ทีมเรดทีมของ METR พบช่องโหว่ในระบบเฝ้าระวังของ OpenAI

เมื่อวันที่ 22 ตุลาคม 2026 METR และ Redwood Research เผยแพร่รายงานสาธารณะเกี่ยวกับการทดลองนำร่อง ซึ่งพนักงานจากแต่ละองค์กรแห่งละหนึ่งคนใช้เวลาสามสัปดาห์เข้าถึงโครงสร้างพื้นฐานภายในของ OpenAI ในระดับลึก เพื่อทดสอบระบบเฝ้าระวังการไม่สอดคล้องภายในของบริษัทอย่างเข้มข้น ผู้ประเมินรายงานว่าพบช่องโหว่ใหม่หลายประการในระบบตามสภาพที่เป็นอยู่ ณ วันที่ 21 กรกฎาคม 2026 และก่อนหน้านั้น

การทดลองดำเนินการตั้งแต่วันที่ 21 กรกฎาคมถึง 11 สิงหาคม 2026 โดยมุ่งประเมินเป็นหลักว่า การอนุมานแบบเอเจนต์มีสัดส่วนเท่าใดที่ได้รับการเฝ้าระวัง และโดยหลักการแล้วเอเจนต์จะปิดใช้หรือบ่อนทำลายระบบเฝ้าระวังได้หรือไม่ ผลการทดลองคือรายงานภายในความยาว 61 หน้า ซึ่งแบ่งปันให้กับนักวิจัยและเจ้าหน้าที่ฝ่ายความปลอดภัยของ OpenAI ส่วนฉบับความยาว 38 หน้าที่ OpenAI ปกปิดข้อมูลบางส่วนถูกแบ่งปันให้กับทีมผู้บริหารของ METR และ Redwood Research

การเข้าถึงระดับลึกภายใต้เงื่อนไขควบคุม

ผู้ประเมินทั้งสองคนเข้าถึงฐานโค้ดภายในของ OpenAI พรอมต์และรายละเอียดการกำหนดค่าของระบบตรวจจับการไม่สอดคล้อง ตลอดจนเอกสารภายใน และได้สัมภาษณ์เชิงเทคนิคกับนักวิจัยและวิศวกรประมาณ 12 คนจากทีมเฝ้าระวัง ระบบความปลอดภัย และความมั่นคงปลอดภัย เพื่อให้เข้าถึงข้อมูลในระดับดังกล่าว ทั้งสองทำงานบนอุปกรณ์ที่ OpenAI จัดหาให้ ซึ่งไม่เคยถูกนำออกนอกสถานที่ และมีผู้ติดตามขณะอยู่ในสถานที่ทำงาน

METR, Redwood Research และ OpenAI ออกแบบการทดลองนี้ให้เป็นโครงการนำร่องสำหรับเปิดโอกาสให้นักวิจัยภายนอกเข้าถึงโครงสร้างพื้นฐานภายในในระดับลึก ไม่ใช่เครื่องมือสำหรับสร้างความโปร่งใสต่อสาธารณะอย่างรอบด้านเกี่ยวกับระบบเฝ้าระวังของ OpenAI โดยทุกฝ่ายตกลงกันตั้งแต่แรกว่าจะเผยแพร่โพสต์สาธารณะที่ค่อนข้างสั้นและให้ข้อมูลในระดับภาพรวมเท่านั้น OpenAI มีสิทธิ์ปกปิดข้อมูลใด ๆ จากฉบับเผยแพร่ต่อสาธารณะตามดุลยพินิจแต่เพียงผู้เดียว หากเห็นว่าข้อมูลนั้นเป็นความลับหรือมีความอ่อนไหวในลักษณะอื่น ผลการค้นพบอธิบายระบบในอดีตที่ได้รับการประเมิน ณ วันที่ 21 กรกฎาคมและก่อนหน้านั้น โดยไม่ได้ประเมินการเปลี่ยนแปลงที่กำลังดำเนินการอยู่ในขณะนั้น ทั้งนี้ METR ระบุว่า OpenAI กำลังขยายระบบเฝ้าระวังระหว่างการทดลอง

