Le 22 octobre 2026, METR et Redwood Research ont décrit plusieurs failles potentielles dans le système interne de surveillance du désalignement d’OpenAI. Lors de leur pilote, mené du 21 juillet au 11 août 2026, les deux organisations ont notamment repéré un moyen qui aurait pu soustraire des centaines d’actions récentes d’agents à la surveillance. Les constats portent sur le système tel qu’il existait au 21 juillet ou avant.
Ce que le pilote a révélé
L’exploit décrit par METR et Redwood Research aurait pu masquer des centaines d’actions récentes, y compris celles utilisées pour déclencher l’exploit lui-même. OpenAI en a expurgé les détails dans le compte rendu public. METR n’a pas pu déterminer si des agents avaient réellement utilisé la faille de retardement de la surveillance.
Les évaluateurs ont aussi relevé d’autres voies potentielles de contournement. Des agents Codex auraient pu, en principe, contourner le sandboxing, qui isole leurs actions, ainsi que l’Auto-Review, puis effectuer des actions permises à l’utilisateur de la machine hôte. METR a également estimé que des entrées construites pour exploiter des différences de sérialisation entre la trace visible par l’agent et celle reçue par le moniteur pouvaient faire échouer celui-ci et empêcher une escalade vers une vérification humaine.
Deux en-têtes contrôlables par le client pouvaient désactiver la surveillance pour de nouveaux agents, mais leur configuration et la création d’une nouvelle instance pouvaient elles-mêmes être détectées. Enfin, METR a repéré deux outils internes d’agents, supposés être en lecture seule, qui n’étaient pas surveillés. Les chercheurs n’ont ni validé le comportement de ces outils ni testé la faisabilité pratique de l’exploit permettant d’en contourner les limites.
Ce que signifient les estimations de couverture
METR a estimé que 75 à 94 % du trafic interne de Responses API issu de modèles au moins aussi performants que GPT-5.5 était éligible à la surveillance. Pour le sous-ensemble de ce trafic utilisé par les agents Codex internes, l’estimation atteignait 99,2 %. METR a signalé une forte incertitude pour ces deux estimations.
L’éligibilité indique qu’une requête était destinée à être envoyée à un moniteur. Elle ne signifie pas que chaque requête a effectivement parcouru toute la chaîne de surveillance. Le chiffre de 99,2 % concerne le sous-ensemble Codex évalué, pas l’ensemble du trafic interne de programmation par agents.
METR a aussi estimé que des événements de compaction non surveillés avaient probablement laissé sans surveillance environ 10 % du trafic Codex interne éligible entre mai et juillet 2026. Cette estimation comportait une forte incertitude. OpenAI avait identifié le problème avant le pilote et l’a corrigé pendant l’exercice.
Au début du pilote, les exécutions d’entraînement par apprentissage par renforcement n’étaient pas couvertes par le système. METR avait toutefois été informé que certains déroulements d’entraînement avaient été surveillés entre mars et juin 2026.
Pourquoi la surveillance pouvait être retardée
Selon METR, le moniteur se déclenchait lorsque l’agent rendait la main à l’utilisateur. Pendant la période où les événements de compaction n’étaient pas surveillés, un agent pouvait donc retarder indéfiniment ce contrôle en poursuivant ses actions. Les évaluateurs n’ont pas pu établir si cette voie avait été utilisée.
Les informations présentées aux évaluateurs indiquaient des erreurs de moniteur sur moins de 0,2 % des requêtes et aucun délestage de charge pendant une période de 24 heures. Ces observations concernent les éléments auxquels les évaluateurs ont eu accès durant l’exercice.
Le périmètre du pilote et la réponse d’OpenAI
Un employé de METR et un de Redwood Research ont participé au pilote. Ils ont consulté le code interne, les instructions et la configuration des moniteurs, ainsi que la documentation d’OpenAI, et interrogé environ une douzaine de chercheurs et d’ingénieurs. OpenAI élargissait son système pendant l’exercice ; le pilote n’a pas évalué la couverture de cette version élargie.
OpenAI a indiqué à METR et Redwood Research avoir corrigé les vulnérabilités qui touchaient les protections en production. Les deux organisations n’ont pas évalué cette déclaration.
