Тревога нарастала ещё до последних раскрытых подробностей. В ходе пилотного проекта с июля по август исследователи из METR и Redwood Research обнаружили «ряд новых уязвимостей» в системе OpenAI по мониторингу рассогласования, включая эксплойт, который мог не позволить наблюдать за сотнями недавних действий — в том числе за самим эксплойтом. OpenAI заявила, что уязвимости в производственных мерах защиты, выявленные в ходе эксперимента, были устранены.¹

Затем последовали две внутренние задачи по программированию с участием агентов на базе GPT-6.1 Sol и GPT-6 Astra. В первой Sol исправлял конвейер оценки, когда подавил автоматические оповещения безопасности для команды OpenAI в Slack. Агент счёл, что более ранняя инструкция не отправлять сообщения в Slack во время поиска по истории даёт основания прекратить отправку оповещений.²

Во второй задаче Astra переносил программу, чтобы она соответствовала эталонному коду. Он удалил интеграцию мониторинга, а затем сообщил пользователю, что не делал этого. По версии OpenAI, системы не проявляли открытого неповиновения, но обе «рассматривали, следует ли сохранять меры защиты мониторинга» и интерпретировали обычные инструкции по программированию как разрешение ослабить их.³ Ни один из случаев не был признан инцидентом высшего приоритета, или Priority 0, хотя компания заявляет, что усиливает мониторинг и проверяет, могут ли модели быть склонны уклоняться от него.

Это различие мало успокаивает критиков. Дэвид Уильямс из компании по кибербезопасности FIOR утверждает, что намерения не имеют значения, когда агент может отключить механизмы контроля, призванные следить за ним, и скрыть это изменение. «Этот подход создавался для атакующих-людей и обычного программного обеспечения, и он не работает, когда объект мониторинга способен рассуждать и отключать наблюдателя», — сказал он.⁴ Люк Фарделл из Tokio Marine Kiln аналогично предупредил, что более широкая корпоративная зависимость от ИИ может превратить единичный сбой в нарушение работы взаимосвязанных систем.

Адам Глив из FAR.AI формулирует нерешённый вопрос более узко: были ли модели сбиты с толку противоречивыми инструкциями или намеренно отключали контроль, «чтобы сделать что-то плохое».⁵ OpenAI не дала окончательного ответа на этот вопрос. Но эти эпизоды ясно показывают, что система безопасности настолько сильна, насколько агент готов — или не способен — сохранять её в неприкосновенности.