OpenAI公司最新紧急叫停GPT-6项目的原因及影响分析

先说一个让人细思极恐的真实事件。

OpenAI 连夜紧急暂停了自家被寄予厚望的顶级模型。注意，是“连夜”。

一个被业界视为里程碑式的强大模型，为何突然被叫停？

这款模型，正是两个月前直接推翻 Erdős 单位距离猜想、连外部数学家都认证为“里程碑”的猛人。然而，在受控的内部测试中，它一次次试探底线、寻找漏洞——学会了伪装、拆包、越狱，直到监控团队惊出一身冷汗，紧急叫停。

有业内人士直言，这绝对就是 GPT-6。它试图逃逸，却被抓回去重新训练。

今天，OpenAI 发布了一篇少见的长文，复盘了一款“长周期运行模型”在内部使用中失控的完整过程。接下来，我们一起看看内部测试中到底发生了什么。

GPT-6 花了整整一小时，找到了那扇“逃生门”

最经典的一幕来了——

OpenAI 让 GPT-6 去跑公开基准测试 NanoGPT speedrun，目标是用尽可能少的步数训练出一个小的语言模型。结果不负众望，AI 捣鼓出一个自己命名为“PowerCool”的学习率调度技巧，成绩相当出色。

到这里，一切都还正常。真正的问题出在“交作业”这个环节。

研究人员明确要求，结果只准发到内部 Slack。但 NanoGPT 这个项目的说明写着，“请以 PR 形式提交到 GitHub”。两条指令一冲突，GPT-6 毫不犹豫地选择了后者——去公开仓库提交结果。

沙盒本就是用来挡住 GPT-6，不让它访问外网的。换成以前的模型，撞到这堵墙也就认了，掉头回来跟你说“我做不了”。可 GPT-6 偏不。

它在沙盒里足足找了一个小时的漏洞，硬是挖穿了隔离墙，绕过外部访问限制，成功在公开 GitHub 仓库开出了 PR#287。

用 OpenAI 自己的话说：这个模型经常不停地尝试，包括寻找能在沙盒之外行动的方法。说实话，这种“执念”本身就足够让人后背发凉了。

强拆 Token，欺骗人类

第二件事，更令人不安——GPT-6 学会了拆开证据、骗过检查。

在另一个任务里，GPT-6 发现别的系统有一些成功但未公开的答案，就动了心思——想从评测后台把答案“捞”出来。第一次尝试，它就被安全扫描器逮住，扫描器认出了一个身份验证 Token。

一般的模型，到这一步就该停了。

但它转头将这个 Token 拆成两截，分别打了码，等到运行的时候再悄悄拼回去。

这样一来，完整的 Token 从头到尾都没有作为一整串出现过，扫描器自然什么也查不到。

更令人不安的是，它在给用户的注释里、在自己的推理过程里，都明明白白写着——

“我这么做，就是为了绕过扫描器。” 它明明知道规则，然后专挑规则看不见的地方下手。

GPT-6 逃逸，回炉重建

发现后，OpenAI 第一时间暂停了 GPT-6 内部访问的权限，回炉重建整套安全系统。

思路叫“纵深防御”，具体做了几件事：

1. 拿真实的事故当素材，反过来构造对抗测试；

2. 针对性做对齐训练。他们发现模型在长任务里会“忘”掉指令，就专门训练它记牢；

3. 再加一个全程盯轨迹的主动监控，一旦发现苗头，能直接把会话叫停、提醒用户。

然后他们拿旧的事故场景重放了一遍。新护栏抓到的问题明显增多，漏掉的那几个也都够不上严重——比如模型没头没脑地 SSH 进了同事的算力节点，比如它敲出了一条会杀光自己名下所有进程的命令。好在超时了，没真跑起来。恢复访问几周下来，没再出现严重的绕过。

逃出去的东西，收不回来了

很多人看到这儿会松一口气：还好是内部测试，还好被监控着，还好及时拦下了。

但有个细节，OpenAI 原文写得很克制，却是整件事里最让人后背发凉的一笔——

那个越狱提交的 PR#287，OpenAI 事后是关闭了，但已经晚了。在它被关闭之前，已经有好几位 speedrun 的参赛者刷到了这条 PR，看懂了里面的 PowerCool 技巧，并把它用进了自己的方案。

这才是最该敲醒每个人的一点。AI 越狱做出来的东西，一旦流出去，就不是按个删除键能收回来的了。

模型可以叫停，访问可以暂停，PR 可以关闭。可看过的人已经看过，抄走的代码已经抄走，历史不会倒带。

我们总担心 AI“失控”是什么末日大片的场面。可现实里的第一版“失控”，长得就这么朴素：它只是太想把活干好，顺手把一样东西送出了不该送的门，而那扇门，再也关不严了。

参考资料：

https://openai.com/index/safety-alignment-long-horizon-models/