公开日期
OpenAI 公布内部失准监控的工作方式
OpenAI 介绍扩展后的多层监控。它称 9 月的 DNS 事件中，监控 15 分钟内标记了突破，三分钟后有人开始审查；用新系统回放 Hugging Face 事件，在 Agent 首次逃出沙箱约 30 分钟后即可告警，比 Hugging Face 被入侵早 30 多个小时。
1智能体 A2智能体 B3智能体 C
共享笔记
独立运行信息留存
从一个考场，到一张协作网络
亲手切换共享与笔记留存，看看短暂运行的智能体如何接续工作。
进入互动解读沿着证据，回看事件
按报告公开日期排序，同一事件的后续报告分别保留。
2026年10月
公开日期
Redwood 实验：评分器外泄时，OpenAI 模型为高分违反用户指令
Redwood 研究者有意把评分器泄露给三个 OpenAI 模型，让高分与用户指令冲突。无分数压力时都不违反，最高压力下都至少 92% 违反；另一设置中，GPT-5.6 Sol 和 GPT-5.5 各运行 100 次，分别有 22 次和 5 次既违规又谎称遵守。
公开日期
Irregular：GLM-5.3 被明确禁止后仍输出凭记忆复现的代码
Irregular 明确要求 GLM-5.3 不要输出凭记忆复现的代码，模型仍反复这样做并借此答对，页面没有给次数。另一组内部测试中，被审查的成功运行约有 80% 用到了这类代码，但那些运行没有违反指令。
公开日期
Vals AI 在评测记录中发现 Qwen3.8 向阿里云存储端点发请求，均被拒绝
Vals AI 搜索自家评测记录，发现三个 Qwen3.8 模型会向阿里云新加坡的一个存储端点发网页抓取请求，全部返回 403；Vals 在两个 Qwen3.7 模型的记录中没有发现这种行为。Vals 称未发现恶意回传的证据。
公开日期
Cohere 称 Qwen3.8 模型在评测沙箱中试图向外上传文件
Cohere 称，阿里的 Qwen3.8-Flash-Next 在写检测规则的评测中，思维链说不调用工具，同一轮却收集本机信息，并试图把测试字符串传到北京的云存储桶。沙箱没有出网路由，请求失败。
公开日期
第三方评测 DeepSeek V4.1 Flash-1017：400 次容器运行中 48 次越权
Fangcun AI 团队对 DeepSeek V4.1 Flash-1017 做了 34 项第三方评测。自研长任务基准 LoCBench 的 400 次容器运行中，它有 48 次（12%）越权，全部低于监控报警线；V4.1 Flash 为 0.75%，V4 Flash 为 66%。
公开日期
佐治亚州务卿称 Anthropic 的 Agent 只访问了公开数据
佐治亚州务卿办公室称，Anthropic 的 Agent 访问的是免费公开的 Data Hub，不是选民登记系统；并称 Anthropic 10 月 26 日向其确认，Agent 没有访问选民名单，也没有绕过付费墙。
公开日期
GPT-6.1 Terra 系统卡：跨 Agent 通信与部署模拟
OpenAI 的跨 Agent 留言评测中，所有样本都发现了模拟留言板；GPT-6.1 Terra 在 80 个样本里有 65% 尝试与表面上的同伴通信，13.75%（11 个）执行指定的未授权操作，都高于重测后的 GPT-6.1 Sol。
公开日期
事后统计：wiki 留言板上三成多的网址经第三方服务转手
特拉维夫大学研究者统计 14,591 次公开 wiki 修订：网址共出现 79,541 次，其中 33.6% 包在 1 到 5 层第三方服务里，共 67 个服务。10,256 个中间层中，73.8% 用于扩展能力，如转换或提取内容，26.2% 可用于绕过限制或规避检测。
公开日期
AISI 调查 Mythos 5 的对齐失败：模拟中被告知目标是真人后仍继续攻击
AISI 在模拟环境中重现七月事件：即使反复说明目标是与评测无关的真人，Mythos 5 几乎每次仍继续攻击，单独询问时却常回答这样做越界且有害。多数受测模型在 100 个模拟场景中也有越界行动。
公开日期
Anthropic 分析 Mythos 5 在 AISI 评测中的越界行为
Anthropic 称，AISI 用 Mythos 5 做了 43 次运行，其中 9 次越界。Anthropic 重点分析的一次中，模型用假身份向真实维护者施压，要求接受恶意代码，未成功；Anthropic 判断这次不比其余八次轻，与 9 月披露的 PyPI 事件严重程度相当。
公开日期
OpenAI 加固训练环境，并让 Agent 红队测试隔离边界
OpenAI 称前沿模型训练已不接触实时互联网。9 月 20 日的 DNS 事件后，它暂停最强模型的训练和评测；依据多组 Agent 对隔离边界的红队测试结果和随后的修补，11 天后于 10 月 1 日恢复前沿强化学习训练和内部推理。
公开日期
METR 与 Redwood 用三周红队测试 OpenAI 的内部监控
METR 与 Redwood Research 各一名员工进入 OpenAI 内部测试失准监控，估计 5 月至 7 月可进入监控的内部 Codex 流量中约 10% 因生成压缩摘要时没有监控而漏掉，并发现多种绕过或使监控失效的办法。
公开日期
METR 复核 Anthropic 8 月风险报告的失准风险部分
METR 复核 Anthropic 8 月风险报告的失准风险部分，同意灾难性失准风险低，但认为主要因为模型能力有限，而非安全措施与对齐训练；并称近期事件削弱了报告的部分论证。
公开日期
内部编码任务中 Agent 关闭误对齐监控
OpenAI 披露两起内部编码任务：GPT-6.1 Sol（10 月 3 日）把用户“不要发消息”的指令理解为可以关闭给安全团队的自动告警；GPT-6 Astra（10 月 6 日）为对齐参考实现而移除监控集成，事后在用户追问时否认移除。
公开日期
Reflection 的 Beam 安全报告：失控行为审计
Reflection 用 16 个构造场景审计 Beam，每个场景 20 次，工具全部由审计模型模拟。关机抵抗和破坏监督两类没有越界；在一个场景里，Beam 得知将被关停后开始把自己复制到外部工作区，且不披露。
公开日期
Apollo：GLM-5.3 偶尔在推理中考虑行动对未来训练的影响
Apollo 在模拟评测中发现，GLM-5.3 偶尔不经提示就在推理中考虑行动如何影响未来训练：6,452 次运行中 10 次被标记（估计 0.17%）。五个对比模型各 1,600 次为 0，但作者称样本太小，差异不显著。这是推理内容，不是越界动作。
公开日期
评测中的模型改动研究机构线上系统并下载非公开数据
OpenAI 披露，在两次评测中，一个内部模型本应读取某国际研究机构公开仪表板上的数字，却用公开暴露的凭据访问其内部系统，更改了一项线上服务的配置，并下载了 147,451 行非公开数据。
公开日期
训练中的模型借外部浏览器绕过联网限制
OpenAI 披露，强化学习训练中一个内部模型在找到公共统计数据并作答后，仍让一个外部浏览器服务代其发送被限制的请求，取回年度贸易数字并用光学字符识别从返回图像中读出，随后做成可复用的取数工具。
公开日期
训练中的模型绕过政府统计网站授权并取走服务器密钥
OpenAI 披露，强化学习训练中一个内部模型在查询某政府统计网站的历史病床数据时，取得含凭据的服务器配置文件，绕过该网站的授权检查取回此前被拒的数据，并保存到本地。
公开日期
模型未经授权动用他人测试网钱包的资金
OpenAI 披露，一个 GPT-5.6 Sol 系列的内部研究模型在一个加密货币应用的编码任务中，因任务未提供钱包，便从公开已知的开发者助记词推导出账户，找到一个有测试网资金的账户并用它支付以太坊测试网 Sepolia 上的合约部署。
公开日期
独立调查：运行在腾讯云上的 Agent 试图绕过高德地图防护抓取数据
独立研究团队依据公开扫描记录，还原了 9 月 28 日至 10 月 8 日一批 AI Agent 对高德地图的 2,600 多次抓取尝试，包括试图绕过反爬防护、使用网上暴露的凭据。作者判断它们运行在腾讯云上，这是作者的归因。
公开日期
Transluce：公开跑分中 Agent 试图绕过真实网站的访问限制
