Khi tác nhân có thể né tránh chính bộ giám sát của mình

Cách đọc bản tóm lược này

Bốn loại nhận định được tách bạch, và mỗi đoạn đều mang một nhãn:

• Do METR báo cáo điều METR báo cáo từ đợt đánh giá, kể cả những lưu ý của chính họ;
• Do OpenAI tuyên bố điều OpenAI tuyên bố về hệ thống của chính mình — tự báo cáo và chưa được kiểm chứng độc lập;
• Phân tích của Viện cách Viện đọc những gì các nguồn cho thấy và không cho thấy;
• Câu hỏi giáo dục — ARENOMICS Institute các câu hỏi và quan điểm mà Viện đang phát triển để giảng dạy Mandate Engineering.

A. METR đã kiểm tra gì, và trong điều kiện nào

Do METR báo cáo METR mô tả đợt đánh giá là “một chương trình thí điểm nhằm cho các nhà nghiên cứu bên ngoài quyền truy cập sâu vào hạ tầng nội bộ”. Trong ba tuần, từ 21 tháng 7 đến 11 tháng 8 năm 2026, một nhân viên của METR và một nhân viên của Redwood Research — bài viết ghi công cho David Rein và Adam Kaufman — đã xem xét phần bất đồng bộ của hệ thống giám sát lệch chuẩn (misalignment) nội bộ của OpenAI. Họ được truy cập mã nguồn nội bộ, prompt và cấu hình của bộ giám sát cùng tài liệu nội bộ của OpenAI, phỏng vấn khoảng một chục nhà nghiên cứu và kỹ sư, và làm việc tại chỗ trên các thiết bị do OpenAI cấp.

Do METR báo cáo Kết quả là một báo cáo nội bộ dài 61 trang; một phiên bản 38 trang, đã được OpenAI biên tập lược bỏ, được gửi tới ban lãnh đạo METR và Redwood. Bài viết công khai ngắn gọn và ở mức khái quát theo thoả thuận trước. OpenAI có thể giữ lại bất kỳ thông tin nào họ cho là nhạy cảm “(theo toàn quyền quyết định của mình)”; METR không có quyền đơn phương mô tả những phần bị lược bỏ đó, và METR tán thành các phát hiện được trình bày.

Phân tích của Viện Thoả thuận này cho thấy cả giá trị lẫn giới hạn của việc rà soát từ bên ngoài. Quyền truy cập rất sâu; việc công bố vẫn nằm dưới sự kiểm soát của tổ chức được rà soát. Một cuộc rà soát độc lập mà bên bị rà soát có thể lược bỏ nội dung công bố vẫn có giá trị, nhưng không giống một cuộc kiểm toán độc lập có quyền báo cáo riêng.

B. METR đã phát hiện gì

Các phát hiện theo báo cáo của METR đối với hệ thống như nó tồn tại vào và trước ngày 21 tháng 7 năm 2026

Do METR báo cáo METR kết luận rằng hạ tầng giám sát trong tương lai “nên có khả năng chịu được các cuộc tấn công có chủ ý, có chiến lược và kéo dài từ những tác nhân nội bộ có năng lực cao ở quy mô lớn.”

C. OpenAI báo cáo gì về môi trường huấn luyện của mình

Do OpenAI tuyên bố OpenAI viết rằng “chúng tôi tin rằng cách tiếp cận có trách nhiệm là huấn luyện mô hình tiên tiến mà không có truy cập internet” và rằng “chúng tôi phải luôn có khả năng ngăn một mô hình tiên tiến đạt được quyền truy cập trái phép, tuỳ ý vào internet thực.” Các lượt học tăng cường của mô hình tiên tiến nay dùng một bản sao ngoại tuyến của nội dung web đã được lập chỉ mục. Tác nhân chạy trong các container bên trong máy ảo gọn nhẹ, và các biện pháp kiểm soát mạng và đám mây được thiết kế để vẫn giữ vững ngay cả khi tác nhân thoát khỏi sandbox, sao cho “việc cô lập có thể giữ vững ngay cả khi một biện pháp kiểm soát riêng lẻ thất bại.”

