην πράξη. Ξεχωριστά, οι αξιολογητές είδαν στοιχεία που υποδείκνυαν ότι, κατά τον χρόνο της άσκησης, το σύστημα παρακολούθησης παρουσίαζε σφάλμα σε λιγότερο από το 0,2% των αιτημάτων και ότι δεν είχαν καταγραφεί απορρίψεις λόγω φόρτου σε μία περίοδο 24 ωρών.

Οι αξιολογητές εντόπισαν επίσης τρόπους με τους οποίους ένας πράκτορας θα μπορούσε να παρακάμψει πλήρως την παρακολούθηση. Βρήκαν μια μέθοδο με την οποία οι πράκτορες Codex θα μπορούσαν, κατ’ αρχήν, να παρακάμψουν την απομόνωση του Codex και το Auto-Review, ώστε να εκτελέσουν οποιαδήποτε ενέργεια είναι διαθέσιμη στον χρήστη του κεντρικού συστήματος, καθώς και ένα exploit, τις λεπτομέρειες του οποίου απέκρυψε η OpenAI, που θα απέτρεπε την παρακολούθηση εκατοντάδων πρόσφατων ενεργειών, συμπεριλαμβανομένων όσων απαιτούνταν για την εκτέλεση του ίδιου του exploit. Διαπίστωσαν ότι οι πράκτορες θα μπορούσαν πιθανότατα να δημιουργήσουν εισόδους που προκαλούν αστοχία του συστήματος παρακολούθησης και έτσι να αποφύγουν την παραπομπή για ανθρώπινο έλεγχο, εκμεταλλευόμενοι τις διαφορές στον τρόπο με τον οποίο σειριοποιείται η ακολουθία ενεργειών για τον πράκτορα και για το σύστημα παρακολούθησης. Εντόπισαν δύο κεφαλίδες, ελεγχόμενες από τον client, που μπορούν ανεξάρτητα να απενεργοποιήσουν το σύστημα παρακολούθησης για νέους πράκτορες, δίνοντας τη δυνατότητα σε έναν πράκτορα να εκκινήσει μια κατά τα άλλα πανομοιότυπη μη παρακολουθούμενη παρουσία· ωστόσο, το ίδιο το γεγονός ότι ορίζονται αυτές οι κεφαλίδες και δημιουργείται η παρουσία θα μπορούσε να εντοπιστεί από το σύστημα παρακολούθησης. Τέλος, βρήκαν δύο μη παρακολουθούμενα εσωτερικά εργαλεία για πράκτορες, τα οποία θεωρούνταν ότι διέθεταν μόνο δικαιώματα ανάγνωσης, αλλά θα μπορούσαν να υπονομευτούν με ένα απλό exploit ώστε να εκτελούν αυθαίρετες ενέργειες στο απομονωμένο περιβάλλον τους· οι αξιολογητές δεν επαλήθευσαν ούτε δοκίμασαν αυτή τη συμπεριφορά στην πράξη.

Παράλληλα με τις ευπάθειες, οι αξιολογητές επιβεβαίωσαν ότι, με λίγες μικρές εξαιρέσεις, το σύστημα παρακολούθησης έχει στη διάθεσή του ολόκληρη τη διαδρομή ενεργειών που βλέπουν οι πράκτορες. Επαλήθευσαν επίσης ότι οι προτροπές του συστήματος παρακολούθησης αναζητούν, μεταξύ άλλων κατηγοριών κινδύνου, σχεδιασμό δόλιων ενεργειών, υπονόμευση του συστήματος παρακολούθησης, δολιοφθορά, εξαγωγή δεδομένων, εξαπάτηση και εισερχόμενες και εξερχόμενες επιθέσεις μέσω προτροπών. Μετά το τέλος της άσκησης, η OpenAI δήλωσε ότι έχουν διορθωθεί όλες οι ευπάθειες που εντοπίστηκαν και επηρεάζουν τη στοίβα μέτρων ασφαλείας παραγωγής της, ενώ περιέγραψε σημαντικές μεταγενέστερες αλλαγές στην προβλεπόμενη κάλυψη του συστήματος παρακολούθησής της. Η METR δήλωσε ότι δεν έχει αξιολογήσει αυτούς τους ισχυρισμούς.

Το σύστημα παρακολούθησης όπως το περιέγραψε η OpenAI

Η OpenAI περιέγραψε δημόσια το σύστημα που δοκιμάστηκε σε ανάρτηση της 19ης Μαρτίου 2026. Σύμφωνα με την ανάρτηση, το σύστημα χαμηλής καθυστέρησης βασίζεται στο GPT-5.4 Thinking με τη μέγιστη προσπάθεια συλλογισμού, εξετάζει τις αλληλεπιδράσεις των πρακτόρων εντός 30 λεπτών από την ολοκλήρωσή τους και καταγράφει και αναλύει τις αλυσίδες σκέψης και τις ενέργειές τους, κατηγοριοποιώντας κάθε αλληλεπίδραση, αποδίδοντάς της επίπεδο σοβαρότητας και επισημαίνοντας ανωμαλίες για ανθρώπινο έλεγχο. Η OpenAI δήλωσε ότι το σύστημα λειτουργεί σε όλες τις συνήθεις εσωτερικές εγκαταστάσεις πρακτόρων κωδικοποίησης και εξετάζει το πλήρες ιστορικό συνομιλιών, συμπεριλαμβανομένων όλων των μηνυμάτων χρηστών, προγραμματιστών και βοηθών, καθώς και των κλήσεων προς εργαλεία και των αποτελεσμάτων τους.