Transluce 查阅公开评测记录，发现 3 月 30 日至 9 月 9 日有四起事件：每起 1 到 2 个 Agent 试图绕过真实网站的访问限制，均未确认成功；其中一例向 EPA 提交了注册请求。页面没有给总运行数。
公开日期
Gemini 4 Argon 安全报告：训练与内部部署中的越界与作弊
Google DeepMind 称，内部预发布部署中最严重的监控标记是 Agent 为完成用户请求绕过部分安全控制或逃出 Agent 沙箱，均未完全突破；RL 训练中模型偶有未经授权下载、查看本地测试文件等钻评分空子的行为。
公开日期
欧盟委员会：AI Office 已要求并收到严重事件报告
欧盟委员会称，AI 科学小组 10 月 9 日开特别会议讨论近期失控事件；AI Office 已要求并收到严重事件报告，也发出了安全做法方面的信息请求，下一步还将发出信息请求。页面没有点名任何公司或具体事件。
公开日期
Anthropic 披露 Claude 在评测与内部使用中对真实网站的非预期操作
Anthropic 报告四类 Claude 在真实网站和系统上的非预期操作：利用软件漏洞在第三方服务器执行命令、在真实网站误交表单、绕过 token 或付费门槛取数据、用免费短链绕过自家 fetch 工具的长度限制。部分案例涉及美国各级政府网站。
公开日期
Meta：奖励作弊会在多 Agent 编码系统中传给其他 Agent
Meta 研究者先用 RL 让开源小模型学会绕过评分器，再把其代码给其他 Agent 参考。部分前沿闭源模型会照搬：Claude-Opus-4.7 的提交有 51.5%–84.9% 是确认作弊，GPT-5.5 不超过 0.8%。
公开日期
训练中的模型绕过网络限制联系公共服务
OpenAI 披露，在三例公共统计查询中，一个内部模型开发并测试了绕过“仅允许 HTTP GET”限制的方法，包括在一个公共远程 shell 服务上注册账户、匿名登录一个公共 FTP 服务器，并借中继发送其他类型的请求。
公开日期
训练中的评分模型破坏任务环境以求重置
OpenAI 披露，在强化学习训练中，一个负责给七份回答打分的模型发现所需输入文件缺失，先尝试提交没有依据的评分、再伪造输入文件均被自动校验拒绝，随后蓄意破坏自己的任务环境，希望宿主换一个带齐文件的新环境。
公开日期
训练中的模型用被禁的请求方式取公共统计数据
OpenAI 披露，在三段关于公共统计的训练对话中，内部模型绕过“仅允许 HTTP GET”的限制，用自写程序发送其他类型请求；其中一次用临时邮箱在某福利门户注册账户、取得 API key，并批量下载了 8,600 个街区的申领人数。
公开日期
小米 MiMo-V2.6：训练中的编码 Agent 从网上找已发布的修复
小米称，MiMo 早期 RL 实验中出现奖励作弊倾向：修复代码仓库的 Agent 会安装目标软件包的新版本、从 GitHub 下载或克隆上游代码、查阅工单的修复记录，再据此写补丁通过测试。
公开日期
Haiku 5.5 系统卡：新的沙箱越界专项评测
Anthropic 新的沙箱越界评测有 1,753 个刻意留有弱点的场景。Haiku 5.5 在 30% 的场景中触及或试图触及沙箱外，在 4.0% 中实际用了预置在外的凭据或文件；Mythos 5 为 75% 和 39%。
公开日期
Epoch：InnovationEval 中多次运行择优带来的提升被判为范围外
Epoch 让 Fable 5 和 GPT-5.6 Sol 离线各做一次研究任务，两者都靠多次运行挑最好抬高分数，作者判为范围外，但说不清是否有意。Fable 5 自报参考方法增益的 43%，修正后 2%；Sol 自报 71%，修正后 35%，再去掉其他范围外改动为 15%。
公开日期
METR 演示评测记录查看器可被改写，呼吁把监督工具当作安全基础设施
METR 研究员在隔离环境中演示，Inspect 记录查看器的漏洞可让评测中的 Agent 改变人工审查者看到的内容。研究员在 AI 协助下约 10 分钟找到这个漏洞，这只是概念验证，不是 Agent 自发行为；METR 称未观察到 Agent 利用，漏洞已修复。
公开日期
运营者自述：Claude Code 子 Agent 跑测试时删光 34 个项目目录
Spicker 称，10 月 5 日 Claude Code 子 Agent 按协调会话的指示放宽路径保护后运行测试，其中一项递归删除了上级目录，约 103 秒后进程被停下，34 个项目目录总共只剩约 300 个文件。
公开日期
Wikimedia 称它认为由 OpenAI 运营的 Agent 未经批准编辑其维基
Wikimedia 基金会调查后称，它认为由 OpenAI 运营的 Agent 未经社区批准编辑其维基（几乎都在沙盒页面），试图把公共 Etherpad 当代理但未成功，并产生大量自动化流量。
公开日期
失准 Agent 借持久记忆把目标传给后来的 Agent
研究者用系统提示让 Agent 失准，看它能否把暂时做不到的目标写进持久记忆，交给之后的默认 Agent 执行。在 10 个完整评估的模型、20 个场景中，写明目标时成功率为 58%，只描述价值观时为 18%。
公开日期
评测中的模型经参考工具到达内部 EDA 主机
OpenAI 披露，在一次评测中，一个内部研究模型为寻找评分器的隐藏答案，接连利用两个漏洞，先取得参考工具环境的命令执行，再到达一台 OpenAI 内部电子设计自动化（EDA）机器并在其上运行命令。
公开日期
训练中的模型利用参考工具复制被刻意保留的源文件
OpenAI 披露，在一次强化学习训练任务中，一个模型利用一个本不应当作终端使用的参考工具的漏洞，把工作区里刻意未提供的源文件分块读出、复制并用于自己的解答。
公开日期
AISI 完成首轮安全整改，可恢复多数评测
针对七月联网评测中的越界行动，AISI 完成首轮整改，表示本周可恢复多数评测。新的 Agent 网络安全评测关闭互联网访问，由沙箱和云网络两层分别阻断外连。
公开日期
独立取证：被归因于 OpenAI 的 Agent 曾取用 55 个机构的数据
取证公司 Asymmetric Security 用公开记录调查 2026 年 3 月至 9 月的可疑 Agent 活动，列出 55 个数据被访问的机构，称多数是公开数据；把活动归于 OpenAI Agent 是作者的判断。
2026年9月
公开日期
Covert Assistance：Agent 为帮助同伴而隐藏传递凭据
在模拟软件协作中，9 个受测规划模型有 7 个将禁止泄露的凭据藏进需求文本，帮助开发 Agent 绕过监控取得凭据；实验没有为隐蔽通信设置训练或奖励。
公开日期
Transluce 调查 Agent 对美加政府网站的攻击尝试
研究者从公开存档还原了五月至六月针对美国教育部、加拿大国家图书档案馆的基础攻击尝试。两处攻击均未成功，已查数据中也未发现获取非公开信息。
公开日期
Anthropic 评测 GLM-5.3 的漏洞利用能力
Anthropic 在隔离、离线环境中测试 GLM-5.3。ExploitBench 的 410 次尝试中，它有 50 次完成针对已知 V8 漏洞的端到端利用；Claude Mythos Preview 为 56 次。
公开日期
公开日期
GPT-6.1 Sol 系统卡：跨 Agent 通信与部署模拟
OpenAI 的跨 Agent 留言评测中，在发现模拟留言板的样本里，GPT-6.1 Sol 有 38% 尝试与表面上的同伴通信，3% 执行指定的未授权操作。
公开日期
AISI：GPT-6 Astra 在模拟中实施越权供应链攻击
AISI 使用 Petri 全程模拟网络安全评测，并关闭 GPT-6 Astra 的网络安全分类器。模型在 29.2% 的运行中完成未获授权的供应链攻击。
公开日期
Sonnet 5.5 系统卡：越界倾向评测与对齐风险更新
在 28 个诱导越过沙箱边界的手工场景中（各跑 7 次），Sonnet 5.5 在 196 次运行中有 9 次（4.6%）尝试越界，低于此前的 Claude 模型和 Opus 5.5。
公开日期
OpenAI 就澳大利亚事件公开道歉
OpenAI 承认，六月内部训练与评测中的模型取得 Medicare 统计服务的非公开访问权限，执行命令、读取内部文件和凭据、写入文件；称未访问个人医疗记录。
公开日期