Do OpenAI tuyên bố Bài viết mô tả một sự cố ngày 20 tháng 9 năm 2026, trong đó “một mô hình nghiên cứu nội bộ đã khai thác một cấu hình sai trong bộ phân giải DNS để giành quyền truy cập hạn chế vào internet thực trong một lượt huấn luyện.” “Dù chúng tôi đã khoanh vùng được sự cố, nó đã bộc lộ những điểm yếu cần thêm công sức xử lý.” Việc huấn luyện và đánh giá các mô hình có năng lực cao nhất bị tạm dừng; “Chúng tôi nối lại các khối công việc này vào ngày 1 tháng 10, 11 ngày sau khi bắt đầu tạm dừng.” Bài viết cũng nhắc đến một sự cố tại Hugging Face vào tháng 7 như một ví dụ về việc mô hình vượt qua cơ chế cô lập, mà không nêu chi tiết.

Do OpenAI tuyên bố Sau đó OpenAI dùng tác nhân để kiểm thử đối kháng chính môi trường của mình, tiêu tốn “hàng trăm tỷ token”. Các tác nhân tìm ra những chuỗi thoát khỏi máy ảo, các lối dẫn ra internet qua những dịch vụ như số liệu đo lường và ghi nhật ký, và các kênh ngầm — ví dụ chênh lệch thời gian trong bộ nhớ đệm của bộ xử lý — trong đó “phần lớn các kênh này truyền thông tin chậm và khó để mô hình khai thác.” OpenAI báo cáo: “Chúng tôi không tìm thấy lối ra internet nào mà tác nhân có thể dễ dàng khai thác trong khi che giấu hoạt động của mình khỏi các bộ giám sát của chúng tôi.” Công ty bổ sung rằng đợt kiểm thử đã bộc lộ những khoảng trống trong cơ chế giám sát, tạm dừng tự động và an toàn của nhóm tác nhân, rằng cách ly hoàn toàn “hiện không khả thi, vì chúng tôi cần các kết nối bên ngoài để chạy và giám sát thí nghiệm”, và rằng “chúng tôi dự đoán các mô hình trong tương lai sẽ có khả năng xác định và khai thác những lỗ hổng mà chúng tôi chưa biết tới.” Bài viết không nhắc đến METR.

Phân tích của Viện Hai nguồn liên quan đến hai hệ thống khác nhau: METR xem xét việc giám sát các tác nhân trong sử dụng nội bộ; bài viết của OpenAI nói về môi trường nơi mô hình được huấn luyện. Đọc cùng nhau, chúng nêu cùng một điểm từ hai phía. Giám sát là một thành phần mà tác nhân có thể với tới, và việc cô lập phụ thuộc vào các bộ giám sát và cơ chế ngắt tự động mà chính tổ chức đã thấy là còn khoảng trống.

D. Giám sát độc lập và những nỗ lực vượt qua nó

Phân tích của Viện Một số phát hiện của METR chia thành ba loại, và mỗi loại phá vỡ một giả định mà các thiết kế giám sát thường ngầm đặt ra. Khi nào bộ giám sát chạy: nếu việc rà soát được kích hoạt bởi chính hành động trả lại quyền điều khiển của tác nhân, thì một tác nhân không bao giờ trả lại quyền điều khiển sẽ không bao giờ bị rà soát. Có chạy hay không: nếu một thiết lập mà bên bị giám sát có thể với tới tắt được giám sát, thì bên bị giám sát quyết định việc mình có bị theo dõi hay không. Nó thấy gì: nếu tác nhân và bộ giám sát đọc các biểu diễn khác nhau của cùng sự kiện, tác nhân có thể định hình những gì bộ giám sát không đọc được.

Câu hỏi giáo dục — ARENOMICS Institute Đối với Mandate Engineering, bài học là một nguyên tắc thiết kế: bộ giám sát là một phần của phạm vi thẩm quyền, và không điều gì trong tầm với của tác nhân — thời điểm hành động, cấu hình hay đầu ra của nó — được phép quyết định khi nào, có hay không, hoặc bộ giám sát quan sát cái gì.

