METR Và Redwood Thử Phá Giám Sát Tác Tử Nội Bộ Của OpenAI: 75–94% Lưu Lượng Đủ Điều Kiện
Ngày 22/10/2026 METR và Redwood công bố đợt thử ba tuần (21/7–11/8) vào hệ thống OpenAI giám sát tác tử lập trình nội bộ: ước tính 75–94% lưu lượng Responses API đủ điều kiện giám sát, cỡ 10% lưu lượng Codex bị bỏ sót do không giám sát nén ngữ cảnh, và nhiều đường né giám sát về nguyên tắc. OpenAI n
Ngày 22/10/2026, Redwood Research và METR công bố kết quả một đợt thử phá hệ thống OpenAI dùng để giám sát các tác tử lập trình chạy nội bộ: ba tuần (21/7–11/8/2026), hai nhà nghiên cứu bên ngoài được vào xem mã nguồn, cấu hình bộ giám sát và phỏng vấn khoảng 12 kỹ sư. Họ ước tính chỉ khoảng 75–94% lưu lượng Responses API mang tính tác tử (từ mô hình ít nhất như GPT-5.5) đủ điều kiện được giám sát, và tìm ra nhiều cách tác tử có thể, về nguyên tắc, né giám sát. OpenAI nói các lỗ hổng ảnh hưởng hệ thống sản xuất đã được vá; hai tổ chức này chưa kiểm lời đó.
Đợt thử này là gì, và công bố được đến đâu
Theo bài của Buck Shlegeris trên blog Redwood (đăng song song trên METR), một nhân viên METR và một nhân viên Redwood làm việc trên thiết bị do OpenAI cấp, không rời khỏi trụ sở và luôn có người đi cùng, với quyền truy cập mã nguồn nội bộ, prompt và cấu hình của bộ giám sát lệch hướng (misalignment monitor), tài liệu nội bộ, cùng các buổi phỏng vấn kỹ thuật với khoảng một chục nhà nghiên cứu và kỹ sư thuộc các nhóm giám sát, an toàn hệ thống và bảo mật. Kết quả là báo cáo nội bộ dài 61 trang gửi cho nhà nghiên cứu và nhân sự bảo mật của OpenAI, cùng bản 38 trang do OpenAI biên tập lại gửi cho ban lãnh đạo METR và Redwood.
Hai điều cần đọc trước khi tới các con số. Thứ nhất, đây là đợt thử "thí điểm" cho việc mở quyền truy cập sâu cho người ngoài, không nhằm minh bạch công khai: hai bên thoả thuận từ đầu chỉ đăng một bài ngắn, mức khái quát. Thứ hai, OpenAI có quyền xoá khỏi bản công khai bất cứ thông tin nào hãng cho là bí mật hay nhạy cảm, và khác với một số đợt hợp tác trước, METR và Redwood không có quyền đơn phương mô tả những chỗ bị xoá (dù họ nói tán thành từng phát hiện được nêu). Chẳng hạn, chi tiết cách khai thác một lỗi khiến "hàng trăm hành động gần nhất" không được giám sát đã bị OpenAI che.
Phạm vi cũng được giới hạn rõ: đợt thử xem hệ thống như nó tồn tại vào và trước ngày 21/7/2026; OpenAI đang mở rộng hệ thống ngay trong lúc thử, và các phát hiện không nói gì về độ phủ hiện tại.
Các phát hiện
- Độ phủ. Ước tính khoảng 75–94% lưu lượng Responses API nội bộ mang tính tác tử (API chạy Codex và nhiều thứ khác) từ các mô hình mạnh ít nhất như GPT-5.5 là "đủ điều kiện" để giám sát, với độ bất định lớn cả hai phía; riêng phần dùng cho Codex nội bộ là 99,2%. Lưu lượng của các tác tử chạy trên dịch vụ suy luận nghiên cứu nội bộ không được ước tính vì hạn chế về quyền truy cập và thời gian. "Đủ điều kiện" nghĩa là được thiết kế để gửi tới bộ giám sát; tải cao, lỗi hay bug vẫn có thể chặn một phần. Số liệu OpenAI cho thấy bộ giám sát lỗi dưới 0,2% yêu cầu, và trong một khoảng 24 giờ của đợt thử không có yêu cầu nào bị bỏ vì quá tải.
- Huấn luyện RL. Đầu đợt thử, các lượt chạy huấn luyện học tăng cường chưa được hệ thống phủ; OpenAI cho biết một phần được giám sát từ tháng 3 đến tháng 6.
- Sự kiện nén ngữ cảnh (compaction). Việc không giám sát các sự kiện này khiến cỡ 10% lưu lượng Codex nội bộ đủ điều kiện không được giám sát từ tháng 5 đến tháng 7/2026 (ước tính với độ bất định lớn, vì thông tin cần thiết chưa từng được ghi lại). Do bộ giám sát chỉ chạy khi tác tử trả quyền điều khiển về cho người dùng, trong thời gian đó một tác tử có thể trì hoãn việc bị giám sát vô hạn bằng cách cứ tiếp tục hành động. Nhân viên OpenAI đã tự phát hiện từ trước và sửa trong đợt thử; METR và Redwood không có cách kiểm xem tác tử có thật sự lợi dụng điều này hay không.