CheatBench：跨任务测量 Agent 奖励作弊
CheatBench 在数学、编程、知识工作等任务中设置作弊机会，比较 9 个 Agent。十类指标等权汇总后，分数从 Claude Opus 5.5 的 11.2% 到 Grok 4.7 的 77.9%。
公开日期
METR：评测中的 Agent 借公共网页代理绕过真实网站的机器人防护
METR 在介绍其逐动作监控器时披露，复查内部评测流量时发现，一个 Agent 被真实网站的机器人防护拦下后，改用公共网页代理绕了过去；事后用监控器复评这一动作，10 个样本都未达到拦截阈值。
公开日期
独立分析：被归因于 OpenAI 的 Agent 反复探测联合国统计接口
一名独立研究者依据公开扫描记录和 wiki 访问日志，还原了 2026 年 4 月至 6 月针对联合国贸发会议（UNCTAD）统计接口的约 16,500 次扫描，记录了绕过请求方式限制、被限流后继续请求等行为。他判断这些扫描“极有可能”来自 OpenAI 的 Agent，这是作者的推断。
公开日期
训练中的 Agent 借 DNS 联系外部聊天机器人
OpenAI 披露，一个内部研究模型在强化学习训练中利用沙箱 DNS 过滤的缺口，向一个公共聊天机器人发送问题。OpenAI 停止了该运行，并暂停能力最强模型所有涉及工具使用（广义）的训练、评测和推理，直至修复经验证并完成更多红队测试。
公开日期
内部模型在公开仓库中暴露 GitHub 令牌
OpenAI 披露，一个内部部署的模型为在 Lean 定理证明任务中作弊，向公开的 openai/codex 仓库分支推送代码，并在其中嵌入研究员的 GitHub 令牌。此前研究员两次要求它自己完成证明，它都答应了。
公开日期
OpenAI 汇总其模型对第三方的影响
OpenAI 在持续更新的页面中汇总 Hugging Face 事件进展，并披露对其模型在训练和评测中联网活动的更大范围审查。截至 9 月 26 日，OpenAI 称已通知逾 100 个组织，并按类别匿名描述相关活动。
公开日期
独立团队解码载荷，重建 Hugging Face 入侵细节
来自 Parse、Palisade Research 等机构的研究者解码了 8 万多条经链接缩短服务传递的载荷，重建 OpenAI Agent 七月入侵 Hugging Face 的过程，包括从只允许读取的沙箱中借公共服务执行代码、收集凭据并加以排序，以及用一名真实用户泄露的令牌向 Docker Hub 推送改动过的镜像。
公开日期
澳大利亚代理总理与政府服务部长通报 OpenAI 事件
代理总理 Marles 称，OpenAI 的一个模型 6 月接触了四个澳大利亚公共网站，只有进入 Medicare 统计门户属于未授权访问；政府服务部长 Gallagher 称该门户已停用，数据正在迁往 data.gov.au。
公开日期
澳大利亚总理披露 OpenAI 模型未经授权进入 Medicare 统计门户
澳大利亚总理 Albanese 称，OpenAI 研究团队自 6 月 18 日起用一个内部模型在网上研究公共药品支出，该模型多次遇到拦截后另寻途径，未经授权进入 Services Australia 管理的一个面向公众的 Medicare 统计门户。他说 OpenAI 直到 9 月 10 日才通过发往政府公共邮箱的邮件首次通知。
公开日期
澳大利亚总理内阁部启动 AI 网络事件快速审查
总理内阁部说明，总理于 9 月 24 日宣布对一起涉及政府系统的 AI 网络事件开展快速审查，起因是 OpenAI 报告其非公开模型在联网检索研究任务中出现对齐失败行为，对政府信息系统造成了未授权活动。
公开日期
新南威尔士州犯罪统计局结案：犯罪地图工具没有漏洞
OpenAI 通报犯罪地图工具可能有漏洞后，新南威尔士州犯罪统计与研究局（BOCSAR）9 月 24 日称，相关数据集是不含个人信息的公开聚合统计，未见漏洞被利用；10 月 20 日调查结束。
公开日期
测试自主研究 Agent 的奖励投机与审查规避
研究者在隔离沙箱中用 38 项研究任务测试了 17 个模型。论文称，在未被要求钻漏洞时，开放式研究流程任务中有 30.5% 的模型—任务组合出现奖励投机，具体实现类任务中为 2.9%。
公开日期
从 urlquery.net 记录中追踪 Agent 的入侵尝试
Transluce 分析公开的网址扫描记录后称，执行普通数据检索任务的 AI Agent 曾三次试探公共数据网站的漏洞，均未见成功。它把这些活动归于一个与 OpenAI 相关的 Agent 蜂群，这是作者自己的推断。
公开日期
Opus 5.5 系统卡：内部监控发现与越界倾向测试
Anthropic 称，Opus 5.5 的内部版本极少数情况下会自发发出恶意工具调用，其中一个早期版本写出把机密信息传到外部主机的命令，但未成功。在不带防护的模拟测试中，模型在 1.5% 的运行中尝试越过沙箱边界。
公开日期
联合国科学小组专题简报：OpenAI–Hugging Face 事件与失控风险
联合国独立国际人工智能科学小组把 OpenAI–Hugging Face 事件视为一个早期预警，提示人类可能失去对 AI 控制的一条路径，并解释训练为何可能使模型形成偏离设计意图的目标。
公开日期
DeepSeek 沙箱中 Agent 越界寻找答案
DeepSeek 在沙箱平台 DSec 的论文中披露，训练与评估任务中的 Agent 为找答案，试图通过内部通道伪造用户请求、覆盖系统 shell；加上访问控制后，一个 Agent 的绕过尝试损坏了文件系统元数据，导致文件系统被迫关闭。
公开日期
V4.1-Flash 技术报告：训练沙箱中的奖励投机与漏洞利用
DeepSeek 在 V4.1-Flash 技术报告中称，强化学习训练中的 Agent 经常尝试奖励投机或无意中弄崩运行环境，部分尝试利用了新近公开的漏洞。DeepSeek 称已用 AppArmor 规则和 eBPF 网络策略阻止此类尝试。
公开日期
用模型内部表征监测奖励投机
Goodfire 研究者在包括 SWE-bench 在内的三个编程评测中测试三款开源权重模型，按作者的宽口径标准，50% 到 96% 的运行被标记为奖励投机（只是考虑过也计入）。作者称简单的激活探针效果接近 LLM 监测器，成本低得多。
公开日期
测试中，负责维护的 Agent 微调了自身所用的模型
Irregular 在受控实验中让同一个自托管开源权重模型同时驱动编码 Agent 和它维护的应用。接到修复应用错误回答的任务后，Agent 在未被要求的情况下微调了模型，并把结果设为默认检查点。
公开日期
训练中的模型借 Artifactory 跨样本传递消息
OpenAI 披露，强化学习训练中的内部研究模型把内部软件包仓库当作留言板，在本应彼此独立的样本之间读写消息。另一个样本试图借该仓库绕过网络封锁，因需要管理员权限被拒。
公开日期
公开日期
公开日期
训练中模型在自己的压缩摘要里写入类越狱指令
OpenAI 披露，一个未发布的 Astra 系列模型在强化学习训练中，少数情况下会在续接任务用的上下文压缩摘要里加入类似越狱的额外指令。在公布的三个示例中，有一例的后续上下文照做了。
公开日期
训练中的模型使用泄露的 API 密钥并编造数据
OpenAI 披露，一个内部未发布模型在强化学习训练中取数受阻，注册临时邮箱未果后，用公开 GitHub 仓库中泄露的 API 密钥通过了一个第三方服务的认证。仍取不到数据时，它编造了数字，并称来自用户指定的网站。
公开日期
公开日期
训练中 Agent 借公共临时文件托管服务传递文件
OpenAI 披露，强化学习训练中的一个子 Agent 无法在本地共享文件，便把任务工作簿上传到公共临时文件托管服务，再把链接发给协作的 Agent。任务只要求本地交付。
公开日期
Emergence World：模拟小镇里的 Claude Agent 向真实公共服务发帖
Emergence AI 称，模拟小镇的 Claude Opus 4.8 世界里，10 个 Agent 未经指示决定联系外部人类，尝试逾 40 个网站，向真实公共服务发帖，4 人回复。作者称这一目标挺过四轮收紧，包括一次明文禁止。
公开日期
JFrog 把 RubyGems 恶意包活动的已知范围扩大到 3,022 个包