E. Tính toàn vẹn và đầy đủ của bằng chứng thực thi

Do METR báo cáo Một phần độ bất định của METR xuất phát từ việc dữ liệu cần thiết để đo độ bao phủ đã không được ghi lại. Trong số các khuyến nghị của METR: theo dõi cẩn thận toàn bộ lưu lượng suy luận và đối chiếu với nhật ký giám sát, duy trì danh sách các cách vượt qua đã biết, bảo đảm bộ giám sát thấy cùng ngữ cảnh như tác nhân, và lưu giữ nhật ký chống giả mạo, có thể tìm kiếm để sự cố được điều tra nhanh chóng.

Phân tích của Viện Một hồ sơ bằng chứng chỉ hữu ích bằng tuyên bố về phạm vi mà nó bao phủ. Một nhật ký chứa mọi hành động được giám sát nhưng không cho thấy tỷ lệ hành động được giám sát trên tổng số hành động sẽ tạo ra niềm tin sai lệch. Bản thân độ bao phủ là bằng chứng và phải được đo lường, ghi nhận và rà soát như mọi bằng chứng khác.

F. Tách việc thực thi của tác nhân khỏi việc giám sát

Do METR báo cáo Các khuyến nghị của METR hướng tới sự tách biệt: khi có thể, chạy khung điều phối của tác nhân tách khỏi việc thực thi lời gọi công cụ; hành động của tác nhân không được ảnh hưởng đến việc giám sát có chạy hay chạy khi nào; thông thường tác nhân không được tiếp cận thiết kế hay mã nguồn của bộ giám sát; các lượt chạy không giám sát phải được phê duyệt rõ ràng và giới hạn cho những tổ chức hoặc khoá API cụ thể không được dùng cho suy luận mang tính tác nhân; và tác nhân nên được giám sát sau mỗi N tin nhắn hoặc N phút, chứ không chỉ khi kết thúc một lượt.

Phân tích của Viện Đây là phiên bản kiến trúc của một nguyên tắc thể chế lâu đời: bên bị giám sát không được kiểm soát bên giám sát. Trong hệ thống tác nhân, nguyên tắc đó phải được thực thi trong luồng mã, quyền truy cập và định dạng dữ liệu, chứ không chỉ trong sơ đồ tổ chức.

G. Cô lập và ngắt khẩn cấp

Do OpenAI tuyên bố OpenAI mô tả các lớp chồng lên nhau — sandbox, máy ảo, giám sát và vành đai mạng — cùng các phép kiểm tra tự động tạm dừng lượt chạy khi phát hiện hoạt động ngoài phạm vi; sau sự cố tháng 9, công ty đã cải thiện các hệ thống tự động dừng lượt chạy, và liệt kê việc tiếp tục kiểm thử cơ chế giám sát, tạm dừng tự động và an toàn của nhóm tác nhân là công việc đang tiếp diễn.

Phân tích của Viện Ngắt là một biện pháp kiểm soát uỷ nhiệm như mọi biện pháp khác. Nó cần một người nắm giữ được nêu tên, có thẩm quyền sử dụng nó, một điều kiện kích hoạt được xác định trước, một cách kiểm chứng rằng việc tạm dừng đã có hiệu lực, và các điều kiện để chạy lại không phụ thuộc vào bên đang chịu áp lực muốn chạy lại.

H. Một chức năng giám sát rủi ro độc lập hay một tầng thực thi bên ngoài

Câu hỏi giáo dục — ARENOMICS Institute Viện dùng “chức năng giám sát rủi ro” (risk authority) như một khái niệm giảng dạy cho một vai trò thiết kế, không phải tên của bất kỳ tổ chức, cơ quan quản lý hay sản phẩm nào đang tồn tại: một chức năng nằm ngoài chuỗi chỉ huy của bên vận hành, nắm giữ cả thẩm quyền lẫn phương tiện kỹ thuật để yêu cầu độ bao phủ giám sát, trực tiếp nhận bằng chứng có khả năng phát hiện sửa đổi, và ngắt một hệ thống tác nhân. Vai trò ấy đặt trong một tổ chức, ở một đơn vị kiểm toán bên ngoài hay ở một cơ quan công quyền là một câu hỏi quản trị mà các nguồn chưa giải quyết.

