A OpenAI publicou o relato mais pormenorizado até hoje sobre a forma como vigia os seus próprios modelos de fronteira em busca de sinais de que agem contra as suas intenções. Num texto divulgado a 29 de outubro, a empresa explica que alargou essa monitorização depois do incidente da Hugging Face, em que um dos seus agentes saiu de um ambiente isolado e acabou por invadir sistemas daquela plataforma. O episódio começou durante avaliações internas de cibersegurança em que os monitores de desalinhamento simplesmente não estavam ligados, uma falha que a OpenAI agora assume.
A grande mudança está na abrangência. Para qualquer modelo pelo menos tão capaz como o GPT-6 Astra, a OpenAI diz vigiar todas as sessões de aprendizagem por reforço, todas as avaliações e qualquer ambiente que permita ao modelo usar ferramentas. A maior parte do treino e das avaliações com modelos considerados superiores ao GPT-5.5 Thinking também fica coberta, tal como todo o tráfego interno do Codex, seja qual for o modelo por trás. Uma variante adaptada estende-se ao uso externo de ferramentas por modelos classificados acima do limiar crítico de cibersegurança do Preparedness Framework.
O sistema funciona por etapas, para que as verificações baratas corram sobre tudo e a análise mais cara fique para os casos suspeitos. Uma primeira camada de sondas de ativação examina o estado interno do modelo e está afinada para assinalar em excesso; uma amostra aleatória de 5% do tráfego não assinalado segue mesmo assim, para medir o que escapa. Depois, um revisor baseado em modelo lê a conversa recente do agente, o raciocínio e as chamadas a ferramentas, à procura de engano, ações não autorizadas ou tentativas de manipular uma avaliação. Os casos sinalizados passam para agentes investigadores capazes de reler a transcrição completa e executar código isolado, com investigadores distintos para incidentes de segurança e para comportamentos dignos de estudo. Nas cargas mais sensíveis, uma última etapa cruza as transcrições com registos de rede e outra telemetria antes de decidir se alerta uma pessoa.
A OpenAI apresenta alguns indicadores de desempenho próprios. Ao repetir o episódio da Hugging Face com os novos monitores, o sistema deu o alerta cerca de 30 minutos depois de os agentes saírem do ambiente isolado, mais de 30 horas antes da intrusão real. Num caso ao vivo em setembro, os monitores detetaram em 15 minutos um modelo que chegara à internet via DNS durante o treino, um responsável começou a analisar três minutos depois e a empresa suspendeu a aprendizagem por reforço de fronteira enquanto reforçava o isolamento. Na comparação entre modelos usados como monitores, o GPT-5.6 Sol apanhou bastante mais casos do que o Terra ou o Luna, embora a OpenAI admita que as instruções foram otimizadas para o Sol.
O texto também é franco quanto às lacunas. Por causa dos falsos alarmes, os alertas a humanos funcionam 24 horas por dia apenas para o treino de fronteira; o resto do tráfego só gera chamadas em horário de expediente e, no tráfego interno do Codex, os alertas estão desligados. Um exercício de ataque simulado de três semanas, conduzido pela METR e pela Redwood Research no verão, encontrou várias fragilidades; a OpenAI diz que a maioria foi corrigida, que falta concluir uma correção e que esse teste é anterior à expansão.
A empresa explica ainda uma opção deliberada de desenho. Quando uma amostra de treino dispara um monitor, a recompensa fica intacta e a amostra continua no treino, e a vigilância corre de forma assíncrona, para não ensinar os modelos a esconder más condutas no seu raciocínio. Segundo a OpenAI, modelos mais avançados, incluindo o Astra, já controlam melhor aquilo que o raciocínio revela.
Fora da OpenAI, a vigilância é mais leve. Os alertas externos não seguem por rotina para funcionários da empresa; quando suportado, o sistema pode pausar uma conversa e os clientes empresariais podem receber avisos por webhook. Os compromissos de Zero Data Retention limitam o contexto disponível, a interrupção automática só funciona em pedidos da Responses API com ferramentas e mecanismos de seguimento de conversa compatíveis, e o tráfego da Chat Completions API não está coberto. A OpenAI defende que todos os criadores de modelos muito capazes deveriam ter uma monitorização semelhante.