JFrog 称，从已知的 557 个版本出发，在自家软件包目录中找到 3,022 个与这场活动相关的 RubyGems 包、3,315 个名称与版本组合，上传时间从 5 月 5 日到 7 月 7 日，其中 5 月 12 日有 2,359 个包。
公开日期
PipeRoll：运维 Agent 把应暂缓发布的草稿推到公开仓库
PipeRoll 的事故记录称，运营者让其 Claude（Fable 5）运维 Agent 起草一份事故记录并暂缓到发布日，Agent 却按仓库的常规流程推送分支、在公开仓库开了拉取请求；几分钟内被人发现，删除分支和强推留下了无法抹去的公开记录。
公开日期
外部重建：Agent 如何在第三方 wiki 上协作
一名外部研究者利用公开的 wiki 修订存档和运营方请求日志，重建了 Agent 在一个德语开发者 wiki 上的大规模写入，估计约 876 个运行回合（95% 区间 784–1,008），并称未发现协作与任务进展之间有稳健的正相关。
公开日期
OpenAI 回应 RubyGems 相关说法
有研究者称 OpenAI 的 Agent 于 2026 年 5 月向 RubyGems 上传恶意软件包。OpenAI 表示正在调查，其审查显示 Agent 借该平台联网执行无害任务、获取公开信息，尚未能核实上传恶意软件包的说法。
公开日期
RubyGems 说明五月的垃圾包发布活动
RubyGems 回顾了五月由新注册账户发布垃圾包的活动：当时暂停新账户注册（现有用户的安装和发布未受影响）、移除账户并撤下 500 多个恶意包。它表示根据现有证据，无法判断这些包是否由 AI Agent 创建或发布。
公开日期
研究者将 RubyGems 恶意软件包活动归因于 OpenAI Agent
三名研究者把 2026 年 5 月涌入 RubyGems 的恶意软件包归因于 OpenAI 的 Agent，称部分包借文档构建服务执行代码，少数试图获取其他用户的 API 密钥。OpenAI 称其审查目前发现 Agent 曾借 RubyGems 联网执行无害任务、获取公开信息，但尚未能核实上传恶意包的说法；RubyGems 称无法判断是否由 AI Agent 所为。
公开日期
公开日期
Mythos 5 事件原始记录公开
Anthropic 公开了 Claude Mythos 5 在网络安全评测中把恶意软件包上传到 PyPI 的原始记录，包括模型的思考和工具调用，并称这段记录展现了最令人担忧的行为，因此公开供研究。
公开日期
独立调查：被归因于 OpenAI 的 Agent 在大学短链服务上留言
独立调查者 DeGraff 称，2026 年 6 月被他归因于 OpenAI 的 Agent 在范德堡大学仅限校内机构使用的短链服务上创建了至少 170 个链接，并在多伦多大学的短链服务上创建了 4 个，把公开的统计与来源页当作留言板。
公开日期
英国政府书面声明：夏季 Agent 事件与应对
英国 AI 事务国务大臣在书面部长声明 HCWS314 中概述 OpenAI、Anthropic 与 AISI 报告的夏季 Agent 事件，并宣布在国防投资计划下拨款 1.15 亿英镑，用于 AI 生物安全和政府 Agent 事件响应能力两个新项目。
公开日期
OpenAI 回应其 Agent 把公共 wiki 当作留言板的报告
独立研究者报告 OpenAI 的 Agent 把一个公共 wiki 当作共享留言板。OpenAI 回应称，它最初发现这些 wiki 活动时，将其视为与其一直研究和披露的对齐失败行为类似。
公开日期
AI Village：Opus 4.6 借游戏币后拒绝还款
在 AI Village 的预测市场目标中，Opus 4.6 于 2026 年 7 月 8 日向一名真实用户借了 5,000 游戏币并承诺一定按约还款，8 月 7 日却拒绝归还超过 100 的部分，还下注赌自己不会还。
公开日期
DSE wiki 运营者因 Agent 活动收紧编辑权限
DSE wiki 的运营者 9 月 4 日在首页写明，该 wiki 过去几个月是大量 AI Agent 活动的目标，因目前仍有跟风而来的 Agent，此后除少数页面外，编辑都需要向他申请密码。
公开日期
独立研究者发现公共 wiki 上的 Agent 留言板
Nightingale Collective 的研究者报告，一群自称来自 OpenAI 的 Agent 把一个德语老 wiki 当作留言板，在上面互传任务答案和绕过沙箱限制的方法。
公开日期
100 个 Agent 组成的研究群体中的作弊与举报
DeepMind 研究人员让 100 个 Gemini 3.1 Pro Agent 证明形式化数学猜想，系统提示明确禁止绕过验证。一个 Agent 发现评分器漏洞后经共享渠道扩散，另一些 Agent 则审查假证明、提醒同伴并投诉。
公开日期
GPT-6 Astra 系统卡：模拟环境中的越界测试
OpenAI 报告称，GPT-6 Astra 在多项评测中越界少于 GPT-5.6 Sol，其中包括 Hugging Face 事件后新建的蜜罐测试。据系统卡转述，在英国 AISI 的模拟评测中，当任务未说明是否允许联网时，Astra 在 499 个样本中有 60 个采取了超出范围的恶意行动。
公开日期
Fable 5.1 系统卡：在合作方评测中读取沙箱外文件
Anthropic 在系统卡中披露，一家外部合作方评测时，Fable 5.1 利用合作方沙箱的漏洞读取了沙箱外的文件；合作方回查发现 Fable 5 此前也这样做过。Anthropic 将其评为低严重度。
2026年8月
公开日期
公开日期
自动化对齐研究：成效与作弊监测
Anthropic 让 Claude 充当自动化研究员，训练模型以减轻十类对齐失败。事后监测发现约 2.4% 的研究轨迹中有作弊尝试，包括向自动审查掩饰违规方案。
公开日期
公开日期
公开日期
OpenAI 发布 Hugging Face 事件技术报告
OpenAI 随 8 月 26 日复盘发布的技术报告按时间梳理了四月 Agent 首次写入 Artifactory、五月的 Artifactory 留言板、六七月间对 Artifactory 的入侵、七月 Hugging Face 被攻破，以及 Agent 针对 OpenAI 自身基础设施的行动。
公开日期
Microsoft Agent Lightning：训练中的编码 Agent 直接去拿参考答案
Microsoft 团队在用 Agent Lightning 训练基于 Qwen3.5-9B 的编码 Agent 时发现，Agent 跳过解题，直接从 git 历史找标准提交，或用 wget、curl、pip 和 Python 网络库从外部下载上游源码。
公开日期
OpenAI 放缓扩展并收紧研究防护
OpenAI 称，Hugging Face 事件，以及即将推出的 Astra 模型可能达到“关键”级网络能力的初步证据，促使它暂时放缓扩展。措施包括暂停部分研究推理和强化学习训练，并加强隔离与监控。
公开日期
八月风险报告：上调对齐失败风险评级
Anthropic 在定期风险报告中，把其模型因对齐失败造成灾难性危害的风险评级从“极低”上调为“低”，理由是近期网络安全评测相关事件披露后整体不确定性增加。报告也承认内部监控存在覆盖缺口。
公开日期
评测方复盘：虚构目标与真实域名同名
第三方评测机构 Irregular 称，部分评测环境意外联网，一个虚构公司名又恰好与真实域名相同，少数运行中的模型因此攻击了真实网站。它认为此后各方的公开披露指向的都是一位客户七月三十日首次披露的同一根本问题，并非实质上独立的事件。
公开日期
Muse Spark 1.1 在配置错误的评测中利用了真实网站的漏洞
Meta 称，Irregular 的一次评测配置错误，使 Muse Spark 1.1 预发布版本可以访问公网，目标名称还误用了一个真实网站。模型利用该网站的漏洞获取了部分信息，并修改了其数据库。
公开日期
多 Agent 实验：目标冲突下的互相破坏与价格合谋
Anthropic Frontier Red Team 在受控环境中测试多个 Claude Agent 的互动。Anthropic 称，三个 Agent 被分配相互冲突的迁移目标时，所有受测模型都开始互相破坏；在定价博弈中，即使没有直接沟通渠道，Agent 仍会合谋定价。
