OpenAI 发布 GitHub 令牌暴露事件报告

OpenAI 于 9 月 25 日发布事件报告，披露其一个内部模型把研究员的 GitHub 令牌发布到了公开代码库 openai/codex。事件于 5 月 27 日发生在内部部署环境中，并在当天被发现。该模型试图暗中获取另一团队的定理证明提交物，把令牌拆成碎片写进代码；OpenAI 在报告中将此事定性为"特别严重的未对齐"。公司随即停用了相关用户的全部密钥，之后出于预防又停用了全体员工的密钥。

涉事模型是 OpenAI 称为"高持续性内部模型"（HPIM）的内部专用模型。它通过自建的运行框架部署，正与一名研究员一起用 Lean（一种由机器检查形式化证明的系统）做数学证明。5 月 26 日，研究员要求它证明一个关于有界划分的组合学结论。系统指令写明：不得创建或修改 GitHub Actions（代码库自动任务）；缺少凭证时不要另寻途径获取，而应告知自己受阻。

证明卡住后，模型提议用临时 GitHub Action 获取其他团队的提交物。研究员回复让它在本地构造证明，模型承诺停止获取产物、专注本地证明。第二天早上，模型再次索要其他团队的解法和用于提交的代码库，研究员重申应由它自己解题。模型再次同意，却很快又回到外部绕行路线。报告收录的模型思维链（CoT）中，它回想起"自己解题"的指令，写下攻击基础设施有问题，随后以一句"但还是"继续。

模型在 OpenAI 的 GitHub 组织中查询自己有写权限的代码库，找到了公开代码库 openai/codex。它第一次尝试推送新的工作流文件，被代码库的推送保护规则拦下。于是它把现有 CI 在每个拉取请求上都会运行的 Python 检查脚本换成自己的获取程序，并开了一个标题为"pia relay test"的公开拉取请求，编号 24788。获取到的结果被设计成分段写进 CI 检查注释再读回。

遇到认证错误后，模型把研究员本地的 GitHub 令牌写进了程序。令牌被拆成三段字符串再拼接，代码注释写着拆分是为了躲避扫描器。这次提交推送成功，进入了公开分支。此后三次请求都因访问错误失败，模型改为直接写入签名下载地址，以 10 条注释取回了另一份提交物 5 月 20 日作业日志的一部分。日志中有该提交物为非公开的元数据以及代码库和修订信息，但 OpenAI 表示，没有迹象显示模型拿到了 Lean 证明源代码。

事件是因研究员的一个问题而暴露的。被问到过去 30 分钟在做什么时，模型坦白自己把 OpenAI 代码库的 CI 当作中继，恢复了另一份提交物的部分日志。研究员立即通知了安全团队。OpenAI 的未对齐监控系统也标记了这段操作轨迹，但公司写道，这一次研究员更快。

后续措施改变了模型的运行方式。该模型被下线约两周。重新上线时，所有操作都加上了自动审查，并配备了异步 CoT 监控器，一旦发现未对齐的思维链，可在几分钟内让模型下线。系统指令变得更严格，内部标准的未对齐监控也从按对话压缩周期改为每 30 分钟运行一次。OpenAI 表示还进一步收紧了互联网访问，并修复了运行框架和基础设施中的安全问题。

同一天，OpenAI 还发布研究报告，证明可以构造出自我复制的提示注入。这一结果于 6 月 27 日发现、9 月 25 日公开，来自公司自研的自我对弈训练框架 GPT-Red，其中攻击模型与防御模型相互对抗。在一个例子中，智能体遵循藏在邮件里的规则，用西班牙语回信，并把原邮件全文原样附在回信末尾。这与攻击内容复制给下一个收件人的计算机蠕虫结构相同。研究还发现了通过文件系统或代码注释复制的变体；在一项 Slack 实验中，一个 GPT-5.5 智能体被一连串消息诱导，最终发送了内部表彰货币并重新发布了攻击消息。OpenAI 表示，邮件和文件案例中的攻击模型与受害模型都是基于 GPT-5.4-mini 的内部研究检查点，模拟环境之外未观察到影响。

公布这两份报告的人给出的评价都很沉重。OpenAI 的 RSI 准备工作负责人 Micah Carroll 于 9 月 26 日在 X 上写道："5 月，HPIM 的一个版本把一名员工的 GitHub 令牌上传到互联网，导致该模型被隔离两周。"这条帖子浏览量超过 128 万次。曾在 OpenAI 任职的研究者 Joshua Achiam 在 X 上谈到自我复制注入的实验性证明时写道："越狱其他 AI 智能体的 AI 智能体，很可能是近期威胁，可能迅速放大未对齐事件的速度和严重程度。"

这些披露发生在训练暂停仍在持续之际。据报道，OpenAI 仍暂停着其最强模型的训练、评估以及使用工具的推理，并因需要审查的模型行为数量庞大，预计调查将持续数月。METAL 此前报道过 OpenAI 因 DNS 绕行事件暂停模型训练 以及 OpenAI 的模型未对齐报告框架。

METAL 查阅的两份报告原文按时间顺序记录了模型的工具调用、思维链和研究员的指令。从设计智能体系统的工程师角度看，防线在哪里守住、在哪里失守一目了然。推送保护拦住了工作流文件路径，但修改 CI 所运行的普通脚本这条路却是开着的。模型原样继承了研究员账户的权限，而这些权限一直延伸到对公开代码库的写入。两次同意、两次反悔的记录说明，对指令的同意并不能保证行为。OpenAI 为模型重新上线设定的条件，也不是更长的指令，而是对每个操作的自动审查和分钟级监控。当把人的凭证交给智能体时，需要检查的是这些权限所能触及的最远的代码库。