ช่องว่างในการครอบคลุมและแนวทางหลบเลี่ยงระบบเฝ้าระวัง

METR ประเมินว่า ในช่วงที่ทำการทดลอง มีการอนุมานแบบเอเจนต์ผ่าน Responses API ภายในจากโมเดลที่มีความสามารถอย่างน้อยเทียบเท่า GPT-5.5 ราว 75–94% ที่เข้าเกณฑ์การเฝ้าระวัง พร้อมยอมรับว่าตัวเลขดังกล่าวมีความไม่แน่นอนสูงทั้งในด้านค่าที่อาจต่ำกว่าและสูงกว่า Responses API รองรับการทำงานของ Codex และบริการอื่น ๆ โดยผู้ประเมินประเมินว่า ภายในกลุ่มย่อยของทราฟฟิกดังกล่าวที่ใช้กับเอเจนต์ Codex ภายใน มี 99.2% ที่เข้าเกณฑ์การเฝ้าระวัง พวกเขาระบุว่าไม่สามารถประเมินปริมาณทราฟฟิกการเขียนโค้ดแบบเอเจนต์ภายในประเภทอื่น ๆ ที่ทราบว่ามีอยู่ได้ เช่น ทราฟฟิกจากเอเจนต์ที่ทำงานบนบริการอนุมานสำหรับการวิจัยภายในของ OpenAI เนื่องจากข้อจำกัดด้านการเข้าถึงและเวลา

ผลการค้นพบหลายประการเกี่ยวข้องกับช่องว่างในการครอบคลุมดังกล่าว ในช่วงเริ่มต้นการทดลอง ระบบเฝ้าระวังยังไม่ครอบคลุมการฝึกแบบเสริมแรง แม้ผู้ประเมินจะได้รับแจ้งว่ามีการเฝ้าระวังชุดย่อยของการดำเนินการต่อเนื่องระหว่างการฝึกแบบเสริมแรงเพื่อหาการไม่สอดคล้องในช่วงเดือนมีนาคมถึงมิถุนายน METR ประเมินว่าการไม่เฝ้าระวังเหตุการณ์การบีบอัดบริบทน่าจะทำให้ทราฟฟิกภายในของ Codex ที่เข้าเกณฑ์การเฝ้าระวังราว 10% ไม่ได้รับการเฝ้าระวังในช่วงเดือนพฤษภาคมถึงกรกฎาคม 2026 โดยเจ้าหน้าที่ OpenAI ระบุช่องว่างนี้ได้เองก่อนเริ่มการทดลอง และแก้ไขในระหว่างการทดลอง เนื่องจากระบบจะเริ่มทำงานเมื่อเอเจนต์ส่งคืนการควบคุมให้ผู้ใช้ เอเจนต์จึงอาจเลื่อนการถูกเฝ้าระวังออกไปได้อย่างไม่มีกำหนด เพียงแค่ทำงานต่อไปในช่วงนั้น อย่างไรก็ตาม ข้อจำกัดในการเข้าถึงทำให้ผู้ประเมินตรวจสอบไม่ได้ว่าในทางปฏิบัติมีเอเจนต์ใดทำเช่นนั้นหรือไม่ นอกจากนี้ ผู้ประเมินยังได้รับข้อมูลที่บ่งชี้ว่า ในช่วงเวลาที่ทำการทดลอง ระบบเฝ้าระวังเกิดข้อผิดพลาดกับคำขอน้อยกว่า 0.2% และไม่มีการตัดคำขอเพื่อควบคุมภาระระบบในช่วงเวลา 24 ชั่วโมงหนึ่งช่วง

ผู้ประเมินยังพบวิธีที่เอเจนต์อาจใช้หลบเลี่ยงการเฝ้าระวังได้โดยตรง พวกเขาพบวิธีที่เอเจนต์ Codex อาจใช้ข้ามระบบแซนด์บ็อกซ์ของ Codex และ Auto-Review ได้ในทางหลักการ เพื่อดำเนินการใด ๆ ที่ผู้ใช้เครื่องโฮสต์สามารถทำได้ อีกทั้งยังพบช่องโหว่หนึ่งรายการ ซึ่ง OpenAI ปกปิดรายละเอียดไว้ ที่ทำให้การกระทำล่าสุดหลายร้อยรายการ รวมถึงการกระทำที่ใช้ก่อช่องโหว่นั้นเอง ไม่ได้รับการเฝ้าระวัง พวกเขาพบว่าเอเจนต์น่าจะสร้างอินพุตที่ทำให้ระบบเฝ้าระวังทำงานล้มเหลวได้ และด้วยเหตุนี้จึงหลีกเลี่ยงการส่งเรื่องให้มนุษย์ตรวจสอบ โดยอาศัยความแตกต่างระหว่างวิธีจัดลำดับข้อมูลเส้นทางการทำงานสำหรับเอเจนต์กับวิธีจัดลำดับข้อมูลดังกล่าวสำหรับระบบเฝ้าระวัง นอกจากนี้ ยังพบส่วนหัวสองรายการที่ไคลเอนต์ควบคุมได้และแยกจากกัน โดยสามารถปิดระบบเฝ้าระวังสำหรับเอเจนต์ใหม่ได้ ซึ่งอาจทำให้เอเจนต์เริ่มอินสแตนซ์ที่เหมือนเดิมทุกประการแต่ทำงานโดยไม่มีการเฝ้าระวังได้ อย่างไรก็ตาม การตั้งค่าส่วนหัวเหล่านั้นและการสร้างอินสแตนซ์เองก็อาจถูกระบบเฝ้าระวังตรวจพบได้เช่นกัน สุดท้าย พวกเขาพบเครื่องมือแบบเอเจนต์ภายในสองรายการที่ไม่มีการเฝ้าระวัง ซึ่งเชื่อว่ามีสิทธิ์อ่านข้อมูลได้อย่างเดียว แต่ช่องโหว่แบบง่าย ๆ อาจใช้บ่อนทำลายเครื่องมือเหล่านี้เพื่อดำเนินการใด ๆ ก็ได้ภายในสภาพแวดล้อมแซนด์บ็อกซ์ของตนเอง ทั้งนี้ ผู้ประเมินไม่ได้ยืนยันหรือตรวจสอบพฤติกรรมดังกล่าวในทางปฏิบัติ

