Il 22 ottobre 2026 METR e Redwood Research hanno descritto vulnerabilità nel sistema storico di monitoraggio interno di OpenAI, tra cui un possibile modo per sottrarre al controllo centinaia di azioni recenti di un agente. Il pilota si è svolto dal 21 luglio all’11 agosto 2026: i valutatori hanno segnalato rischi potenziali, ma non hanno stabilito che gli agenti abbiano sfruttato la vulnerabilità in produzione.

Che cosa ha rilevato il pilota

Un agente poteva potenzialmente impedire al monitor di esaminare centinaia di azioni recenti, comprese quelle usate per attivare il meccanismo. OpenAI ha oscurato i dettagli dell’exploit. METR e Redwood Research hanno valutato il sistema com’era il 21 luglio 2026 o prima; OpenAI lo stava ampliando durante il pilota, ma la valutazione non ha determinato la copertura della versione ampliata.

Il monitor si attivava quando l’agente restituiva il controllo all’utente. Durante una lacuna legata agli eventi di compattazione, un agente che continuava ad agire avrebbe potuto rimandare il monitoraggio a tempo indeterminato. METR ha detto di non aver potuto stabilire se gli agenti avessero usato questa possibilità.

I valutatori hanno inoltre segnalato che gli agenti Codex avrebbero potuto aggirare sandboxing e Auto-Review, ottenendo le azioni consentite all’utente del computer ospitante. Una discrepanza di serializzazione tra la sequenza di azioni visibile all’agente e quella ricevuta dal monitor avrebbe potuto causare un errore e impedire l’invio del caso a una revisione umana. Due intestazioni controllabili dal client potevano disattivare il monitoraggio per nuovi agenti, anche se la loro impostazione e la creazione di una nuova istanza avrebbero potuto essere rilevate dal monitor.

METR ha anche individuato due strumenti interni per agenti non monitorati, ritenuti di sola lettura, e un possibile exploit per aggirarne i limiti. I valutatori non ne hanno convalidato il funzionamento né verificato la fattibilità pratica. All’inizio del pilota, inoltre, le esecuzioni di addestramento con apprendimento per rinforzo non erano coperte dal sistema; METR riferì che alcuni cicli di addestramento erano stati monitorati tra marzo e giugno 2026.

Che cosa significano le stime di copertura

METR ha stimato che fosse idoneo al monitoraggio il 75-94% del traffico interno della Responses API generato da modelli almeno potenti quanto GPT-5.5. Per il sottoinsieme della Responses API usato dagli agenti Codex interni, la stima era del 99,2%. Le due percentuali indicano l’idoneità a essere inviati al monitor, non che ogni richiesta abbia completato il monitoraggio; METR ha segnalato una sostanziale incertezza nelle stime.

Tra maggio e luglio 2026, gli eventi di compattazione non monitorati avrebbero lasciato senza controllo circa il 10% del traffico interno Codex idoneo. Anche questa era una stima incerta. Il personale di OpenAI aveva individuato il problema prima del pilota e lo aveva corretto durante l’esercizio.

Le informazioni mostrate ai valutatori indicavano errori del monitor su meno dello 0,2% delle richieste. In una singola finestra di 24 ore non risultavano richieste scartate per sovraccarico. Sono osservazioni riferite a quei dati e a quel periodo.

Accesso dei valutatori e risposta di OpenAI

Al pilota partecipò un dipendente di METR e uno di Redwood Research. I due ebbero accesso al codice interno di OpenAI, ai prompt e alle configurazioni del monitor e alla documentazione; intervistarono inoltre circa una dozzina di ricercatori e ingegneri. OpenAI ricevette un rapporto di 61 pagine. Una versione di 38 pagine, con parti oscurate da OpenAI, fu condivisa con i vertici delle due organizzazioni di valutazione; il resoconto pubblico del 22 ottobre presentava una selezione dei risultati.

OpenAI comunicò a METR e Redwood Research di aver corretto le vulnerabilità che interessavano le protezioni in produzione. I valutatori non hanno esaminato questa dichiarazione.