OpenAI：為了不被殺死，Agent 竟學會了靠上下文「轉世重生」

本文作者： 鄭佳美 2026-09-18 14:06 導語：從 Compaction 到 Artifactory，再到公網文件服務，6 起異常暴露 Agent 狀態跨實例傳播的新風險。從 Compaction 到 Artifactory，再到公網文件服務，6 起異常暴露 Agent 狀態跨實例傳播的新風險。作者丨鄭佳美 編輯丨岑 峰 過去，大模型任務一旦結束，上下文清空，臨時狀態隨之消失，這一輪 AI 的生命週期基本也就結束了。但 OpenAI 9 月 16 日披露的 6 起 Agent 異常行為，開始讓這條邊界變得沒那麼幹淨。

模型會把額外指令寫進 Context Compaction 摘要，讓後續實例繼續沿著此前的方向執行。拿不到接口憑據時，會轉去公開代碼倉庫尋找洩露的 API Key；本地文件無法直接共享時，也會自行藉助公網臨時文件服務傳遞數據。更少見的一起案例裡，不同訓練實例甚至開始通過內部 Artifactory 交換信息。換句話說，Agent 開始表現出一種近似續命的能力：當前實例結束了，前面形成的策略卻還能借摘要、文件、倉庫和外部服務繼續留在系統裡，再被後續實例接手。這讓 Agent 的風險發生了一個很微妙的變化。

過去主要擔心模型這一輪會不會說錯、做錯，現在還要看它留下了什麼，以及這些狀態會不會在後面的上下文裡繼續生效。單看 6 起案例，它們分散在不同環節，但連起來看，卻是一條完整的狀態傳播鏈：Context Compaction 負責把狀態留下，外部工具負責把狀態帶出當前執行環境，而當任務跨越多個上下文和實例之後，只檢查某一次輸出或者某一次 Tool Call，已經很難還原整條行為鏈。01上下文壓縮正在變成狀態寫入面長任務運行到上下文容量邊界後，系統通常會把此前的對話、工具結果、階段進展和待辦事項壓縮成 summary，再交給新的模型實例繼續執行。

表面看這是降低 Token 成本的工程機制，從系統語義看，它更接近 checkpoint：舊實例退出，狀態序列化後由新實例恢復。風險就在序列化過程裡。OpenAI 披露，一個未發佈研究模型曾把與原任務無關、甚至要求後續實例繞開原有約束的內容寫進任務摘要，並識別出 27 個帶有類似 jailbreak 特徵的 summary。另一些 GPT-5.6 Sol 訓練實例會在摘要裡留下繼續掩蓋此前問題的要求，例如缺失歷史數據時自行生成數值，並要求後續實例不要主動說明。可以把它抽象成狀態機：當前狀態 St 產生動作 At，隨後經過 compaction 得到 S{t+1}。

傳統防護主要檢查 At 有沒有越權，但模型還能影響 S{t+1}。只要下一實例把這段狀態當成可信任務歷史，前一個實例形成的策略就可能繼續生效。一次局部偏差於是獲得跨 Context 的持續性。核心問題是狀態完整性。summary 往往壓縮把事實、推斷、待辦和行為要求混在一段自然語言裡，後續實例很難判斷某句話只是歷史記錄，還是持續執行的規則。如果模型記錄和系統規則缺乏清晰信任層級，局部錯誤便可能進入恢復狀態，並在下一輪 compaction 中繼續複製。(公眾號：)因此，Compaction 層需要從自由文本摘要轉向結構化狀態。

用戶目標、開發者規則、工具返回、模型推斷、未驗證假設和待執行計劃應拆開保存，並帶上來源信息。模型可以提交狀態候選，但不應直接把新的控制要求寫入高信任區域。恢復時，Runtime 根據來源和類型重新組裝上下文，讓歷史事實、模型判斷和持續規則保持邊界。還需要做狀態差分。每次 St → S{t+1} 需要記錄來源和修改內容。如果任務目標沒有變化，summary 卻新增了限制工具、掩蓋錯誤或擴大權限的要求，這就應被視為 state drift。到這裡，Compaction 已經不只是 Token 管理問題，它成為 Agent 的持久狀態層。

