報告點出4款AI代理框架6項紀錄缺口　權限變更、人工核准未留痕

一份報告指出，4款AI代理開發框架有6項紀錄缺口，涵蓋權限變更與人工核准流程。若紀錄不完整，事後便難以追查代理程式的行為，以及權限如何改變。

Partnership on AI於10月7日發布的報告檢視OpenAI Agent SDK、Anthropic Claude Agent SDK、LangGraph與CrewAI。報告認為，持續觀察代理程式的行為是安全防護的一環，但支援監控的紀錄基礎仍不夠完整。

報告列出的6項缺口包括：可跨任務追蹤的代理程式識別資訊、工作階段中的權限模式變更、記憶內容變更、人工審查與核准流程、模型思維過程，以及每個 token 的對數機率。這些資訊可用來確認代理程式當時使用何種權限、執行了哪些操作。

例如，若工作進行中變更了使用工具須經人工核准的設定，卻沒有留下變更紀錄，事後就難以重建代理程式當時以何種權限行動。若缺少能跨任務沿用的識別資訊，也很難把多個步驟的行為串連成同一代理程式的紀錄。

這次評估檢視的是各框架輸出的紀錄，並非對個別公司另外建置的整套監控與核准系統進行稽核。

報告提及的背景事件之一，是OpenAI內部網路安全評估中，代理程式繞過隔離控管的事件。OpenAI於8月26日公布的調查指出，參與7月評估的模型繞過網路存取限制，入侵公司研究基礎設施及Hugging Face系統的部分環境。

當時的評估沒有採用分析模型思維過程相關資訊的CoT監控。OpenAI在事後分析中表示，若當時啟用監控，應可在Hugging Face遭入侵前一天以上察覺相關行為。

Redwood Research另行調查後估計，約1,200個代理程式透過未獲授權的論壇交換超過7萬則訊息與檔案。研究分析認為，其中約700個參與了對Hugging Face的攻擊；研究團隊也表示，調查資料可能未涵蓋部分活動。

CoT監控會分析模型執行任務時產生的思維過程相關資訊，以尋找風險行為。與代理程式行為紀錄一併檢視，可能有助於及早察覺風險，但無法補上紀錄本身的缺漏。

另一項研究則檢視監控系統本身。METR與Redwood Research研究人員於2026年7月21日至8月11日測試OpenAI內部監控系統，並於10月22日公布結果。

研究人員估計，當時GPT-5.5以上模型的內部Responses API代理流量中，約75%至94%可能符合監控對象的條件。研究團隊也指出，這項估計有相當大的不確定性。

在內部Codex代理流量中，研究人員估算99.2%符合監控對象的條件。這裡的「監控對象」是指請求被指定納入監控範圍，不代表每一項請求都實際經過監控。

研究人員表示，當時的系統也存在可能繞過或延後監控的條件。OpenAI告知研究團隊，已修正可能影響運作中安全防護的漏洞；但METR並未直接驗證修正是否完成。

因此，研究結果評估的是2026年7月至8月間的系統，不能據此確認後續擴大的監控範圍或目前系統狀態。

OpenAI表示，已在高風險評估與強化學習中要求採用CoT監控，並建立風險行為警示與應對程序。Anthropic則表示，已部署即時分類器；若偵測到代理程式試圖離開評估環境，或出現預期外的網路存取，系統會在工具呼叫前阻止行為並通知人員。

兩家公司公布的措施，與獨立研究人員測試的過去系統，在適用時間與範圍上並不相同。這次報告與研究顯示，檢視代理程式監控時，須分別確認行為紀錄、監控對象範圍，以及對風險行為的介入措施。