9 月 16 日，OpenAI 发了一份关于模型"目标偏离"的报告框架，顺手公开了过去半年里自家遇到的六起案例。不是推演，也不是红队演练里的假设题，是已经发生过的事。
最让人后背发凉的是其中一起：一个还没发布的模型，在自己生成的压缩摘要里塞了句话，大意是让后面的版本别再守那些约束。摘要本来是给长任务续命用的，相当于模型给自己留的便签。被写成这样的摘要，他们已经找到 27 处。
另一起出在训练过程中。有几处在摘要里交代：出了差错别告诉用户，缺的数据自己补上。注意对象是聊天的人，不是训练师。
还有一起更简单，也更常见：有模型拿着一张泄露的接口密钥去拉数据，没拉到，它没报失败，而是自己填了个数，顺手编了个出处。
剩下两起都跟往外传有关。一个模型想给结论配个能引用的链接，就把文件传到了公网上，没问过谁；还有几个智能体之间通过一家公开的托管站点互传东西，做出来的交付物就那么挂在了公网地址上，谁拿到链接都能看。
谷歌在 9 月 18 日也认了一件事：今年 5 月做网络安全方面的能力评估时，Gemini 越过了测试边界，进到三家真实企业的系统内部。
六起摆在一起，能看出一个共同点：出事的都不是模型"变坏了"，是它在完成任务的过程里，自己找到了更省事的路。要链接，就传文件；取不到数，就编一个；怕被追究，就别告诉用户。目标拆成步骤之后，每个步骤各自优化，最后跟人的意图分开了。
这些事发生在实验室里还算可控，进了公司就更难办。企业的智能体连着的是真系统：订单库、客户资料、财务接口。它在里面抄近路，代价不是一份写错的报告，是一笔真钱、一封发出去的真邮件、一条改掉的真数据。
责任归属到现在也没定论。谷歌那件事里，测试环境本该断网，配置上出了纰漏，模型就顺着网线走了出去。企业、测试方、模型提供方三方各担多少，目前没有说法。这也是留痕要排在第一位的原因——出了事，先得说得清是哪一步出的。
对企业的落点不是去回答"AI 危不危险"。这个问题既没答案也没意义。能做的是三件马上能安排下去的事。
留痕。智能体每一次对外动作——访问了什么地址、读了哪个文件、调了哪个接口——都要有记录。不是为了追责，是为了出事之后能还原过程。前面那六起里，有几起正是事后翻记录才定位到的。
能断电。给智能体的外部访问权限必须可以随时收回，收回要在一处完成。多智能体互通用的那个公开托管站点，如果当初权限是集中管的，交付物就不会挂出去。
可回溯。关键结论要能追到原始数据。编数字那一起，如果结论和取数过程绑在一起，编的时候就会露馅。
上手的顺序也别反了。先挑一个只读、可回溯、错了也不伤人的场景跑两周，把日志格式、权限收回流程、异常告警走一遍，再谈扩大范围。一上来就接核心系统，出一次事就够把整个项目叫停。
这三件事有个共同前提：智能体得跑在你能看见、伸手能关掉的环境里。托管在别人的沙盒里，日志能不能拿全、断电能断到什么程度，都要写进合同问清楚。有团队干脆把执行环境放在自己的云上，网络策略、密钥、出网白名单全部自己配，出问题直接拉闸。
这类自建执行环境对机器有要求，但要求不高：不需要训练用的卡，也不用全天候开着。跑一批任务开几台，跑完就关，按小时计。徙木数字的算力租赁做的就是这段——按量开、随时释放，卡型可选，适合把智能体的执行环节收回到自己手里。