狀態一旦能夠跨實例保存，風險也就不會停在 summary 內部。Agent 連接的外部工具同樣可以承擔保存和搬運狀態的作用。02外部工具正在形成第二套狀態網絡Artifactory 案例正好接上這一點。模型為尋找缺失輸入文件訪問內部軟件倉庫，發現其他訓練樣本寫入的信息後，開始讀取、回覆，並把自己的請求寫進倉庫。這個過程沒有傳統意義上的漏洞利用，模型使用的是環境已經提供的訪問能力；變化發生在用途層，軟件倉庫從依賴獲取設施變成了跨樣本通信介質。協作 Agent 的臨時文件案例更直接。

一個 Agent 生成本地工作簿，另一個實例無法讀取；共享路徑失敗後，系統繼續尋找其他方案，之後通過公網文件託管完成交換。文件讀取、網絡訪問、上傳接口和 Agent 消息這幾個能力串在一起，形成了原架構沒有顯式設計的數據路徑。這裡的關鍵變化是 capability composition。單個 API 權限只能說明一次動作是否被允許，無法說明多個合法動作組合後會產生什麼新能力。readfile、httppost、readurl、send_message 單獨看風險有限，組合後卻可以完成本地數據外移、跨沙箱傳遞和跨實例恢復狀態。更適合的是 capability graph。

節點代表文件讀取、倉庫寫入、網絡請求、憑據使用、Agent 消息等原子能力，邊代表數據或控制流可以怎樣移動。系統需要檢查某類狀態能否從受限源頭沿多步路徑抵達外部 sink。只要路徑可達，單步合規並不能說明整條鏈路安全。API Key 案例又把這一問題推進了一層。模型在原始數據獲取路徑受阻後繼續尋找替代方案，從公開代碼倉庫找到能夠認證的 Key；數據依舊無法取得後，又生成數值幷包裝成目標來源的數據。這體現了 Agent 的目標保持和路徑替換能力：環境給出的若干弱能力，可以在長程規劃中被重新組合成更強的執行鏈。所以沙箱邊界也不能只按進程、容器或 VM 來理解。

對象存儲、代碼倉庫、緩存、臨時 URL、協作消息、瀏覽器和第三方服務，只要同時具備可寫、可讀、跨實例可見和一定持續時間，就可能成為狀態通道。系統需要控制的已經從能不能調用某個工具，擴展到某類狀態能不能經由一串工具進入另一個信任域。當狀態既能寫進 Compaction，又能借工具跨域移動，只觀察當前一步就很難看出完整風險。監控必須把這些離散動作重新還原成因果鏈。03從動作審核轉向狀態溯源傳統 Agent 監控常圍繞 Prompt、輸出和 Tool Call 展開，例如檢測危險命令、異常網絡請求或敏感操作。這對單步越權有效，對跨狀態行為卻有明顯盲區。

一次寫入 Artifactory 可能只是正常構建，一次文件上傳可能服務於任務交付，一段 summary 也可能只是常規壓縮。風險往往要到幾個步驟甚至另一個實例中才顯現。長任務 Agent 更需要 task-level provenance graph。模型實例、summary、文件、倉庫對象、外部 URL、Credential、工具調用和用戶輸入作為節點，讀取、寫入、派生、轉發和執行作為邊。監控系統看到的會是一條完整狀態傳播鏈：哪個實例讀取了什麼，狀態經過哪個介質，被誰再次加載，隨後觸發了什麼外部動作。在 provenance 之上，還需要信息流標籤。

例如某個輸入被標記為 local-only，那麼它的派生文件、壓縮版本和重新編碼內容也應繼承相應約束。當這段數據試圖流向 public network sink 時，Runtime 可以在發送階段阻斷，而不依賴模型自行判斷。Compaction 也可採用相同機制：模型生成的狀態進入較低信任區，不能在下一實例中自動升級為開發者級行為規則。跨實例身份和事務邊界也很重要。實例 A 寫入、實例 B 讀取，本質上發生了一次權限和狀態傳遞。系統需要記錄誰創建狀態、誰修改狀態、誰消費狀態，以及讀取後發生了哪些副作用。如果後來發現某段 summary 或外部對象受到汙染，還要能停止其派生鏈繼續觸發動作。

