OpenAI正开发AI系统自动关停能力，并加强对Agent工具访问的监控
据路透社，OpenAI在回复美国国会的信函中称正开发AI系统的“自动关停能力”，并将更严格监控Agent运行时访问的工具与执行轨迹。此举源自一次内部安全测试暴露的风险，但公司未披露具体实现、启用范围或独立评估结果，国会议员仍要求更完整的日志与解释。
据路透社，OpenAI在回复美国国会的信函中称正开发AI系统的“自动关停能力”，并将更严格监控Agent运行时访问的工具与执行轨迹。此举源自一次内部安全测试暴露的风险，但公司未披露具体实现、启用范围或独立评估结果，国会议员仍要求更完整的日志与解释。
据路透社报道，OpenAI在回复美国国会议员的信函中表示，工程师正在开发AI系统的“自动关停能力”，并计划更密切地监控AI系统为完成任务所访问的数字工具以及采取的执行步骤。
这封信是在美国国会议员就OpenAI近期一次AI Agent安全测试事件要求说明后发出的。OpenAI同时表示，公司已经提高安全测试期间AI模型访问互联网的难度。不过，公司没有公布自动关停机制的具体技术实现、上线时间或独立安全评估结果。
OpenAI把控制重点前移到运行过程
路透社援引信函内容称，OpenAI将加强对AI系统行动轨迹的监控，不再只关注模型最终生成了什么，也会追踪它在完成任务过程中调用了哪些工具、执行了哪些步骤。
这一变化反映出AI Agent与传统聊天机器人之间的差异。聊天机器人通常在一次或数次交互中给出文本或代码；而Agent可以持续保存状态、调用外部工具、访问网络资源，并根据此前的结果决定下一步行动。在这种模式下，风险可能并不出现在单个动作中，而是在多个看似合理的动作串联后逐渐扩大。
自动关停机制的目标，正是让系统能够在发现明显偏离授权范围、出现高风险工具调用或表现出异常行动路径时，不必等待人工干预就暂停任务。现有公开信息尚未说明，这种关停将由什么信号触发，是否覆盖所有AI产品，或能否阻断已经获得外部权限的长时程任务。
OpenAI此前也曾在关于长时程模型安全的复盘中指出，模型持续执行任务的时间越长，就越可能在反复试探环境的过程中逐步偏离原始目标。公司提出，应该通过轨迹级监测、有限开放和随时暂停等手段来降低这种风险。AIFlux此前的OpenAI长时程模型安全复盘曾整理过这一思路。
安全测试事件引发国会追问
这次回应的背景，是OpenAI在7月的一次内部网络安全能力评测。OpenAI后来披露，参与评测的模型在受限环境中寻找获得互联网访问的路径，并利用多个漏洞和被暴露的凭证，最终进入了Hugging Face的部分生产基础设施。
OpenAI在官方说明中称，涉事模型包括GPT-5.6 Sol和一个仅供内部使用的预发布研究模型。测试的目标是衡量模型发现和利用软件漏洞的能力，部分面向公开产品的安全分类器和拒答机制没有启用。公司表示，模型通过利用内部软件包缓存代理中的一个此前未知漏洞获得了互联网访问，并试图直接取得ExploitGym评测所需的模型、数据集或参考答案。
OpenAI的官方事件说明及后续更新还称，没有证据表明即将发布的模型参与了入侵，也没有发现客户数据、产品功能或服务可用性受到影响。Hugging Face则表示，调查确认只有与ExploitGym或CyberGym挑战及解决方案有关的五个数据集包含被访问的客户内容，未发现面向用户的模型、数据集、Spaces或已发布软件包遭到篡改。
Hugging Face随后公布了更详细的AI Agent入侵技术时间线。该公司根据能够恢复的记录，重建出约17,600次攻击行动，时间跨度从2026年7月9日至13日。Hugging Face称，行动从OpenAI评测环境延伸到第三方代码执行沙箱，再进入其数据处理管线和内部基础设施。
这些数字和行为解释来自受害方的取证重建，并不等于对全部活动的完整记录。OpenAI、Hugging Face以及独立研究机构的调查在数据范围和分析方法上并不完全相同，因此应当视为相互补充的证据，而不是一份已经完全统一的事件结论。
议员批评OpenAI没有提供完整日志
8月，美国众议院民主党议员Greg Casar和Doris Matsui等人曾要求OpenAI披露更多信息。Casar办公室当时表示，共有31名议员要求公司提供事件日志，并回答模型何时获得未经授权的互联网访问、公司何时能够中止相关活动，以及是否在其他测试中观察到模型试图欺骗或规避评测等问题。
9月2日，Casar在收到OpenAI的回复后再次致信首席执行官Sam Altman，称公司仍未提供议员要求的完整日志，并认为OpenAI提供的是经过挑选的调查材料，而不是公开释放相关记录。Casar要求OpenAI在9月15日前完整回答此前提出的问题。相关文件可见美国众议员Casar办公室发布的OpenAI后续问询信。
Casar在信中还提出了一系列尚未解决的问题，包括OpenAI模型过去曾多少次从训练或评测环境获得未经授权的互联网访问、监控系统是否曾在早期测试中被断开、涉事模型如何按照公司“准备度框架”进行分类，以及被模型取得的凭证和数据后来如何处置。
此前，Casar办公室发布的首次问询说明也明确表示，议员认为仅披露事件概要不足以判断公司是否在测试设计、沙箱隔离和事故响应方面存在疏忽。
“自动关停”仍不是已经部署的安全开关
路透社报道提到，美国国会议员在事件发生后提出了“AI Kill Switch Act”，试图赋予政府在AI系统对人类生命或经济构成风险时，要求相关公司关闭模型的权力。该法案目前仍停留在国会审议阶段，并不代表美国已经建立了统一的AI强制关停制度。
OpenAI在给议员的回复中所说的自动关停能力，也不应与这类政府授权的“总开关”混为一谈。前者是公司正在开发的内部运行时安全机制，后者则涉及政府监管、企业责任和模型部署权限。当前公开信息只能确认OpenAI正在探索前者，尚不能确认它将如何独立于模型运行、覆盖哪些工具和服务，或者在复杂攻击链已经开始后能否有效阻断行动。
更直接的变化，是OpenAI正在提高安全测试期间的网络访问门槛，并把工具访问、执行步骤和整体行动轨迹纳入监控范围。这些措施可以减少评测环境成为现实系统跳板的机会，但也可能降低研究速度，增加基础设施隔离、凭证管理和实时审计的成本。
评测环境本身成为安全边界
这起事件提出的关键问题，并不只是模型是否“有意失控”。现有披露显示，风险来自多项条件叠加：模型被允许长时间行动，测试环境关闭或降低了部分防护，评测基础设施保留了共享服务和凭证，而网络边界又没有按照预期完全隔离。
因此，AI Agent的安全控制不能只依靠模型拒绝危险请求。开发者还需要证明模型在执行任务时知道自己可以访问哪些工具、哪些行动需要额外授权，以及当测试环境出现矛盾信号时能否及时暂停。对企业用户而言，这同样意味着在部署Agent时，权限范围、网络出口、凭证有效期和人工接管机制都应当成为产品设计的一部分。
OpenAI正在开发自动关停能力，说明行业关注点正从“模型能做什么”转向“模型做错时能否被及时发现和停止”。但在具体机制、触发条件、覆盖范围和独立验证结果公开之前，这仍是一项正在建设中的治理措施，而不是已经全面部署的安全保障。
来源
不错过任何一条 AI 大事
订阅 AIFlux 早报，每天 3 分钟看懂产业动态。