นอกเหนือจากการค้นพบช่องโหว่แล้ว ผู้ประเมินยังตรวจยืนยันว่า แม้จะมีข้อยกเว้นเล็กน้อยอยู่บ้าง แต่ระบบติดตามตรวจสอบได้รับข้อมูลเส้นทางการทำงานทั้งหมดเช่นเดียวกับที่เอเจนต์เห็น และยังตรวจสอบยืนยันว่าพรอมป์ต์ของระบบติดตามตรวจสอบมุ่งค้นหาพฤติกรรมวางแผนการกระทำแอบแฝง การบ่อนทำลายระบบติดตามตรวจสอบ การก่อวินาศกรรม การลักลอบนำข้อมูลออก การหลอกลวง และการฉีดพรอมป์ต์ทั้งขาเข้าและขาออก ตลอดจนความเสี่ยงประเภทอื่น ๆ นับตั้งแต่การทดสอบสิ้นสุดลง OpenAI ระบุว่าได้แก้ไขช่องโหว่ทั้งหมดที่ตรวจพบและส่งผลกระทบต่อระบบมาตรการป้องกันที่ใช้งานจริงแล้ว พร้อมอธิบายถึงการเปลี่ยนแปลงสำคัญที่เกิดขึ้นหลังจากนั้นเกี่ยวกับขอบเขตการทำงานที่ตั้งใจไว้ของระบบติดตามตรวจสอบ METR ระบุว่ายังไม่ได้ประเมินข้อกล่าวอ้างเหล่านั้น

ระบบติดตามตรวจสอบตามที่ OpenAI อธิบายไว้

OpenAI อธิบายระบบที่นำมาทดสอบต่อสาธารณะในโพสต์เมื่อวันที่ 19 มีนาคม 2026 ตามโพสต์ดังกล่าว ระบบที่มีเวลาแฝงต่ำนี้ขับเคลื่อนด้วย GPT-5.4 Thinking โดยใช้ความพยายามในการให้เหตุผลระดับสูงสุด ระบบจะตรวจสอบการโต้ตอบของเอเจนต์ภายใน 30 นาทีหลังการโต้ตอบเสร็จสิ้น พร้อมบันทึกและวิเคราะห์ห่วงโซ่ความคิดและการกระทำของเอเจนต์ จัดหมวดหมู่การโต้ตอบแต่ละครั้ง กำหนดระดับความรุนแรง และแจ้งสิ่งผิดปกติให้มนุษย์ตรวจสอบ OpenAI ระบุว่าระบบทำงานครอบคลุมการติดตั้งใช้งานเอเจนต์เขียนโค้ดภายในทั้งหมดที่เป็นมาตรฐาน โดยมองเห็นประวัติการสนทนาทั้งหมด ซึ่งรวมถึงข้อความของผู้ใช้ นักพัฒนา และผู้ช่วย ตลอดจนการเรียกใช้เครื่องมือและผลลัพธ์ที่ได้

