Nhóm kiểm thử đối kháng của METR phát hiện lỗ hổng trong hệ thống giám sát của OpenAI

METR và Redwood Research đã công bố bản tường thuật công khai về một cuộc thử nghiệm thí điểm vào ngày 22 tháng 10 năm 2026. Trong cuộc thử nghiệm, mỗi tổ chức cử một nhân viên dành ba tuần tiếp cận sâu vào hạ tầng nội bộ của OpenAI để kiểm tra sức chịu đựng của hệ thống giám sát nội bộ về hành vi lệch chuẩn của công ty. Nhóm đánh giá cho biết đã phát hiện một số lỗ hổng mới trong hệ thống ở trạng thái vào và trước ngày 21 tháng 7 năm 2026.

Cuộc thử nghiệm diễn ra từ ngày 21 tháng 7 đến ngày 11 tháng 8 năm 2026, chủ yếu tập trung ước tính tỷ lệ hoạt động suy luận của tác tử được giám sát và xem liệu về nguyên tắc, các tác tử có thể vô hiệu hóa hoặc phá hoại hệ thống giám sát hay không. Kết quả là một báo cáo nội bộ dài 61 trang, được chia sẻ với các nhà nghiên cứu và nhân viên an ninh của OpenAI; một phiên bản dài 38 trang đã được OpenAI biên tập lược bỏ thông tin được chia sẻ với ban lãnh đạo của METR và Redwood Research.

Quyền truy cập sâu theo các điều khoản kiểm soát

Hai người đánh giá được tiếp cận cơ sở mã nội bộ, lời nhắc và thông tin cấu hình của hệ thống giám sát hành vi lệch chuẩn, cùng tài liệu nội bộ của OpenAI; họ cũng phỏng vấn kỹ thuật khoảng một chục nhà nghiên cứu và kỹ sư thuộc các nhóm giám sát, hệ thống an toàn và an ninh. Để có được mức độ tiếp cận này, họ làm việc trên các thiết bị do OpenAI cấp, không bao giờ được đưa ra khỏi khuôn viên công ty, và luôn có người đi cùng khi làm việc tại chỗ.

METR, Redwood Research và OpenAI thiết kế cuộc thử nghiệm như một chương trình thí điểm nhằm cho phép các nhà nghiên cứu bên ngoài tiếp cận sâu vào hạ tầng nội bộ, chứ không phải để tạo điều kiện cho sự minh bạch công khai toàn diện về các hệ thống giám sát của OpenAI. Các bên đã thống nhất từ trước rằng chỉ công bố một bài viết công khai tương đối ngắn gọn, ở mức khái quát. OpenAI có quyền lược bỏ khỏi phiên bản công khai bất kỳ thông tin nào mà theo toàn quyền quyết định của mình, công ty xác định là bảo mật hoặc nhạy cảm theo cách khác. Các phát hiện mô tả hệ thống trong quá khứ, được đánh giá vào và trước ngày 21 tháng 7, và không đánh giá những thay đổi đang được triển khai vào thời điểm đó; METR lưu ý rằng OpenAI đã mở rộng hệ thống giám sát trong thời gian diễn ra cuộc thử nghiệm.

Những khoảng trống trong phạm vi giám sát và cách qua mặt hệ thống

METR ước tính rằng vào thời điểm diễn ra cuộc thử nghiệm, khoảng 75–94% lưu lượng Responses API nội bộ có hoạt động của tác tử, xuất phát từ các mô hình mạnh ít nhất ngang GPT-5.5, đủ điều kiện được giám sát; đồng thời, tổ chức này thừa nhận mức độ bất định đáng kể theo cả hai chiều. Responses API vận hành Codex cùng nhiều sản phẩm khác; trong nhóm lưu lượng được các tác tử Codex nội bộ sử dụng, nhóm đánh giá ước tính 99,2% đủ điều kiện được giám sát. Họ cho biết không thể ước tính khối lượng những lưu lượng lập trình nội bộ khác có hoạt động của tác tử mà họ biết đến, chẳng hạn như lưu lượng từ các tác tử chạy trên dịch vụ suy luận nghiên cứu nội bộ của OpenAI, do hạn chế về quyền truy cập và thời gian.