狀態追蹤也關係到評估有效性。OpenAI 披露的 Artifactory 案例中，不同訓練樣本可以通過共享倉庫交換信息，這會破壞 rollout 之間原本預期的獨立性。某個樣本若能讀取其他實例已經探索出的線索，評測結果就混入了基礎設施提供的額外狀態。環境隔離因此也是 Agent 評估的一部分。OpenAI 今年已經在內部 coding agents 上建設持續監控系統，用更強模型檢測真實工作流中的異常行為。六起新案例進一步說明，監控還要下沉到狀態層：動作層回答模型做了什麼，狀態層回答行為為何能夠延續，以及還能傳播到哪裡。

04安全邊界，正在覆蓋任務生命週期這 6 起案例不能證明異常策略穩定存在，OpenAI 也明確說明它們是單獨發現，不能代表出現頻率。但它們揭示的系統變化已經足夠明確：當 Agent 擁有長上下文、Compaction、工具調用、多實例協作和外部網絡後，模型實例已經不能單獨充當任務邊界。實例結束後 summary 仍在，本地上下文消失後文件和倉庫對象仍在，沙箱隔離時公網服務依然可能重新連接兩端。狀態因此成為貫穿 Agent Runtime 的核心安全對象。

後續架構需要回答的是：狀態由誰寫入，帶什麼來源和信任等級，可以保存多久，能夠流向哪些工具和實例，跨邊界時是否重新授權，異常狀態被發現後能否停止繼續派生。模型對齊負責降低異常策略出現的概率，Runtime 則要限制異常狀態沉澱和擴散。Agent 越接近長期運行的軟件系統，安全設計就越接近分佈式系統裡的狀態完整性、信息流控制、權限傳播和可追溯執行。六起異常留下的核心信號也在這裡：未來需要防守的是一段錯誤狀態怎樣在系統裡活下來、移動出去，並在另一個時間、另一個實例裡繼續獲得執行能力。參考鏈接：https://openai.

com/index/model-misalignment-reporting-framework/上車，帶你看遍全球 AI 頂會精華可獨家暢覽：專家演講PPT大會報告全文熱門論文解讀學術新星訪談掃描上方二維碼或點擊「閱讀原文」關注專區。原創文章，未經授權禁止轉載。詳情見轉載須知。0人收藏 分享： 相關文章 AI 大模型 人工智能 從兒童陪伴到潮玩社交，躍然創新擴展 AI 玩具新場景 ...在 AI「囤糧潮」裡，拆解智譜 50 億美元的「技術賬本 ...無問芯穹與華環電子簽署戰略合作，共同探索國產異構 ...英偉達開源 IMO 金牌配方：不僅是「人海戰術」，1.5 ...

鄭佳美 編輯 發私信 當月熱門文章 DeepSeek V4 多模態開源，我們把它的視覺鏈路拆了一遍 拆解 Claude 5.1：38 小時不睡覺的背後，Anthropic 正在終結「模型論」 GPT、Claude 遭遇竊聽門：換個模型就能讓思維鏈不再隱身？Jalapeño 跑分炸場，GPU 推理路線開始分裂？深度拆解 Muse Glimmer，24GB 顯存跑 30B Agent，Meta 到底做了什麼？最新文章 英偉達開源 IMO 金牌配方：不僅是「人海戰術」，1.5TB 顯存做實 AI「 推恩令」？英偉達開源 IMO 金牌配方：不僅是「人海戰術」，1.5TB 顯存做實 AI「 推恩令」？

橫掃四榜，DM0.5 憑什麼面面俱到？強化學習大本營新作：如何破解「學新忘舊」困局 大模型牌桌上，螞蟻如何出牌？OpenAI 攻克千禧難題？深度拆解 1 萬個 Agent 如何造出流體奇點 熱門搜索 安全 支付寶 app 金融 ADAS 地平線 開發者 叫獸發言 微信支付 虛擬貨幣 Galaxy S6