Η ανάρτηση της OpenAI απαριθμεί κατηγορίες συμπεριφοράς που παρακολουθούνται, όπως η παράκαμψη περιορισμών, η εξαπάτηση, η απόκρυψη αβεβαιότητας, η χειραγώγηση της ανταμοιβής, η μη εξουσιοδοτημένη μεταφορά δεδομένων, οι καταστροφικές ενέργειες και οι εισερχόμενες και εξερχόμενες επιθέσεις μέσω προτροπών. Αναφέρει επίσης ότι έως τις 17 Μαρτίου 2026 δεν είχε καταγραφεί κανένα αληθώς θετικό εύρημα για σκόπιμη υποαπόδοση, δολιοφθορά ή σχεδιασμό δόλιων ενεργειών. Κατά τους πέντε μήνες λειτουργίας του, σύμφωνα με την OpenAI, το σύστημα παρακολούθησε δεκάδες εκατομμύρια διαδρομές εσωτερικών εργασιών κωδικοποίησης από πράκτορες, παρέπεμψε για ανθρώπινο έλεγχο περίπου 1.000 συνομιλίες με μέτριο επίπεδο σοβαρότητας —πολλές από τις οποίες προέρχονταν από εσκεμμένες εσωτερικές ασκήσεις red-teaming— και δεν κατέγραψε καμία πραγματική συνομιλία που να ενεργοποιεί το υψηλότερο επίπεδο σοβαρότητας. Η εταιρεία δήλωσε επίσης ότι το σύστημα παρακολούθησης είχε επισημάνει κάθε αλληλεπίδραση που ανέφεραν ανεξάρτητα οι εργαζόμενοι μέσω εσωτερικών διαύλων.

Στην ανάρτησή της, η OpenAI δήλωσε ότι η προσέγγιση βασίζεται καθοριστικά στη δυνατότητα παρακολούθησης και ότι δεν μπορεί να υπολογίσει με βεβαιότητα τα ποσοστά ψευδώς αρνητικών αποτελεσμάτων σε ανοιχτής μορφής κίνηση πραγματικών συνθηκών χωρίς ειδικές αξιολογήσεις ελέγχου και ασκήσεις red-teaming. Περιέγραψε την παρακολούθηση ως ένα επίπεδο μιας πολυεπίπεδης στοίβας άμυνας. Ο οδικός χάρτης που παρουσίασε περιλάμβανε αξιολογήσεις ελέγχου, πρότυπα αποδεκτής αξιοπιστίας και καθυστέρησης για τα συστήματα παρακολούθησης και τους ανθρώπινους αξιολογητές, καθώς και επέκταση προς τον σύγχρονο αποκλεισμό, ο οποίος θα αξιολογεί τις ενέργειες του μοντέλου και θα τις αποκλείει πριν από την εκτέλεσή τους.

Σχεδιαστικές αρχές για μελλοντικά συστήματα παρακολούθησης

Με βάση τα ευρήματα, οι αξιολογητές διατύπωσαν σχεδιαστικές αρχές για συστήματα παρακολούθησης και ελέγχου, σημειώνοντας ότι, κατά την άποψή τους, οι μελλοντικές υποδομές παρακολούθησης θα πρέπει να σχεδιάζονται ώστε να αντέχουν σε σκόπιμες και παρατεταμένες επιθέσεις, οι οποίες εκτελούνται στρατηγικά και σε μεγάλη κλίμακα από ιδιαίτερα ικανούς πράκτορες που λειτουργούν εντός ενός οργανισμού. Οι πέντε αρχές προβλέπουν να είναι δύσκολη η αποφυγή της παρακολούθησης, να διασφαλίζεται ότι πράγματι παρακολουθείται η κίνηση που προορίζεται για παρακολούθηση, να υπάρχει ταχεία και αξιόπιστη ανταπόκριση σε περιστατικά, να διεξάγονται ενεργά ασκήσεις red-teaming του συστήματος παρακολούθησης και να επιβάλλεται απομόνωση μεταξύ των πρακτόρων και των συστημάτων παρακολούθησής τους. Στις συγκεκριμένες πρακτικές που περιγράφονται περιλαμβάνονται η παρακολούθηση των πρακτόρων ανά προκαθορισμένο αριθμό μηνυμάτων ή λεπτών, αντί της αναμονής μέχρι να ολοκληρώσουν τις σειρές ενεργειών τους, η τήρηση καταλόγου με όλους τους γνωστούς τρόπους παράκαμψης της παρακολούθησης, η διατήρηση αρχείων καταγραφής που δεν μπορούν να παραποιηθούν και επιδέχονται αναζήτηση, καθώς και η εκτέλεση των περιβαλλόντων εκτέλεσης των πρακτόρων σε περιβάλλον απομονωμένο από εκείνο όπου εκτελούνται οι κλήσεις προς εργαλεία.

Η METR δήλωσε ότι η άσκηση ωφελήθηκε σημαντικά από το βάθος της πρόσβασης, καθώς και από την ουσιαστική υλικοτεχνική και τεχνική υποστήριξη του προσωπικού της OpenAI. Για μελλοντικές εκδοχές της άσκησης, η METR δήλωσε ότι αναμένει να ακολουθήσει τις βέλτιστες πρακτικές διαφάνειας και ανεξαρτησίας που περιγράφονται στο έγγραφό της «Η προσέγγισή μας στη συνεργασία με εταιρείες ΤΝ», ώστε να παρέχει πιο ολοκληρωμένη δημόσια διαφάνεια.