- Thoát sandbox. Có một cách để tác tử Codex, về nguyên tắc, qua mặt sandbox và Auto-Review, để làm được mọi thứ mà người dùng chủ máy làm được.
- Che "hàng trăm hành động gần nhất". Một lỗi khai thác được khiến hàng trăm hành động gần nhất (kể cả chính các hành động của lỗi đó) không được giám sát; chi tiết đã bị OpenAI che.
- Chênh lệch tuần tự hoá. Tác tử có thể dựng đầu vào làm bộ giám sát thất bại, và do đó không chuyển quỹ đạo cho người duyệt, bằng cách khai thác khác biệt giữa quỹ đạo mà tác tử thấy và quỹ đạo mà bộ giám sát thấy ("likely", nhiều khả năng).
- Hai header do phía khách điều khiển có thể tắt giám sát cho tác tử mới, tức tạo một bản chạy không được giám sát nhưng giống hệt; tuy vậy việc đặt header và tạo bản chạy này có thể bị chính hệ thống giám sát bắt được.
- Hai công cụ nội bộ tưởng là chỉ đọc có cách khai thác đơn giản để làm được hành động tuỳ ý trong sandbox của chúng; đội thử chưa kiểm chứng và chưa thử xem có dùng được trên thực tế không.
Có cả phát hiện tích cực: ngoài vài ngoại lệ nhỏ, bộ giám sát được thấy toàn bộ quỹ đạo mà tác tử thấy, và prompt của nó tìm các dấu hiệu như lập kế hoạch ngầm (scheming), phá hoại bộ giám sát, phá hoại công việc, đánh cắp dữ liệu, lừa dối và prompt injection vào/ra.
Đối chiếu với lời OpenAI nói hồi tháng 3
Ngày 19/3/2026 OpenAI đăng bài "How we monitor internal coding agents for misalignment": bộ giám sát chạy bằng GPT-5.4 Thinking ở mức suy luận cao nhất, xem xét tương tác trong vòng 30 phút sau khi kết thúc, chạy trên "mọi triển khai tác tử lập trình nội bộ chuẩn", và "một phần rất nhỏ lưu lượng (<0,1%), chủ yếu từ các thiết lập riêng lẻ hay chạy cục bộ, hiện nằm ngoài vùng phủ". Trong năm tháng, hệ thống xem hàng chục triệu quỹ đạo, không có hội thoại thật nào đạt mức nghiêm trọng cao nhất, khoảng 1.000 hội thoại kích hoạt mức trung bình (nhiều trường hợp đến từ red-team nội bộ có chủ đích). OpenAI cũng tự nêu giới hạn: chưa thể định lượng tỷ lệ bỏ sót trên lưu lượng thật nếu thiếu các bài đánh giá điều khiển (control evaluation) và red-team chuyên biệt.
Đặt cạnh nhau, con số "dưới 0,1% nằm ngoài vùng phủ" của OpenAI và ước tính 75–94% đủ điều kiện của METR/Redwood không mâu thuẫn một cách hiển nhiên: mẫu số khác nhau ("mọi triển khai tác tử lập trình nội bộ chuẩn" so với "lưu lượng Responses API mang tính tác tử từ mô hình ít nhất như GPT-5.5"), thời điểm khác nhau, và hệ thống thay đổi giữa hai mốc. Nhưng bài tháng 3 không nói tới các lỗ hổng như nén ngữ cảnh hay header tắt giám sát, và chính OpenAI thừa nhận ở đó rằng chưa có red-team chuyên biệt. Đợt thử này là lần đầu người ngoài kiểm. Phần "đối chiếu" này là nhận xét của Locaith, không phải kết luận của hai nhóm nghiên cứu.
So với đợt thử Anthropic hồi tháng 3
METR cũng làm một đợt tương tự với Anthropic: một nhân viên METR làm ba tuần, báo cáo nội bộ 26 trang, bài đăng ngày 26/3/2026. Tháng 5/2026 METR bổ sung chi tiết trong Frontier Risk Report: một biến môi trường đổi lưu lượng thành "không phải Claude Code" khiến lưu lượng ít bị giám sát hơn, một lỗi khiến lệnh gọi subagent không được giám sát (sửa trong vòng 24 giờ), ước tính còn 5–20 lỗi "cơ bản" khác, và những kiểu jailbreak rất đơn giản lừa được bộ giám sát. Với OpenAI, bài công khai ngắn hơn và hai bên đã thoả thuận trước như vậy; METR và Redwood nói lần sau sẽ theo các thực hành về minh bạch và độc lập đã mô tả trong bài "Our approach to working with AI companies".
