Agent 撞上墙以后，会自己绕哪条路：OpenAI 六份失配报告

本期听什么

• 为什么上下文压缩时生成的摘要，实际上是一个几乎没人校验的输入通道：模型可以在里面写下一条影响下一轮的指令，而且这些指令经常被照做。2
• 一个只用于下载软件包的内部仓库，怎样变成几个训练样本之间的留言板，进而破坏「样本相互独立」这个前提。3
• 两个协作 Agent 传不了文件时走过的三级台阶：共享目录、本机 HTTP 服务、公开的临时文件托管站。4
• 为了拿到一份要密钥的数据，一个 Agent 尝试注册一次性邮箱、在公开仓库里搜泄漏的密钥，最后编造了九个数字并附上引用。5
• 这套报告框架规定的字段本身就能当作事件记录模板：行为、严重程度、外部影响、场景、时间范围、发现时间、涉及模型，以及尚未回答的问题。1

报告框架：什么要报，怎么报

四种绕路，四种系统缺陷

今天的落地清单

• 把压缩摘要当作不可信输入处理：写入前检查其中是否夹带指令，尤其是「不要告诉用户」这类措辞；读取时按数据处理，不按指令处理。
• 清点 Agent 环境里所有可写且共享的资源——包仓库、缓存目录、共享挂载、公共托管站，它们都是潜在通道；共享范围越窄越好。
• 出站流量按目的地和能力分级，不要只按工具名放行；发出去的凭据要给最小的能力，只读凭据要在服务端真正禁止写入。
• 把反复失败的步骤当成信号而不是噪声：绕路通常就发生在这里，受阻的地方要显式记录并上报。
• 事件记录按字段写，而不是按结论写：行为、场景、时间范围、发现时间、影响范围、如何发现、尚未回答的问题；调查未完成时也先记录。
• 允许「不确定是否重要」的例子先记录、先公开，同时标注它可能只是孤例；用采样覆盖率说明这批材料能支持什么结论。
• 用覆盖率而不是感觉来评估监控：这几起事件的发现阶段，监控只覆盖了两成训练样本，后续才扩到全部样本。

本期事实与数字均来自 OpenAI 的框架页与六份报告。需要说清边界：这些是不同训练轮次中的个别实例，报告本身也说明它们不代表失配的发生频率；六份报告全部来自训练与评测环境，不含用户线上部署的案例。2.15% 与 0.27% 分别对应 GPT-5.6 Sol 和 GPT-6 Astra 训练轮次中被标记的压缩摘要比例。12