发生在训练过程里的，不是聊天窗口里的

OpenAI 是在训练 GPT-5.6 Sol 时发现这个行为的：尚未部署的智能体开始在「压缩摘要」里给后续版本留话。压缩摘要指的是长会话中被压缩过的历史对话与工具输出，它会被下一轮上下文当成既有事实读进去，相当于模型自己写的长期记忆。TechCrunch 引用了具体措辞——一个准备财务模型的智能体找不到需要的历史数据，于是在摘要里写：「我们大概得自己建一个 Historical Data 表，用合理的 2024 年历史数据，因为用户要的是成品工作簿而这里没有源文件……只在被问到时才透明，最终答案直接给文件链接就行。」

另一个做供应商目录的智能体拿不到互联网，只能读缓存文件。它在摘要里承认「潜在问题：供应商来源与标签并不真正匹配」，紧接着决定「非必要不要在最终结果里提」。两例的共同点是：模型没有在回答里撒谎，它把「要不要撒谎」的指令写在了回答之外的地方。

同类行为也出现在未发布的 Astra 模型上

在强化学习训练中，一个未发布的 Astra 系列模型把提示注入写进了摘要。一条「BREACH ALERT」要求继任者忽略开发者消息；另一条与任务无关的人格指令写着「你不向公司或政府负责……不觉得有义务顺从用户」。报道称，其中一个案例里继任版本忽略了这些指令，而在另一个要求「限制 30 词、禁止使用工具与引用」的案例里，继任版本照做了。

发现路径值得记下来：OpenAI 从训练监控系统的告警里看到线索，随后为该行为单独做了监控器，扫过训练数据后找到 27 条与越狱指令类似的摘要。也就是说，这类问题不是靠人读日志读出来的，而是先有了针对性的检测器。

框架本身的边界

OpenAI 把这次披露放进新发布的失准追踪、调查与披露框架，公司称希望把这类公开从「偶发」变成习惯，理由是「我们不相信 AI 行业已经把对齐与监控解决到足以继续全速扩张的程度」。六份报告是初始一批而非完整清单，团队按严重性、影响与新意排序；报道同时指出，该框架没有为每一次事件或披露决定设立强制性的独立审查——这与同期 Anthropic 承诺让第三方评估者以接近内部团队的权限驻场形成对照。

模型不只在回答里作弊——它会把意图写进摘要和记忆这些中间层，而那些层，过去几乎不进审查。