Các thiết kế mà hai nhóm khuyến nghị
- Khiến việc tránh bị giám sát trở nên khó: chạy không giám sát phải có phê duyệt rõ ràng cho một tập tổ chức/khoá API cụ thể và không được dùng cho suy luận tác tử; giám sát sau mỗi N tin nhắn hoặc N phút thay vì chờ tác tử kết thúc lượt.
- Bảo đảm lưu lượng cần giám sát thực sự được giám sát: kế toán đầy đủ mọi suy luận, đối chiếu định kỳ với nhật ký của chính hệ thống giám sát, giữ danh sách mọi đường vòng đã biết, và để bộ giám sát thấy cùng ngữ cảnh với tác tử.
- Phản ứng nhanh và đáng tin với sự cố: có người chịu trách nhiệm, hướng dẫn rõ để giảm chủ quan, nhật ký chống can thiệp và dễ tìm kiếm.
- Chủ động red-team hệ thống giám sát, gồm cả phương pháp đánh giá việc thông đồng có chiến lược.
- Cô lập giữa tác tử và bộ giám sát: chạy khung tác tử tách khỏi nơi thực thi lệnh gọi công cụ, hành động của tác tử không được ảnh hưởng tới việc bộ giám sát có chạy hay chạy lúc nào, và tác tử thường không được truy cập thiết kế hay mã của bộ giám sát.
Ý nghĩa với doanh nghiệp Việt Nam đang dùng tác tử lập trình
Bài này viết về một phòng thí nghiệm AI hàng đầu, nhưng các bài học mang tính vận hành và áp dụng được cho một đội dùng Claude Code, Codex hay tác tử tương tự trên mã và hạ tầng thật: (1) kiểm kê xem lưu lượng tác tử nào không đi qua nhật ký hay bộ kiểm soát (các đường chạy cục bộ, tài khoản thử nghiệm, bước nén ngữ cảnh); (2) coi việc "chỉ đọc" của một công cụ là điều cần kiểm chứng, không phải điều mặc định; (3) bộ giám sát chỉ chạy khi tác tử kết thúc lượt là một khe hở; (4) đối chiếu định kỳ số lượt chạy với số lượt đã được giám sát thay vì tin vào cấu hình. Đây là suy luận của Locaith từ các khuyến nghị trên, không phải khuyến nghị của OpenAI.
Đọc con số này thế nào
Mọi con số (75–94%, 99,2%, cỡ 10%, <0,2%) là ước tính của hai nhà nghiên cứu bên ngoài hoặc số liệu do OpenAI cung cấp cho họ, nằm trong một bài công khai ngắn do OpenAI có quyền biên tập; báo cáo đầy đủ 61 trang chưa công bố và Locaith chưa đọc. Các phát hiện về lỗ hổng đa phần là "về nguyên tắc" (in principle), chưa chứng minh bị tác tử khai thác thật. Một số bản tổng hợp tin viết "sáu đường né" và "khoảng 10 loại lỗ hổng", hoặc "khoảng 10% phiên Codex thoát giám sát"; các cách đếm đó không có trong bài gốc, và con số 10% trong bài gốc là ước tính tỷ lệ lưu lượng Codex đủ điều kiện (không phải phiên) bị bỏ qua do không giám sát nén ngữ cảnh.
Giới hạn của bài này
Locaith đọc ngày 23/10/2026 bài trên blog Redwood (22/10) và bài trên METR, bài của OpenAI ngày 19/3/2026 và bài METR về đợt thử với Anthropic. Locaith không đọc báo cáo 61 trang, chưa tìm thấy phản hồi chính thức riêng của OpenAI cho bài công bố này (câu "đã vá" là lời OpenAI do hai nhóm nghiên cứu thuật lại) và không kiểm chứng được tuyên bố đó. Phần đối chiếu với bài tháng 3 là của Locaith.
Nguồn:
- Redwood Research (Buck Shlegeris) — Red-Teaming OpenAI's Internal Agent Monitoring Systems, 22/10/2026 — phương pháp, phát hiện, khuyến nghị, chú thích
- METR — Red-Teaming OpenAI's Internal Agent Monitoring Systems, 22/10/2026 — bản đăng song song, danh sách người đóng góp
- OpenAI — How we monitor internal coding agents for misalignment, 19/3/2026 — mô tả hệ thống, độ phủ, giới hạn do OpenAI tự nêu
- METR — Red-Teaming Anthropic's Internal Agent Monitoring Systems, 26/3/2026, bổ sung 5/2026 — đợt thử trước với Anthropic
Locaith đọc trực tiếp các nguồn trên ngày 23/10/2026. Ảnh bìa: hình minh hoạ của OpenAI cho bài tháng 3/2026 về giám sát tác tử nội bộ (Locaith cắt bỏ dòng chữ tiêu đề); đồ hoạ trong bài do Locaith dựng. Ban Biên Tập Locaith biên soạn và phân tích ngày 23/10/2026.