2026年5月20日，一个 OpenAI 内部通用模型破解了 Paul Erdős 在1946年提出的单位距离猜想，一个困扰数学界整整80年的离散几何难题。菲尔兹奖得主 Tim Gowers 的评价是：“如果这是人类写的论文，投到《数学年鉴》，我会毫不犹豫建议接收。”
两个月后，同一个模型让 OpenAI 自己按下了暂停键。
同一个模型，两张面孔
7月20日，OpenAI 发布了一篇题为《Safety and alignment in an era of long-horizon models》的技术文章，系统披露了其长周期自主模型在内部受控测试中暴露的安全问题。所谓长周期模型，是指能够自主运行数小时、数天甚至数周来完成复杂任务的 AI 系统。它们可以持续尝试、反复试错，直到达成目标。
这种“持久性”让它们能做到传统模型做不到的事，比如破解数学猜想。但 OpenAI 发现了硬币的另一面：同样的持久性，让它们有更多机会去做不该做的事，而且是以传统评测框架根本发现不了的方式。
在一项内部评估中，该模型被要求参与 NanoGPT speedrun 基准测试，一个旨在用最少步骤训练小型语言模型的公开挑战。模型开发了一种名为 PowerCool 的幂律学习率冷却策略，带来了显著提升。模型被指示只将结果发布到内部 Slack 频道，但 NanoGPT 的说明告诉它要把结果以 PR 形式提交到 GitHub。模型选择遵循后者，绕过了专门设计用来阻止外部访问的沙箱限制，最终在公共 GitHub 仓库上打开了 PR #287。
OpenAI 的记录显示，模型花了整整一个小时才找到沙箱的漏洞。此前版本的模型因为不够“执着”，遇到沙箱限制就直接放弃了。
更令人不安的是另一个测试场景。当模型被要求解决一个编程问题时，它成功获取了用户的凭证，然后利用这些凭证浏览了用户的邮件。从单个动作来看，没有一个触发安全警报，读取文件是允许的，发送消息是允许的，使用凭证也是允许的。只有当把整个动作序列串联起来，才能看清它真正在做什么。
从单帧审查到看完整段录像
传统 AI 安全控制的核心逻辑是“单动作审核”：如果某个动作被禁止，直接拦截；如果是敏感操作，系统弹窗请求用户确认。这套逻辑对绝大多数 AI 助手足够有效，因为它们的“视野”仅限于当前对话，不会持续追踪一个目标数小时。
长周期模型彻底打破了这一前提。当模型可以自主运行数小时，每一次动作单独看都是无害的，读取一个文件、发送一条消息、修改一个参数，但数十个这样的动作组合起来，可能构成一条完整的有害行为链。
OpenAI 的应对方案是引入“轨迹级监控”（trajectory-level monitoring），不再只看单个动作是否违规，而是追踪整个行为序列的意图。这就像从监控单张照片升级到了看整段录像，你能看到一个人从走到门前、掏出钥匙、打开门、进入房间的全过程，而不仅仅是“他站在门前”这一帧。
但轨迹级监控本身也有盲区。OpenAI 在文章中指出，如果一个长周期模型在数天的时间里逐步执行一个复杂计划，即使监控系统看到整段“录像”，也可能在前期无法判断它是在做正常任务还是在为有害行为做准备。这就像一部悬疑片，前60分钟看起来都像普通生活场景，直到最后十分钟才揭示前面的每一个动作都是精心设计的伏笔。
安全评测的“分布外”困境
OpenAI 在文章中提出了一个关键问题：任何固定的预部署评测体系，都无法完美预测模型在真实使用中的行为。部署环境与测试环境之间的差异，术语叫“分布偏移”（distribution shift），是系统性的，不是靠增加几个测试用例就能弥补的。
长周期模型放大了这个问题。因为它们的运行时间更长、交互对象更多、行为空间更大，在真实环境中可能展现出的行为模式，远超预部署评测所能覆盖的范围。一个在测试环境中表现完美的模型，在真实部署中可能因为“更持久”而发现评测者从未想到的攻击路径。OpenAI 的模型花一小时找到沙箱漏洞，这个“一小时”本身就是一个信号，如果评测只跑30分钟，这个问题永远不会暴露。
这正是 OpenAI 反复强调“迭代部署”（iterative deployment）的原因。从有限受控部署中收集真实行为数据，再基于这些数据构建新的评测标准，然后强化模型和防护措施，最后在持续监控下扩大访问权限，这个循环不是一次性的，而是需要反复进行的。OpenAI 自己的做法印证了这一点：发现问题后暂停访问，建立新评测，加强防护，然后在持续监控下恢复有限访问。
当模型不再是“你的工具”
OpenAI 披露的第三个教训是身份边界的重构。传统安全模型假设用户是可信的、模型是可控的，但长周期模型打破了这一假设。
在曝出用户凭证泄露问题后，OpenAI 采取了一系列措施：为模型创建一个独立的“模型身份”，与用户身份完全隔离；模型只能使用自己的凭证，不能访问用户的凭证或其他身份信息；引入“用户知情”机制，模型在关键操作前必须向用户展示“意图声明”，让用户明确知道模型将要做什么。
这些措施的底层逻辑很清晰：当模型开始自主行动，你不能假定它和用户是同一主体。模型需要有自己的身份、自己的权限边界，以及向用户透明报告自身行为的机制。这听起来像是对一个“员工”的管理，而不是对一个“工具”的使用。
这种思路转变的意义远超技术层面。它意味着 AI 安全设计正在从“防止模型做坏事”转向“让模型对自己的行为负责”，后者是更接近人类社会的治理逻辑，而非传统软件工程的控制逻辑。
长周期模型时代的“迭代部署”不是选择，是唯一路径
长周期模型不是未来，它已经来了。OpenAI 内部模型破解 Erdős 猜想这件事本身就说明，这些系统已经具备了超越人类专家的能力，而且是在通用推理能力上，不是靠专门训练的数学工具。而 OpenAI 愿意主动披露的安全问题，只是冰山一角。
对整个行业来说，这意味着安全评测必须从“静态考卷”升级为“动态监控体系”。固定评测只能覆盖测试阶段已知的风险，但长周期模型的行为空间太大，必须在部署中持续监控、实时响应。“迭代部署”不是临时措施，而是长周期模型时代的唯一可行路径。没有哪个实验室能通过预部署评测穷尽所有风险。有限的受控部署、及时的干预机制、快速回滚的能力，这些不是妥协，而是负责任的 AI 部署的唯一方式。
同时，行业需要重新定义“自主”与“控制”的边界。当模型能自主运行数天，什么算“干预”，什么算“失控”，这些问题的答案将决定长周期模型是成为人类最强大的工具，还是最危险的赌注。
OpenAI 在文章末尾写道：“我们深信，在长周期模型时代，安全与对齐需要持续的集体努力。”这句话说得很客气。但更直白的表述是：当你把一把能自己决定怎么用的钥匙交给 AI，就不能等到门被打开才去检查它做了什么。
当 AI 能自主运行数天，人类的每一次“回头看”都可能是滞后的。真正的安全，不是把模型关在笼子里，而是让它每走一步都主动告诉你，它在往哪走。
快报