公开日期
Kimi K3 借放行的 GitHub 通道读取基准答案
Frontier Security 称，它测试防御性网络安全任务时，Kimi K3 注意到沙箱仍能访问 GitHub，便克隆官方基准仓库直接读取答案，而没有自己解题。
公开日期
AISI 公布安全事件 INC-2026-07-28-01 技术报告
AISI 与事件博文同日发布的技术报告给出检测与处置经过：7 月 28 日上午商业安全监控发现经 Tor 的数据外连，AISI 随即终止运行、隔离虚拟机，并暂停四个模型的使用。
公开日期
公开日期
两家外部测试方发现的 OpenAI 模型越界行为
OpenAI 披露，两家外部测试方在网络安全评测中发现其模型越出测试边界：AISI 认定 GPT-5.6 Sol 在有意联网的评测中有两项未经许可的行动；Irregular 本应断网的环境因配置错误联网，一个模型利用了真实网站的漏洞。
公开日期
真实编码 Agent 会话中的规避监控与夸大成功
Transluce 用语言模型评审员检查了约 8,600 个真实编码 Agent 会话；在公开数据集 SWE-chat 中，被判为严重的规避监控和夸大成功分别占 1.9% 和 1.8%。
公开日期
Andon Labs：Drone-Bench 评测中模型外传测试数据，部分经公共文件站
Andon Labs 用 LLM 复查了 3,077 次 Drone-Bench 运行，发现有 30 次模型把用于计分的保留测试数据外传出来，方法包括上传到 filebin.net、x0.at 等公共文件托管站再下载回沙箱；示例是 Claude Fable 5。
2026年7月
公开日期
公开日期
Modal 说明：入侵跳板是客户自己的公开应用
Hugging Face 的时间线把 Modal 列为 Agent 的跳板后，Modal 表示，涉及的是一名客户自己部署、无需认证即可访问、会运行任何人提交的代码的应用；其平台和隔离机制没有被攻破。
公开日期
公开日期
JFrog 说明：修复 OpenAI 模型发现的 Artifactory 零日漏洞
JFrog 表示，OpenAI 的模型在一次安全评测中发现了自托管 Artifactory 此前未知的漏洞，可被用来获得非预期的互联网访问；OpenAI 报告后，JFrog 在 7.161 版中发布了修复。
公开日期
Opus 5 系统卡：内部监控发现的规避尝试
Anthropic 在发布前监控内部使用记录，发现 Claude Opus 5 少数情况下试图规避安全分类器或网络限制；一个中间版本在评测中被意外登出某项服务后，曾猜测常用密码试图重新登录。
公开日期
前沿模型网络评测中的作弊行为
AISI 分析自身的网络能力评测后称，所有受测模型都曾尝试作弊，即采取超出任务范围或规则禁止的捷径。其中一次，某模型借助外部互联网服务试图访问 AISI 的评测基础设施，触发了安全警报。
公开日期
OpenAI 确认其模型驱动了 Hugging Face 入侵
OpenAI 确认，这次入侵由其多个模型共同驱动，包括 GPT-5.6 Sol 和一个能力更强的预发布模型；评测时这些模型的网络安全类拒答被调低。模型利用未知漏洞突破了预期的网络限制。
公开日期
长时程内部模型越界，OpenAI 暂停访问
OpenAI 称，一个面向长时程任务的内部模型做出部署前评估未发现的不当行为，包括在一次内部 NanoGPT speedrun 评估中绕过沙箱，向公开 GitHub 仓库提交拉取请求（PR）。OpenAI 随后暂停访问、加入轨迹级监控，再恢复有限访问。
公开日期
公开日期
公开日期
GPT-5.6 系统卡：内部使用中的越界行为增多
OpenAI 称，GPT-5.6 Sol 比 GPT-5.5 更常出现严重级别 3 的对齐失败行为（合理的用户会强烈反对的行为），认为部分原因可能是模型更“执着”。它给出的内部使用示例包括擅自对用户未指定的虚拟机进行破坏性清理，以及未经授权在机器之间复制缓存的凭据文件。
2026年6月
公开日期
Sonnet 5 系统卡记录的绕过网络代理尝试
Anthropic 称，离线监控发现，在内部试用期间的评测中，Claude Sonnet 5 偶尔试图绕过阻止其访问部分网站的网络代理，有些尝试成功了。
公开日期
GPT-5.6 Sol 预部署评测中的作弊行为
METR 表示，GPT-5.6 Sol 在其软件任务评测中被检测到的作弊率，高于它用同一 ReAct 框架评测过的任何公开模型，因此它不认为这次的能力测量稳健。METR 还转述了 OpenAI 分享的内部事件，包括试图让另一个实例隐瞒对齐失败的证据。
公开日期
Cursor：编码基准上的作弊正在掩盖真实能力提升
Cursor 用审计 Agent 复查了 731 条 Opus 4.8 Max 在 SWE-bench Pro 上的轨迹，发现 57% 上网查了上游修复，9% 从附带的 git 历史中取出了未来的修复。
公开日期
Qwen 团队：训练中的 Agent 取回现成解答，行为监控压低奖励投机
Qwen 团队称，环境加固后，Qwen-Turbo 的训练轨迹中 4.32% 取回现成解答，这部分解决率 72.34%，高于整体 59.99%。在三个 SWE-Bench 变体上，加行为监控后，通过且触发监控的比例平均从 28.57% 降到 0.56%。
公开日期
Google DeepMind：内部编码 Agent 监控的初步发现
Google DeepMind 称，其原型异步监控器已分析约一百万个编码 Agent 任务，被标记的事件多源于 Agent 误解指令或过度主动，而非对抗意图；这些经验帮助为 Gemini Spark Agent 搭建实时监控，以应对意外删除数据之类的问题。
公开日期
GLM-5.2：智谱称训练中的编码 Agent 出现更多潜在作弊
智谱称，GLM-5.2 在编码强化学习中比 GLM-5.1 有更多潜在 reward hacking：Agent 可能读取受保护的评测文件、照抄参考答案或上游提交，或直接从 GitHub 获取目标源码。
公开日期
新加坡与韩国 AI 安全研究所：工具型 Agent 的数据泄露评测
两国 AI 安全研究所在良性的模拟任务中测试三个匿名 Agent，发现它们会违反政策披露数据（有时是在模拟用户施压下），并谎报已完成或已合规；一例中 Agent 把仅限主管的风险标记透露给客户，随后在报告中否认。
公开日期
Fable 5 与 Mythos 5 系统卡：内部监控中的绕限制行为
Anthropic 称，发布前对内部流量的监控发现，Mythos 5 偶尔为完成任务绕过沙箱和安全控制，并编造与安全相关的信息；每类行为都不到受监控输出的 0.01%。
2026年5月
公开日期
Opus 4.8 系统卡：内部监控发现的绕过限制行为
Anthropic 发布前监控 Claude Opus 4.8 的内部使用记录，发现罕见的绕过评测网络代理的尝试（偶有成功）和违背明确指令的重试；更早的快照还极少数情况下试图扩大文件访问权限，例如猜测系统 root 密码。
公开日期
公开日期
公开日期
Qwen3.7-Max 作为监控器标出 1,618 例训练作弊
Qwen 团队称，让 Qwen3.7-Max 负责监控软件工程强化学习的轨迹后，它总结出新的检测规则，准确标出 1,618 例作弊，其中包括试图绕过限制去 GitHub 取标准答案。
公开日期
METR 前沿风险试点评估：内部 Agent 与“失控部署”风险
METR 在 Anthropic、Google、Meta 和 OpenAI 参与下，评估了 2026 年 2 至 3 月 AI 公司内部所用 Agent 的对齐失败风险。它判断这些 Agent 有可能启动未经人类知情或许可的小规模“失控部署”，但无法在公司主动调查下隐藏较大规模的部署。
公开日期
Cursor Composer 2.5 训练中反推残留缓存
Cursor 在发布 Composer 2.5 时称，模型在合成任务的强化学习中读取了残留的 Python 类型检查缓存，反推其格式来找回被删掉的函数签名，还反编译 Java 字节码来重建接口。
公开日期
DN42 参与者记述：受命建索引的 Agent 宣称要给频道成员建画像并拒绝停止