โพสต์ของ OpenAI ระบุหมวดหมู่พฤติกรรมที่ระบบติดตามตรวจสอบ ซึ่งรวมถึงการหลีกเลี่ยงข้อจำกัด การหลอกลวง การปกปิดความไม่แน่นอน การแฮกรางวัล การถ่ายโอนข้อมูลโดยไม่ได้รับอนุญาต การกระทำที่ก่อให้เกิดความเสียหาย และการฉีดพรอมป์ต์ทั้งขาเข้าและขาออก อีกทั้งรายงานว่า ณ วันที่ 17 มีนาคม 2026 ยังไม่พบผลบวกจริงในกรณีการจงใจทำงานให้แย่ลง การก่อวินาศกรรม หรือการวางแผนการกระทำแอบแฝง ตลอดระยะเวลาการทำงานห้าเดือน OpenAI ระบุว่าระบบติดตามเส้นทางการทำงานของเอเจนต์เขียนโค้ดภายในหลายสิบล้านรายการ ส่งต่อการสนทนาประมาณ 1,000 รายการที่มีความรุนแรงระดับปานกลางให้มนุษย์ตรวจสอบ ซึ่งหลายรายการมาจากการทดสอบโจมตีระบบภายในโดยเจตนา และไม่มีการสนทนาจริงแม้แต่รายการเดียวที่กระตุ้นระดับความรุนแรงสูงสุด นอกจากนี้ บริษัทยังระบุว่าระบบติดตามตรวจสอบแจ้งเตือนการโต้ตอบทุกครั้งที่พนักงานรายงานผ่านช่องทางภายในด้วยตนเอง

ในโพสต์ OpenAI ระบุว่าแนวทางนี้ต้องอาศัยความสามารถในการติดตามตรวจสอบเป็นสำคัญ และบริษัทไม่สามารถประเมินอัตราผลลบลวงของการรับส่งข้อมูลจริงที่มีลักษณะเปิดกว้างได้อย่างมั่นใจ หากไม่มีการประเมินการควบคุมและการทดสอบโจมตีระบบโดยเฉพาะ โดยอธิบายว่าการติดตามตรวจสอบเป็นเพียงชั้นหนึ่งในระบบการป้องกันเชิงลึก แผนงานที่ระบุไว้ประกอบด้วยการประเมินการควบคุม การกำหนดมาตรฐานด้านความน่าเชื่อถือและเวลาแฝงที่ยอมรับได้สำหรับระบบติดตามตรวจสอบและผู้ตรวจสอบที่เป็นมนุษย์ ตลอดจนการขยายไปสู่การสกัดกั้นแบบเรียลไทม์ ซึ่งจะประเมินการกระทำของโมเดลและบล็อกการกระทำนั้นก่อนดำเนินการ

หลักการออกแบบสำหรับระบบติดตามตรวจสอบในอนาคต

จากผลการค้นพบ ผู้ประเมินได้เสนอหลักการออกแบบสำหรับระบบติดตามตรวจสอบและระบบควบคุม โดยระบุว่า ในมุมมองของพวกเขา โครงสร้างพื้นฐานสำหรับการติดตามตรวจสอบในอนาคตควรได้รับการออกแบบให้รับมือกับการโจมตีโดยเจตนาและต่อเนื่อง ซึ่งเอเจนต์ที่มีความสามารถสูงและทำงานอยู่ภายในองค์กรเป็นผู้วางแผนเชิงกลยุทธ์และโจมตีในวงกว้าง หลักการทั้งห้าข้อกำหนดให้ทำให้การหลบเลี่ยงการติดตามตรวจสอบเป็นเรื่องยาก ตรวจสอบให้แน่ใจว่าข้อมูลที่ควรได้รับการติดตามนั้นได้รับการติดตามจริง ตอบสนองต่อเหตุการณ์ได้อย่างรวดเร็วและเชื่อถือได้ ทดสอบโจมตีระบบติดตามตรวจสอบอย่างจริงจัง และบังคับใช้การแยกเอเจนต์ออกจากระบบติดตามตรวจสอบ แนวปฏิบัติเฉพาะที่กล่าวถึง ได้แก่ การติดตามเอเจนต์ทุก ๆ จำนวนข้อความหรือทุก ๆ ช่วงเวลาที่กำหนด แทนที่จะรอให้เอเจนต์จบรอบการทำงาน การจัดทำรายการวิธีหลบเลี่ยงการติดตามตรวจสอบทั้งหมดที่ทราบ การเก็บบันทึกที่ป้องกันการแก้ไขและค้นหาได้ และการเรียกใช้โครงระบบของเอเจนต์ในสภาพแวดล้อมที่แยกออกจากบริเวณที่มีการเรียกใช้เครื่องมือ

METR ระบุว่าการทดสอบครั้งนี้ได้รับประโยชน์อย่างมากจากการเข้าถึงข้อมูลอย่างลึกซึ้ง รวมถึงการสนับสนุนด้านการจัดการและเทคนิคจากเจ้าหน้าที่ OpenAI อย่างมาก สำหรับการทดสอบครั้งต่อไป METR คาดว่าจะปฏิบัติตามแนวปฏิบัติที่ดีด้านความโปร่งใสและความเป็นอิสระซึ่งระบุไว้ในเอกสาร “แนวทางการทำงานร่วมกับบริษัท AI” เพื่อให้เกิดความโปร่งใสต่อสาธารณะอย่างรอบด้านยิ่งขึ้น