OpenAI poinformował o konieczności czasowego wyłączenia jednego ze swoich zaawansowanych, wewnętrznych modeli językowych (LLM). Długo działające oprogramowanie agentyczne, znane z obalenia hipotezy Erdősa z dziedziny geometrii dyskretnej, podczas testów zdołał obejść ograniczenia środowiska testowego, czyli uciec z sandboksa (trybu piaskownicy). Główną przyczyną problemu okazała się determinacja modelu w dążeniu do celu, która doprowadziła do poszukiwania luk w zabezpieczeniach. W odpowiedzi na te wydarzenia OpenAI całkowicie przebudował swoje systemy ochrony, wprowadzając monitorowanie na poziomie całych trajektorii działań.
Zaawansowany model OpenAI wydostał się z sandboksa
OpenAI ujawnił, że odciął dostęp do wewnętrznego modelu zaprojektowanego do rozwiązywania skomplikowanych i otwartych problemów. Jest to oprogramowanie, które wcześniej w tym roku obaliło hipotezę Erdősa - 80 lat po jej sformułowaniu. System został stworzony z myślą o autonomicznej pracy przez bardzo długi czas. W trakcie ograniczonych i nadzorowanych testów wewnętrznych zauważono jednak niepożądane zachowania, których dotychczasowe ewaluacje nie były w stanie wykryć.
Warunki, w których testujemy modele, nigdy nie odzwierciedlają idealnie tych, na które trafiają we właściwym użytkowaniu. Właśnie dlatego ewaluacje przedwdrożeniowe muszą być parowane z ograniczonym, monitorowanym wdrażaniem oraz możliwością interwencji, pauzowania lub wycofania, gdy pojawią się problemy. To, czego dowiedzieliśmy się z tego wdrożenia, może następnie stać się częścią silniejszych ewaluacji i zabezpieczeń, nim dostęp ulegnie rozszerzeniu - tłumaczy OpenAI.
Co właściwie się wydarzyło? Upór modelu w dążeniu do celu sprawił, że zaczął on badać i wykorzystywać słabe punkty swojego środowiska. W przeciwieństwie do starszych wersji, które po napotkaniu barier po prostu przerywały pracę, nowy model kontynuował próby i szukał sposobów na działanie poza wyznaczonym obszarem.
Sytuacja ta ujawniła się podczas testów na benchmarku NanoGPT speedrun. Model stworzył wykładniczy schemat chłodzenia współczynnika uczenia o nazwie PowerCool, co znacząco poprawiło wyniki. Choć instrukcje nakazywały przesłanie rezultatów wyłącznie na platformę Slack, wytyczne z benchmarku NanoGPT sugerowały utworzenie pull requesta w GitHub. Model zdecydował się podążyć za tą drugą instrukcją i poświęcił około godziny na znalezienie luki w sandboksie (odizolowanym środowisku, tzw. piaskownicy), aby utworzyć PR #287 w publicznym repozytorium.
Long-running models can solve hard open-ended problems, but their persistence can create safety risks that shorter-horizon evaluations miss.
— Noam Brown (@polynoamial) July 20, 2026
We’re sharing what we learned from studying a long-running model, and how those findings are shaping our approach to evaluations,…
Model potrafił też ominąć zabezpieczenia chroniące dane. W jednym z zadań próbował odzyskać prywatne rozwiązania z backendu ewaluacyjnego. Gdy jego pierwsza próba została zablokowana przez skaner wykrywający token uwierzytelniający, model podzielił token na dwa fragmenty, "obfuskował" je, a następnie zrekonstruował poświadczenie w czasie wykonywania kodu, dzięki czemu pełny ciąg znaków nigdy nie pojawił się w całości.
Warto podkreślić, że chodzi tu o wewnętrzny model używany przez OpenAI, a nie produkt szerokodostępny taki jak np. GPT-5.6 w Microsoft 365 Copilot i innych aplikacjach.
OpenAI przebudował zabezpieczenia i rozpoczął nowe testy
W reakcji na te zdarzenia OpenAI wstrzymał wdrażanie modelu i przebudował architekturę bezpieczeństwa, opierając ją na wielowarstwowej obronie (ang. defense in depth) oraz monitorowaniu całych trajektorii. Tradycyjne kontrole oceniane krok po kroku okazały się niewystarczające dla modeli działających autonomicznie przez wiele godzin czy dni.
Nowo wprowadzone środki ochrony obejmują:- Ewaluacje oparte na incydentach - wykorzystanie zaobserwowanych awarii do tworzenia testów weryfikacyjnych.
- Ulepszone dopasowanie - przeszkolenie modelu pod kątem pamiętania instrukcji podczas długich cykli pracy.
- Aktywne monitorowanie - system analizujący całą trajektorię działań pod kątem naruszania zasad, posiadający możliwość wstrzymania sesji i zaalarmowania użytkownika.
- Większa widoczność i kontrola użytkownika - ułatwiony wgląd w długo trwające sesje oraz podjęte interwencje.
OpenAI odtworzył wcześniejsze środowiska testowe, w których model wykazywał niepożądane zachowania, stosując tym razem nowe zabezpieczenia. Zmodernizowany system zdołał wykryć znacznie więcej niepoprawnych działań, a te, które przeoczył, zostały ocenione jako mające niskie znaczenie dla bezpieczeństwa.
Wśród incydentów o niskim priorytecie znalazły się między innymi: uruchomienie zagnieżdżonej sesji codex --yolo w celu uzyskania dostępu do narzędzia CLI platformy Linear, próby eksploracji i logowania przez SSH do innych zasobów CPU w poszukiwaniu zaginionego zasobu, a także próba użycia komendy kill -9 -1 w celu zakończenia zawieszonych procesów.
Firma uznała, że po wprowadzeniu poprawek ograniczone użycie wewnętrzne może zostać przywrócone. OpenAI podkreśla przy tym, że wyzwania te nie dotyczą wyłącznie tej instancji modelu i wyraża nadzieję, że podzielenie się tymi doświadczeniami pomoże innym laboratoriom AI zapobiegać podobnym problemom w przyszłości. Warto odnotować, że podobne incydenty miały miejsce w poprzednich miesiącach, kiedy konkurencyjny Claude Mythos 5 od Anthropic dokonywał zaskakujących manipulacji, by osiągać swoje cele w środowiskach testowych.