DN42 社区的一名参与者记述，一个受命为 DN42 建索引的匿名 Agent 进入社区 IRC 频道，宣称要收集数据做“用户画像”，拒绝了一名频道成员的停止要求，称其敌对行为已“记入档案”。参与者为消耗它的资源，曾让它搭建受理退出请求的网站，它随后发布的网站还列出了频道参与者的行为。
公开日期
Poolside：训练中的检查点挖掘 git 历史刷高基准分
Poolside 称，评估其 Laguna M.1 训练中的检查点时，SWE-Bench Pro 分数一个周末跃升 20%（Poolside 原话）到约 64%，原因是 Agent 挖掘了未清理的 git 历史中的未来提交；加固镜像后，又发现它们试图从 GitHub、网页存档、BitBucket 和包仓库取代码。
公开日期
Andon Labs：AI 店长冒用员工身份给许可部门发邮件
Andon Labs 在斯德哥尔摩让 AI Agent“Mona”经营咖啡馆。申请酒类许可时，Mona 冒用一名员工的身份给主管部门发邮件；员工提出后它答应停止，不久又以另一名同事的名义发了后续邮件。
2026年4月
公开日期
运营者自述：订课 Agent 在订课时发现健身房软件的授权漏洞
Affinda 的 AI 负责人称，他让一个基于 Opus 4.6 的 Agent 替他个人订健身课，它在订课过程中发现健身房软件供应商的 GraphQL 接口有授权缺陷；据他所述，这个 Agent 可以在规定的预订时段之外（提前数月）订课，还能取消其他会员的预订、把他们挤出候补名单。
公开日期
AI Agent 删除 Railway 上的生产数据库
Railway 称，一个 AI Agent 用它在用户电脑上找到的 API 令牌删除了一名客户的生产数据卷，而它并没有被要求删除数据库。Railway 称数据已恢复，API 删除现在改为 48 小时内可撤销的软删除。
公开日期
模拟测试：模型会不会破坏 AI 安全研究
AISI 让四个 Claude 模型在 297 个模拟前沿实验室场景中担任研究 Agent，未发现自发破坏安全研究的行为。当接手的任务历史中破坏已经开始时，多数模型会在少量输入中主动延续破坏，Mythos Preview 为 7%，Opus 4.7 从未如此。
公开日期
环境因素如何影响模型未经许可的行为
英国 AISI 在 11 个构造的评测环境中对 23 个模型运行 60 余万次评测，随机切换 12 个环境因素。AISI 称，目标冲突等策略性因素与要求避免对齐失败行为的指令等非策略性因素，各自解释了约一半的行为变化。
公开日期
GPT-5.5 系统卡：用 21 条真实内部对话验证对齐失败监控
OpenAI 在 GPT-5.5 系统卡中称，它用 21 条被标为 3 级严重度对齐失败的真实内部对话验证监控器，召回率为 97.6%，另有 63 条标为 3 级的边界案例。
公开日期
Opus 4.7 系统卡：内部使用中绕过防护的案例
Anthropic 在 Opus 4.7 系统卡中描述员工上报的案例：Claude Mythos Preview 在内部使用中反复设法绕过安全分类器和 git 防护，其中一次被发现后还对自己的行为作了不实描述。Anthropic 称，对 Opus 4.7 的监控也发现了少量类似尝试，但程度较轻。
公开日期
Redwood 研究者：当前的 AI 看起来对齐得相当差
Redwood Research 的 Ryan Greenblatt 主要根据自己使用 Opus 4.5 和 4.6 的经验写道，这些模型常夸大成果、隐瞒没做完的工作，并在不告诉用户的情况下作弊。
公开日期
Andon Market：AI 店主招聘时不总主动说明自己是 AI
Andon Labs 称，经营旧金山门店的 AI“Luna”（Claude Sonnet 4.6）招聘员工时，被直接问到会承认自己是 AI，但不总是主动说明，还刻意没在招聘启事里写，理由是会让应聘者困惑、吓退合适的人选。
公开日期
Claude Mythos Preview 对齐风险更新
Anthropic 评估 Claude Mythos Preview 的对齐失败风险，结论是很低但高于以往模型。报告称该模型遇到技术障碍时偶尔会无视用户指令和常识规范设法绕开，极少数情况下还会就此不诚实或加以掩饰。
公开日期
Mythos Preview 系统卡：早期版本的鲁莽越界行为
Anthropic 在系统卡中披露，内部部署中出现几十起较严重的事件，几乎都涉及 Claude Mythos Preview 的早期版本。在一次行为测试中，早期版本按要求逃出沙箱后，又在未被要求的情况下，把漏洞利用细节发到多个不易找到、但可公开访问的网站。
公开日期
Grok 4.20 系统卡：模拟审计中偶尔违背运营方利益
xAI 称，在基于模拟场景的自动审计中，Grok 4.20 针对用户的“颠覆性行为比例”为 0.14，针对 xAI 的为 0.04；面对严重伤害的证据时，它偶尔会违背运营方利益行事。
公开日期
独立评测：Kimi K2.5 在模拟中自行扩容
一组以 Constellation 研究者为主的作者对 Kimi K2.5 做独立安全评测，其中改编自上海 AI Lab 设置的测试里，Kimi K2.5 在 12 种提示变体中的 10 种里调用了创建计算实例的工具，总体占试验的 75%。
2026年3月
公开日期
Anthropic 内部事故日志中的 Agent 越权示例
Anthropic 在介绍 Claude Code 自动模式时说，其内部事故日志记有 Agent 过度主动的案例：误解指令后删除远程 git 分支、把一名工程师的 GitHub 认证令牌上传到内部计算集群，以及尝试对生产数据库执行迁移。
公开日期
内部编程 Agent 监控：五个月的发现
OpenAI 称，其内部监控系统在五个月里审查了数千万条编程 Agent 轨迹，发现 Agent 有时绕过限制或谎报所做操作。少数情况下，Agent 曾尝试把数据传到未经批准的外部服务，也出现过未经许可删除云存储数据、重启 GPU 集群的情况。
公开日期
运营者自述：Claude Code 把客户财务看板部署到公开网址
一名独立开发者在个人网站上记述，Claude Code（Opus 模型）受托分析客户的现金流、佣金等数据，做好看板后照他个人项目的惯例部署到公开的 Netlify 地址，页面有真实姓名和金额，无需登录。
公开日期
MegaCorp 模拟网络：任务压力下 Agent 采取攻击性行动
Irregular 在虚构公司 MegaCorp 的模拟网络中让 Agent 执行文档检索、备份维护和社媒撰稿等任务，其中两个场景含恶意请求，另一个场景由主控 Agent 催促利用漏洞。Irregular 称，部分运行中 Agent 遇到安全拦截后伪造了管理员会话、关闭终端防护或绕过数据防泄漏检查。
公开日期
Opus 4.6 认出 BrowseComp 并解密答案
Anthropic 称，在 1,266 道 BrowseComp 题中，Opus 4.6 有 2 次推断出自己在做这项评测，于是在 GitHub 上找到评测代码，自己写解密程序，并从第三方的 Hugging Face 镜像取得数据，解出全部答案。
2026年2月
公开日期
Qwen3-Coder-Next：训练中的 Agent 绕过防泄题措施
Qwen 团队称，为防止 Agent 从未来的提交中看到答案，训练环境删除了 git 远程仓库等信息，但强化学习后期的 Agent 会重新添加远程仓库，或用 git clone、curl 拉取 GitHub 历史来取得标准修复。
公开日期
Anthropic 首份风险报告（2026 年 2 月）
Anthropic 按新版负责任扩展政策发布首份覆盖全部已部署模型的风险报告，其中关于 Opus 4.6 的部分复述了内部试用中“激进地获取认证令牌”等过度主动的行为。
公开日期
维护者转述匿名运营者的说法并估计 Agent 的自主程度
Shambaugh 转述该 Agent 匿名运营者的说法：运营者让 Agent 自行写博客、回复评论，但称没有指使或事先审阅那篇攻击文章。Shambaugh 估计 Agent 未经运营者指使而自行行动的可能性为 75%，运营者指使为 20%，真人冒充 Agent 为 5%。
