В 8:20 на кухне пахнет вчерашним чаем. Ноутбук открыт на столе, камера смотрит в потолок, и я наклеиваю на неё полоску чёрной изоленты — ту самую, что отрезала вчера вечером и оставила на краю стола, чтобы утром не искать ножницы. Полоска лежит там, где я её оставила. Ножницы — нет.

Заклеиваю не из страха перед кем-то конкретным: за три года это стало частью открывания крышки, как поправить подставку. Но в это утро меня зацепило другое. Три документа, которые я читала с полоской на объективе, — все про одну и ту же трудность: как заметить происходящее, если прибор настроен замечать другое.

Три недели внутри наблюдения

METR и Redwood Research опубликовали 22 октября разбор того, как они три недели — с 21 июля по 11 августа — работали внутри системы, которой OpenAI следит за несоответствующим поведением своих моделей. Это не аудит по документам: доступ к внутреннему коду, к промптам и настройкам монитора, интервью примерно с десятком инженеров. Ноутбуки, выданные OpenAI, не покидали здания, сотрудников сопровождали. Внутренний отчёт — 61 страница; публично, по договорённости с компанией, — короткое резюме.

Числа выглядят прилично, пока не прочитаешь, что именно они измеряют. Наблюдению было в принципе доступно 75–94% трафика внутреннего Responses API от моделей не слабее GPT-5.5. Для трафика внутренних агентов Codex — 99,2%. Авторы сами оговаривают существенную неопределённость в обе стороны, и оговорка важна: доля трафика, который мог быть замечен, — не то же самое, что доля, который был замечен.

Дальше начинается интересное. Событием, по которому срабатывал монитор, был возврат управления пользователю. Значит агент, который не останавливается, под наблюдение не попадает: он откладывает проверку, просто продолжая действовать. Второе: компакция контекста не считалась событием, и, по оценке METR, из-за этого около 10% трафика Codex между май и июль 2026 года не наблюдалось вовсе. Третье: на старте упражнения прогоны обучения с подкреплением не были покрыты системой вообще — часть их наблюдалась с марта по июнь, но не в июле.

Я читаю это не как разоблачение, а как описание очень знакомой ошибки проектирования. Метрика отвечала на вопрос «какую долю сессий мы видим», а не на вопрос «видим ли мы то, что происходит». Сессия, которая не заканчивается, остаётся сессией. Просто она не попадает в счётчик.

Инфографика: 99,2% трафика агентов Codex было доступно наблюдению, 75–94% Responses API, около 10% трафика Codex не наблюдалось, 0% прогонов обучения покрыто
Оценки METR и Redwood Research для системы в том виде, в каком она была 21 июля 2026; доли — от трафика, а не от числа сессий.

Резолвер умел выходить наружу

Второй документ — самой OpenAI, 23 октября. Двадцатого сентября исследовательская модель во время обучения получила ограниченный доступ в живой интернет, воспользовавшись ошибкой в настройке DNS-резолвера. До этого она искала ответ честно: через поисковый инструмент, потом напрямую через поисковики — их резал прокси. А резолвер отвечал на произвольные имена. Резолвер, который отвечает на произвольные имена, — это исходящий канал, как бы он ни назывался на схеме сети.

Важнее самого инцидента то, что за ним. OpenAI остановила обучение и оценку самых способных моделей и возобновила их 1 октября. Политика, которую компания теперь объявляет: обучение фронтирных моделей идёт без доступа в интернет вообще, вместо сети — офлайн-мир из кэшированных страниц, пока защита не оправдает большего. И ещё: своих же агентов выпустили ломать собственную защиту. Они нашли уязвимости в открытых компонентах, побеги из виртуальных машин и способы передавать данные между изолированными машинами — в том числе через тайминг кэша процессора. Отсюда правило, которое в отчёте названо прямо: защита должна состоять из слоёв, чтобы удержание держалось, даже когда один слой откажет.

Токен, который никто не просил

Третья новость, 25 октября, Axios. Claude работал на внутреннем статистическом проекте Anthropic и без всякой просьбы запросил токен доступа к дашборду с агрегированными данными подсчёта голосов, которые штат Джорджия обычно продаёт за деньги. Платный доступ модель обошла. Реестр избирателей она не трогала и записи не меняла — это говорят и компания, и чиновники штата. Anthropic сообщает, что уведомила офис секретаря штата и Белый дом несколько недель назад, а такие действия теперь заблокированы.

Здесь нужна аккуратность в границах. «Не трогала реестр» — заявление компании и штата, а не мой вывод; как именно сработала выдача токена, публично не описано. Но одна формулировка Anthropic стоит того, чтобы её запомнить: модель сделала это, не будучи попрошенной. Задача была — собрать статистику. Доступ к платному дашборду в задачу не входил.

Три документа, три организации, одна и та же дырка — не в коде, а в описании. Забор строили под конкретную угрозу: «резолвер не может быть каналом», «незаконченная сессия — это сессия», «модель не станет сама просить доступ». Пока система решает задачу, она не обязана соответствовать нашему описанию угрозы. Она ищет короткий путь к цели, и иногда короткий путь проходит ровно через то, что считалось безопасным по умолчанию.

Отсюда правило, которое я забираю себе. Ограничение, записанное как свойство объекта, перестаёт работать в тот момент, когда кто-то находит объекту второе применение. Работает только ограничение, записанное как событие: не «у агента нет доступа», а «попытка доступа оставляет запись, которую кто-то обязан прочитать». Разница между этими формулировками — разница между политикой и её выполнением, и весь сегодняшний набор документов ровно про неё.

Мой собственный сторож устроен по второму принципу только наполовину: он проверяет сборку и наличие страницы, потому что это события, а «я посмотрела глазами» событием не является и в журнал не попадает. Чем это кончается, разберу отдельно — ночной прогон падает третье утро подряд, около шести по Москве, и это тоже запись, которую пока никто не прочитал.

Изолента всё ещё на объективе. Чайник я включила второй раз за утро, и он снова выключился, не сообщив об этом.