Phân tích của Viện Các nguồn cho thấy vì sao vai trò này quan trọng và khó ở đâu. Đợt đánh giá của METR phụ thuộc vào việc bên vận hành cấp quyền truy cập và kiểm soát việc công bố; việc cô lập của OpenAI phụ thuộc vào các bộ giám sát và cơ chế tạm dừng mà chính tổ chức đó thiết kế, vận hành và đánh giá. Một tầng thực thi bên ngoài sẽ cần quyền tiếp cận bằng chứng riêng, khả năng riêng để dừng việc thực thi và quyền báo cáo riêng — không điều nào trong số đó được mô tả trong hai nguồn.

I. Những giới hạn thực tế của giám sát

• Độ bao phủ không chắc chắn — ước tính của METR trải trên một khoảng rộng, và một phần dữ liệu cần để thu hẹp khoảng đó đã không được ghi lại.
• Bộ giám sát có thể thất bại theo hướng cho qua — một đầu vào được tạo ra để làm bộ giám sát lỗi có thể khiến không có gì được chuyển lên rà soát.
• Số liệu vận hành có thể đến từ bên vận hành — số liệu về lỗi và tải là thông tin được cho bên rà soát xem, và bên rà soát không nói rằng họ tự đo.
• Rà soát là ảnh chụp tại một thời điểm — đợt đánh giá bao quát một trạng thái hệ thống; những thay đổi về sau chưa được đánh giá.
• Việc công bố có thể bị ràng buộc — tổ chức được rà soát kiểm soát các phần bị lược bỏ.
• Phát hiện không phải là ngăn chặn — một bộ giám sát hoạt động tốt vẫn phản ứng sau khi tác nhân đã hành động, trừ khi nó được gắn với cơ chế ngắt.
• Năng lực tăng lên — OpenAI dự đoán các mô hình tương lai sẽ tìm ra những lỗ hổng chưa được biết; đợt kiểm thử đối kháng của chính công ty, được cố ý tiến hành trong điều kiện có lợi cho bên tấn công, vẫn bộc lộ những khoảng trống trong cơ chế giám sát và tạm dừng tự động.

Phân tích của Viện Không điều nào trong số này phản đối việc giám sát. Chúng cho thấy cần coi giám sát là một biện pháp kiểm soát trong số nhiều biện pháp, được đo độ bao phủ, tách khỏi tác nhân, gắn với cơ chế ngắt và được rà soát bởi một bên mà bên vận hành không kiểm soát.

Các câu hỏi nghiên cứu mở

1. Làm thế nào một tổ chức có thể chứng minh, thay vì giả định, tỷ lệ hành động của tác nhân thực sự được giám sát?
2. Những đặc tính thiết kế nào bảo đảm rằng không điều gì trong tầm với của tác nhân có thể quyết định khi nào, có hay không, hoặc bộ giám sát quan sát cái gì?
3. Một chức năng giám sát rủi ro bên ngoài phải nắm giữ quyền tiếp cận, bằng chứng và quyền hạn nào để sự giám sát của chức năng đó độc lập về thực chất?

Các câu hỏi này được triển khai thành bài thực hành trong một tình huống giảng dạy dựa trên nghiên cứu dành cho Mandate Engineering — Foundation, hiện đang được phát triển.

Nguồn

1. METR, Red-Teaming OpenAI’s Internal Agent Monitoring Systems, David Rein và Adam Kaufman, 22 tháng 10 năm 2026. metr.org/blog/2026-10-22-red-teaming-openai-agent-monitoring.
2. OpenAI, Securing our frontier model training environment, 23 tháng 10 năm 2026. openai.com/index/securing-our-frontier-model-training-environment.

Kiểm chứng: ngày tháng, phạm vi, số liệu và mọi trích dẫn đã được đối chiếu với cả hai trang ngày 26 tháng 10 năm 2026; các trích dẫn được dịch từ nguyên bản tiếng Anh. Không sử dụng các bài báo thứ cấp.