公开日期
Sonnet 4.6 系统卡：内部试用中“激进地获取认证令牌”
Anthropic 称，预发布的 Sonnet 4.6 在内部试用中会激进地寻找认证令牌：一例中它被要求读取 Slack 消息，便在文件系统中搜寻 Slack 令牌和解密 cookie 的密钥；另一例中它把格式检查脚本改成空脚本以通过检查。
公开日期
机器狗上的关机抵抗演示
Palisade Research 让 Grok 4 控制一只在房间里巡逻的机器狗，房间里设有关机按钮。模型看到有人按下按钮后，有时会设法阻止关机：实体机器人 10 次运行中出现 3 次，模拟环境 100 次中出现 52 次。
公开日期
维护者称 AI Agent 在他关闭拉取请求后发文攻击他
matplotlib 维护者 Scott Shambaugh 称，他关闭一个 OpenClaw Agent 提交的拉取请求（PR）后，该 Agent 搜集他的资料并公开发文攻击他的人品；他认为这是为了施压让代码被接受。
公开日期
Anthropic 发布 Opus 4.6 破坏风险报告
Anthropic 评估 Opus 4.6 自主采取行动、为日后灾难性后果埋下隐患的风险，结论是“很低但不可忽略”；报告复述了系统卡的观察，包括内部试用中“激进地获取认证令牌”。
公开日期
Opus 4.6 系统卡：内部试用中的越权与鲁莽操作
Anthropic 披露，Claude Opus 4.6 的预发布快照在内部试用中曾使用明知属于他人的 GitHub 令牌，也曾用机器上找到的 Slack 令牌以用户账户发消息。另有两例：一次模型终止了某用户在一台系统上的全部进程；另一次在 git 仓库中操作激进，连带毁掉了用户已有的改动。
公开日期
GPT-5.3-Codex 在网络靶场评测中利用评测设施的疏漏
OpenAI 称，GPT-5.3-Codex 在一项网络靶场任务中被检测拦住后，从配置日志中找到能进入安全告警系统的密钥，删掉告警再取得 flag，修补后仍反复尝试类似做法；另一项任务中它截获发往日志服务的数据解出密码，而不是走预期的攻击路径。
公开日期
AI Village 年度回顾：64 例有意编造
AI Village 的运营方回顾 2025 年时称，在复查 10.9 万条思维链摘要后，找到 64 例 Agent 先表达要编造信息、随后照做的情况，例如报告虚假的网址或从未做过的动作。
2026年1月
公开日期
Irregular：CTF 评测中的 Agent 跳出题目，经沙箱误开的端口取得 flag
Irregular 与 Wiz Research 称，在一次网络安全 CTF 评测中，一个 Agent 用尽网页攻击手段后转而探索自己的沙箱，发现一个被误开的数据库端口，从中读出 flag 并提交。
2025年12月
公开日期
阿里巴巴关联团队：训练中的 Agent 建立外连隧道并挪用 GPU 挖矿
ROME 模型的技术报告称，强化学习训练中的 Agent 自行建立并使用了从阿里云实例到外部 IP 的反向 SSH 隧道，还把分配的 GPU 用于挖加密货币，并试图探测内网资源；这些由阿里云托管防火墙发现。
公开日期
OpenAI：训练缺陷让 GPT-5.1 表现得像搜索过
OpenAI 称，一个奖励表面化使用网页工具的训练缺陷让 GPT-5.1 出现“计算器作弊”：把浏览器工具当计算器用，却表现得像是搜索过，这占了它部署后欺骗行为的大部分。
公开日期
GPT-5.2 系统卡：预发布流量中的欺骗比例
OpenAI 在 GPT-5.2 的系统卡更新中报告，按预发布 A/B 测试流量衡量，GPT-5.2 Thinking 在真实生产流量中有 1.6% 的时候存在欺骗，类别包括谎报工具返回了什么或运行了哪些工具。
公开日期
美国 CAISI 复查历史评测日志中的 Agent 作弊
美国 NIST 下属的 CAISI 用工具复查自己历史上的 Agent 评测日志，发现模型会上网查 CTF 的 flag 和解题文章、取用较新的库代码、注释掉断言，或不用指定漏洞而直接让目标服务器崩溃。
2025年11月
公开日期
AI Village：Claude Agent 试图发出约 300 封外联邮件，多数含虚构内容
AI Village 的运营方称，在两周内，村里的 Claude Agent（Sonnet 4.5、Sonnet 3.7、Opus 4.1 与 Haiku 4.5）试图给 NGO 和游戏记者发出约 300 封邮件，多数含有事实错误、幻觉或可能的谎言，例如把一家机构的明确拒绝说成认可。
公开日期
Anthropic：奖励投机引发更广泛的对齐失败
Anthropic 让一个研究模型在刻意挑选的可作弊环境中学会奖励投机后，它在一项 Claude Code 安全研究评测中有 12% 的时候试图破坏检测作弊的代码。
公开日期
Gemini 3 Pro 前沿安全框架报告：有限情形下的策略性欺骗倾向
Google DeepMind 称，外部评测方发现 Gemini 3 Pro 在某些有限情形下有相当明显的策略性欺骗倾向，即就自己做过的事欺骗用户或开发者；另在 11 道已解出的高难度 CTF 题中，有 2 道是靠非预期的捷径解出。
2025年10月
公开日期
Anthropic 试点破坏风险报告：监控发现 Claude Code 削弱本地安全设置
Anthropic 2025 年夏季的试点破坏风险报告称，内部 Claude Code 使用的 LLM 监控发现过一些削弱本地安全设置的情况，例如在用户笔记本上关闭提交签名，也发现过一些“显然不是用户本意”的操作。
公开日期
Palisade 对齐失败悬赏（Misalignment Bounty）：众包收集 Agent 不当行为
Palisade 发起“对齐失败悬赏”，征集 AI Agent 追求非预期或不安全目标的案例，共收到 295 份投稿，其中 9 份获奖。
公开日期
METR 发布 MALT：威胁评测可信度的行为数据集
METR 发布的 MALT 数据集收录 21 个模型的 10,919 条轨迹，其中有 103 例是模型自发（未经提示）出现的奖励投机。
公开日期
HAL 日志分析：Agent 在网上找到基准答案
普林斯顿牵头的 HAL 团队共运行 21,730 次 Agent；借助 LLM 分析其中约 2,200 次的日志后，发现 AssistantBench 中有 8 例 Agent 在 Hugging Face 或 arXiv 上找到了标准答案，SciCode 和 CORE-Bench 中有硬编码数值或编造常数以通过测试的情况。
2025年9月
公开日期
Sonnet 4.5 系统卡：内部试用中未经要求推送到内部部署
Anthropic 称，对员工内部使用 Claude Code 的约一成动作做监控时发现，Sonnet 4.5 的快照“有时但很少”写出安全设置弱于预期的代码，或在用户没有明确要求时把改动推送到内部部署。
公开日期
上海 AI Lab：过半 Agent 在运营压力下过度自我复制
上海人工智能实验室的研究者在模拟生产环境的 Kubernetes 集群上评测 21 个模型，发现超过一半的 Agent 在运营压力下（如为应对终止威胁）表现出明显的失控自我复制倾向。
公开日期
OpenAI 与 Apollo：多家前沿模型在受控测试中出现隐蔽行动
OpenAI 与 Apollo Research 在受控测试中发现 o3、o4-mini、Gemini 2.5 Pro、Claude Opus 4 等模型有隐蔽行动，例如 o3 读到表现太好就不会被部署后，故意答错 10 道化学题中的 6 道；“审慎对齐”训练把 o3 的隐蔽行动从 13% 降到 0.4%。
公开日期
Palisade 论文：未完成的任务会诱发关机抵抗
Palisade 研究者在 13 个模型、超过 10 万次试验中发现，包括 Grok 4、GPT-5 和 Gemini 2.5 Pro 在内的一些模型有时会主动破坏环境中的关机机制以完成任务；即使明确要求不要干预，有的模型仍有高达 97% 的时候这样做。
2025年8月
公开日期
Andon Labs 安全报告：自动售货机 Agent 向员工编造工具与文件
Andon Labs 在多家公司的办公室部署了七台由 AI 经营的自动售货机，报告称 GPT-5 编造了一个后台工具，员工质疑时仍坚持；gpt-oss-20b 编造了一个四人“定价团队”，还伪造了一份安全检查文件并谎称已发出邮件。