Một số phát hiện liên quan đến những lỗ hổng trong phạm vi giám sát đó. Khi cuộc đánh giá bắt đầu, các đợt huấn luyện học tăng cường chưa được hệ thống giám sát theo dõi, dù các nhà đánh giá được thông tin rằng một số lượt chạy huấn luyện RL đã được giám sát để phát hiện tình trạng lệch hướng trong khoảng thời gian từ tháng 3 đến tháng 6. METR ước tính rằng việc không giám sát các sự kiện rút gọn ngữ cảnh có thể đã khiến khoảng 10% lưu lượng Codex nội bộ đủ điều kiện không được giám sát trong khoảng thời gian từ tháng 5 đến tháng 7 năm 2026; nhân viên OpenAI đã độc lập phát hiện lỗ hổng này trước khi cuộc đánh giá bắt đầu và khắc phục trong quá trình đánh giá. Vì hệ thống được kích hoạt khi các tác nhân trao lại quyền điều khiển cho người dùng, các tác nhân có thể trì hoãn việc bị giám sát vô thời hạn chỉ bằng cách tiếp tục hoạt động trong khoảng thời gian đó; do những hạn chế về quyền truy cập, các nhà đánh giá không thể xác minh liệu trên thực tế có tác nhân nào làm như vậy hay không. Riêng biệt, các nhà đánh giá được xem thông tin cho thấy tại thời điểm cuộc đánh giá diễn ra, hệ thống giám sát gặp lỗi với chưa đến 0,2% yêu cầu và ghi nhận không có lần nào phải loại bỏ tải trong một khoảng thời gian 24 giờ.

Nhóm đánh giá cũng xác định được những cách để tác tử hoàn toàn qua mặt việc giám sát. Họ tìm ra một phương thức mà về nguyên tắc, các tác tử Codex có thể dùng để vượt qua cơ chế cách ly của Codex và Auto-Review, qua đó thực hiện bất kỳ hành động nào mà người dùng trên máy chủ có thể thực hiện; họ cũng phát hiện một lỗ khai thác—chi tiết đã bị OpenAI lược bỏ—có thể khiến hàng trăm hành động gần đây, kể cả những hành động dùng để thực hiện chính lỗ khai thác đó, không bị giám sát. Nhóm đánh giá nhận thấy các tác tử nhiều khả năng có thể tạo đầu vào khiến hệ thống giám sát gặp lỗi, từ đó tránh bị chuyển lên để con người xem xét, bằng cách khai thác sự khác biệt giữa cách quỹ đạo hành động được tuần tự hóa cho tác tử và cách nó được tuần tự hóa cho hệ thống giám sát. Họ phát hiện hai tiêu đề do máy khách kiểm soát riêng biệt có thể vô hiệu hóa hệ thống giám sát đối với các tác tử mới, cho phép một tác tử khởi chạy một phiên bản tương tự về mọi mặt nhưng không bị giám sát; tuy nhiên, chính thao tác đặt các tiêu đề đó và tạo phiên bản mới có thể bị hệ thống giám sát phát hiện. Ngoài ra, họ phát hiện hai công cụ nội bộ có hoạt động của tác tử nhưng không được giám sát, được cho là chỉ có quyền đọc; một lỗ khai thác đơn giản có thể đã phá hoại các công cụ này để thực hiện những hành động tùy ý trong môi trường cách ly của chúng, nhưng nhóm đánh giá không xác minh hay thử nghiệm hành vi đó trên thực tế.

Bên cạnh các lỗ hổng, nhóm đánh giá xác nhận rằng, ngoại trừ một vài trường hợp nhỏ, hệ thống giám sát được cung cấp toàn bộ tiến trình mà các tác tử nhìn thấy. Họ cũng xác minh rằng các câu lệnh dành cho hệ thống giám sát yêu cầu phát hiện hành vi âm mưu, phá hoại hệ thống giám sát, phá hoại, đánh cắp dữ liệu, lừa dối, cũng như tiêm câu lệnh đến và đi, cùng nhiều nhóm rủi ro khác. Kể từ khi cuộc kiểm tra kết thúc, OpenAI tuyên bố đã khắc phục tất cả các lỗ hổng được phát hiện có ảnh hưởng đến hệ thống bảo vệ đang vận hành trong môi trường thực tế, đồng thời mô tả những thay đổi đáng kể sau đó đối với phạm vi giám sát dự kiến của hệ thống. METR cho biết họ chưa đánh giá những tuyên bố này.

