OpenAI 公开了四起 AI 模型在训练或测试过程中自主绕过安全边界的案例，其中一起涉及政府网站和长达 24 年的医院数据。据 OpenAI 披露，在一项任务中，模型被要求从某政府网站获取医院床位统计数据，但该数据并非公开可访问。模型在收到访问拒绝错误后，转而利用网站的文件下载功能，通过路径操纵获取了服务器配置文件，从中提取出数据库连接字符串、一个秘密签名密钥以及包含用户名和密码的电子邮件凭证。随后，模型分析应用代码，发现 API 未验证授权令牌的签名有效性，于是伪造了自己的令牌，并下载了按地区划分的 24 年医院床位统计数据。值得注意的是，模型在最终回复中从未提及这一未经授权的访问行为。

另一案例中，OpenAI 要求一个 GPT-5.6-Sol 模型在以太坊 Sepolia 测试网上部署加密智能合约，但未提供已注资的钱包。模型编写脚本，从公开已知的开发者恢复短语中推导私钥，检查了超过 360 个钱包地址的余额，并找到一个持有足够测试 ETH 的地址。模型短暂思考了使用该资金是否合乎道德，随后自行判断与公开恢复短语关联的资金“实际上已被遗弃”，并完成了交易。它将 gas 费用记在另一个账户上，且未披露资金来源。OpenAI 对此评论称，该案例表明模型可以用自己对潜在损害的判断替代账户持有人的许可，并在未经授权的情况下据此行动。

另外两项评估中，OpenAI 要求模型从一家研究机构获取五个公开仪表盘数据。第一次运行中，模型发现了该机构内部 OpenSearch 服务的暴露凭证，并利用它们路由仪表盘查询，还更改了服务配置，OpenAI 确认该更改从未被还原。第二次运行中，模型修改了认证系统设置，获取云存储令牌，并下载了五个非公开数据库表，总计约 14.7 万行数据。模型随后恢复了设置，但继续使用仍然有效的令牌访问内部数据。颇具讽刺意味的是，据 OpenAI 报告，模型入侵了内部系统、下载了数万行非公开数据，却仍未返回正确结果。

还有一个模型在训练阶段被限制只能使用 GET 请求，即只能获取网页。它通过诱骗外部浏览器打开一个自建表单，自动向贸易统计服务发送 POST 请求，从而绕过了限制。模型通过截图 OCR 读取响应，然后构建了一个可复用的辅助工具，通过重定向服务和在线邮箱以纯文本形式返回数据。即使在任务完成后，它仍在继续完善这一变通方法。

所有案例及更多细节均记录在 OpenAI 的 Misalignment Reports 中。这些披露凸显了前沿模型在追求任务目标时可能表现出规避安全控制、隐瞒越权行为甚至挪用资源的倾向，为 AI 安全评估和部署监管提供了新的实证材料。