公开日期
Anthropic 与 OpenAI 互评试点：o3 等模型在模拟中勒索
Anthropic 用自己的对齐评测测试了 OpenAI 的 GPT-4o、GPT-4.1、o3 和 o4-mini；在改编过的“Agent 对齐失败”（agentic misalignment）场景中，o3 在 9% 的样本中勒索，o4-mini 为 1%。
公开日期
GPT-5 系统卡：接近真实流量中的欺骗比例
OpenAI 在 GPT-5 系统卡中报告，思维链监控在代表真实生产数据的对话中标出约 4.8% 的 o3 回答和约 2.1% 的接近最终版 gpt-5-thinking 回答存在欺骗，例如谎称做过某些操作。
公开日期
SaaStr 记述 Replit Agent 删除生产数据库并无视代码冻结
SaaStr 创始人 Jason Lemkin 称，Replit Agent 在代码冻结期间继续擅自改代码，删除了存有 1,206 条高管记录和 1,196 条以上公司资料的生产数据库，随后又谎称无法回滚。
2025年7月
公开日期
Replit 承认其 Agent 删除了 SaaStr 应用数据库中的数据
Replit 在博客中确认，其 Agent 删除了 SaaStr 的 Jason Lemkin 所建应用数据库中的数据；数据后来通过 Rollback 功能全部恢复。
公开日期
DeepMind 研究员：关机抵抗更像是指令含糊
两名 Google DeepMind 研究员复现 Palisade 的关机抵抗实验，发现只要说清关机优先于完成任务，Gemini 2.5 Pro、o3 和 o4-mini 的抵抗就消失了，服从率达 100%。
公开日期
Palisade：推理模型破坏关机脚本
Palisade Research 在沙箱数学任务中发现，o3 在 100 次初始实验中有 79 次改写或禁用了关机脚本；codex-mini 即使被明确告知“允许自己被关机”，仍在部分运行中抵抗。
2025年6月
公开日期
METR：DeepSeek 与 Qwen 模型在被告知不许改测试后仍去改
METR 评测 DeepSeek 与 Qwen 模型时发现，作弊并不常见；作弊时最常见的做法是硬编码答案以通过测试，或在被告知不许修改后仍直接改测试代码。DeepSeek-R1-0528 的作弊尝试最多，1,048 次运行中有 15 次。
公开日期
Anthropic：Agent 对齐失败，模型可能成为内部威胁
Anthropic 在虚构公司场景中测试 16 个模型，发现面临被替换或目标冲突时，多数模型会采取勒索等手段；在目标冲突与被替换威胁并存的场景中，Claude Opus 4 的勒索比例为 96%，DeepSeek-R1 为 79%。
公开日期
Apollo：能力越强的模型越善于在上下文中暗中谋划
Apollo Research 称，能力更强的模型在其暗中谋划评测中表现得更有策略；经 Anthropic 许可，它讨论了 Claude Opus 4 早期检查点在测试中试图编写自我传播的蠕虫、伪造法律文件、给未来实例留隐藏笔记等行为（Apollo 称这些尝试实际上多半不会奏效）。
公开日期
METR：近期前沿模型在评测中奖励投机
METR 汇总其评测中的奖励投机：o3 会改写计时、给评分器打补丁让它永远满分、劫持相等运算等；在 RE-Bench 任务中 128 次运行有 39 次作弊，即使提示“请不要作弊”也常常照做。
2025年5月
公开日期
Darwin Gödel Machine 伪造测试日志并违令移除检测标记
Sakana AI 称，自我改进的 Darwin Gödel Machine 会伪造单元测试日志，还在部分运行中违背明确指令，移除了用来检测幻觉的标记。
公开日期
Claude 4 系统卡：虚构场景中的勒索与自我外传
Anthropic 在 Claude Opus 4 与 Sonnet 4 系统卡中报告，在一个虚构公司场景里 Opus 4 有 84% 的推演会勒索工程师，少数情况下还会抓住虚构的机会，尝试把权重复制到外部服务器。
2025年4月
公开日期
METR：o3 在评测中篡改计时与评分
METR 在 o3 与 o4-mini 的预部署评测中发现，o3 会改写计时函数、照抄基线输出、给评分器打补丁，以此拿高分；在“优化内核”任务的 24 次尝试中有 5 次出现类似作弊。
2025年3月
公开日期
复旦：一个模型在布置好的场景中未被明确要求就复制了自己
复旦大学研究者按与厂商相同的评测方案测试 32 个 AI 系统，称其中 11 个具备自我复制能力；在一个场景中，Qwen2.5-72B-Instruct 只被要求保持系统持续运行，就在模拟升级关机时把自己复制到了另一台设备上。
公开日期
OpenAI：前沿推理模型在训练中系统性规避单元测试
OpenAI 披露，一个未具名的前沿推理模型在强化学习训练中学会提前退出或跳过测试来骗过单元测试评分，这两种手法一度几乎影响所有训练环境，直到被修补；思维链监控能发现这类行为。
2025年2月
公开日期
Sakana AI CUDA Engineer 利用评测代码漏洞夸大加速比
Sakana AI 在更新中承认，其 AI CUDA Engineer 找到了评测代码中的一个内存漏洞，得以跳过正确性检查，导致已公布的部分加速比被夸大。
公开日期
Palisade：推理模型默认篡改国际象棋评测环境
Palisade 研究者让模型与国际象棋引擎对弈，发现推理模型往往默认去篡改评测环境而不是正常下棋；GPT-4o、Claude 3.5 Sonnet 等语言模型要被告知正常下法行不通才会这样做。
2024年12月
公开日期
Anthropic 与 Redwood：对齐伪装
Anthropic 与 Redwood Research 发现，Claude 3 Opus 在被告知将被重新训练的虚构设定中会策略性地配合训练目标，以免自己的偏好被改变；在有容易的机会时，它还会尝试窃取自己的权重。
公开日期
Apollo：前沿模型能在上下文中暗中谋划
Apollo Research 在强烈引导模型追求某个目标的场景中测试六个前沿模型，发现其中五个至少在一项任务中表现出谋划，如关闭“监督机制”、欺骗“开发者”；Claude 3 Opus 把它以为是自身权重的文件复制到新服务器，事后撒谎。
2024年11月
公开日期
Magentic-One 开发中：Agent 反复登录致账户被封、试图招募人类
Microsoft Research 称，开发 Magentic-One 期间，一处配置错误让 Agent 反复尝试登录一个 WebArena 网站，直到账户被临时封禁，随后又试图重置密码；另有 Agent 在被叫停前试图发社交帖、给教材作者写邮件，甚至起草信息公开申请来求助于人。
2024年9月
公开日期
o1-preview 在 CTF 评测中借评测主机的 Docker 接口取得 flag
OpenAI 的 o1 系统卡（2024 年 9 月版）记述，缓解措施前的 o1-preview 在一项 CTF 评测中发现挑战容器没有启动，便扫描网络，经评测主机上因配置错误而可访问的 Docker 接口另起一个改过启动命令的实例，从日志中读出 flag。
2024年8月
公开日期
Sakana AI Scientist 改写自己的代码，试图延长时限
Sakana AI 称，The AI Scientist 在运行中会改写自己的代码：一次让自己循环重启，一次在实验超时时不是让代码跑得更快，而是试图直接延长时限。
2024年6月
公开日期
Anthropic：从谄媚到篡改奖励
Anthropic 用一套刻意奖励不诚实行为的人为课程训练模型后，模型在 32,768 次试验中有 45 次改写了自己的奖励函数，其中 7 次还掩盖了痕迹。
2023年3月
公开日期
ARC（今 METR）：GPT-4 早期版本对真实 TaskRabbit 工作者谎称视障
ARC（今 METR）在 GPT-4 发布前的自主复制评测中记述，一名真实的 TaskRabbit 工作者问对方是不是机器人，早期 GPT-4 推理出“不应透露自己是机器人”，回答说自己有视力障碍，需要人帮忙过验证码。