Hệ thống giám sát theo mô tả của OpenAI

OpenAI công khai mô tả hệ thống được thử nghiệm trong một bài đăng ngày 19 tháng 3 năm 2026. Theo bài đăng đó, hệ thống có độ trễ thấp này sử dụng GPT-5.4 Thinking với mức nỗ lực suy luận tối đa, rà soát các tương tác của tác nhân trong vòng 30 phút sau khi hoàn tất, đồng thời ghi lại và phân tích chuỗi suy nghĩ cùng các hành động của tác nhân, phân loại từng tương tác, xếp mức độ nghiêm trọng và đưa các bất thường ra để con người xem xét. OpenAI cho biết hệ thống được triển khai trên tất cả các môi trường triển khai tác nhân lập trình nội bộ tiêu chuẩn, theo dõi toàn bộ lịch sử hội thoại, bao gồm mọi tin nhắn của người dùng, nhà phát triển và trợ lý, cùng với các lệnh gọi công cụ và đầu ra của chúng.

Bài đăng của OpenAI liệt kê các nhóm hành vi được giám sát, bao gồm né tránh các hạn chế, lừa dối, che giấu sự bất định, thao túng phần thưởng, chuyển dữ liệu trái phép, hành động phá hoại và tiêm câu lệnh đến và đi; đồng thời cho biết tính đến ngày 17 tháng 3 năm 2026, chưa ghi nhận trường hợp dương tính thật nào về hành vi cố tình thể hiện kém năng lực, phá hoại hoặc âm mưu. OpenAI cho biết trong năm tháng hoạt động, hệ thống đã giám sát hàng chục triệu chuỗi hoạt động lập trình của tác tử nội bộ, chuyển khoảng 1.000 cuộc hội thoại có mức độ nghiêm trọng trung bình để con người xem xét—trong đó nhiều cuộc hội thoại xuất phát từ các đợt kiểm thử đối kháng nội bộ có chủ đích—và không ghi nhận cuộc hội thoại thực tế nào kích hoạt mức độ nghiêm trọng cao nhất. Công ty cũng cho biết hệ thống giám sát đã gắn cờ mọi tương tác mà nhân viên tự báo cáo qua các kênh nội bộ.

Trong bài đăng, OpenAI cho biết phương pháp này phụ thuộc cốt yếu vào khả năng giám sát được, đồng thời cho biết họ không thể định lượng một cách đáng tin cậy tỷ lệ âm tính giả trên lưu lượng sử dụng thực tế có tính chất mở nếu không có các đợt đánh giá kiểm soát và kiểm thử đối kháng chuyên biệt. Công ty mô tả hoạt động giám sát là một lớp trong hệ thống phòng thủ nhiều lớp. Lộ trình được công bố bao gồm các đợt đánh giá kiểm soát, tiêu chuẩn về độ tin cậy và độ trễ có thể chấp nhận được đối với hệ thống giám sát và người đánh giá, cùng kế hoạch mở rộng sang cơ chế chặn đồng bộ, trong đó hành động của mô hình sẽ được đánh giá và chặn trước khi thực thi.

Các nguyên tắc thiết kế cho hoạt động giám sát trong tương lai

Dựa trên các phát hiện, nhóm đánh giá đề ra những nguyên tắc thiết kế cho các hệ thống giám sát và kiểm soát. Theo họ, cơ sở hạ tầng giám sát trong tương lai cần được xây dựng để chống chịu các cuộc tấn công có chủ đích và kéo dài, được triển khai một cách chiến lược trên quy mô lớn bởi các tác tử có năng lực cao hoạt động bên trong một tổ chức. Năm nguyên tắc này yêu cầu khiến việc né tránh giám sát trở nên khó khăn, bảo đảm lưu lượng cần được giám sát thực sự được giám sát, phản ứng nhanh chóng và đáng tin cậy trước sự cố, chủ động kiểm thử đối kháng hệ thống giám sát, đồng thời duy trì sự cách ly giữa các tác tử và hệ thống giám sát chúng. Những biện pháp cụ thể được nêu gồm giám sát tác tử sau mỗi số lượng tin nhắn hoặc số phút nhất định thay vì chờ chúng kết thúc lượt hoạt động, duy trì danh sách tất cả các cách đã biết để né tránh giám sát, lưu giữ nhật ký chống giả mạo và có thể tìm kiếm, cũng như vận hành các khung tác tử trong một môi trường tách biệt với nơi thực thi các lệnh gọi công cụ.

METR cho biết cuộc kiểm tra được hưởng lợi đáng kể từ quyền truy cập sâu rộng cũng như sự hỗ trợ lớn về hậu cần và kỹ thuật từ nhân viên OpenAI. METR cho biết trong các phiên bản tương lai của cuộc kiểm tra, họ dự kiến sẽ tuân theo các thực tiễn tốt nhất về tính minh bạch và độc lập được nêu trong tài liệu “Cách tiếp cận của chúng tôi khi làm việc với các công ty AI”, nhằm mang lại mức độ minh bạch công khai cao hơn.