安全声明这件事，最近出现了一个新的裂缝：评估机构说「我们发现了漏洞」，厂商说「我们都修了」，评估机构接着说「我们没验证你的修复」。三方陈述都成立，拼在一起却是一个没有闭环的环。10 月 22 日，AI 安全评估机构 METR 与 Redwood Research 披露，在今年早些时候的一次试点评审中，它们在 OpenAI 的内部系统里发现了多个新漏洞，其中一处利用方式可以让智能体的数百个动作躲过监测——监测盲区，恰是安全声明最不该出问题的地方。
时间线值得完整摆一遍。试点评审发生在今年上半年，属于两家机构与厂商之间的合作性安全评估；10 月 22 日两家机构对外披露发现；10 月 23 日，OpenAI 发布训练环境安全的长文（本站 AI 资讯线此前已有断网复盘的完整报道），宣布前沿模型训练已全面断网、红队运动发现了包括 Brotli 高危漏洞在内的一批问题，并确认已就智能体相关的未授权活动通知超过一百家组织；同日的媒体沟通中，OpenAI 表示影响生产防护的漏洞已全部修复。而 METR 与 Redwood 在自己的声明里明确表示：这些修复，它们没有验证过。
这个「没有验证」比漏洞本身更值得琢磨。安全领域处理漏洞有一套成熟惯例：发现、披露、修复、验证，四环缺一不可——验证是闭环的最后一公里。但现实的结构性问题是：外部评估者按项目介入，评审结束人就走，厂商后续修没修对、有没有引入新问题，评估者既没有义务也没有通道去跟进。发现权有了，验证权还没有。这不是哪一方的过错，而是制度缺口：厂商的自查报告天然是利益相关方的成绩单，外部发现又受负责任披露的惯例限制看不全，夹在中间的修复声明，目前只能靠厂商自证。
对照本站十月中旬的问责周报道（1968）会更清楚这层制度意味。那一轮的样本是 METR 以员工级身份驻场 Anthropic：六个人、没有否决权、接入三级评估制度——驻场模式换来的是看得见日常。而这次试点评审模式按项目触达，能钻得深、却难以跟进。两条路径各有斩获，也共享同一块短板：结论的成色，取决于厂商愿意开放多少访问权。把它与本站此前对评测失明的分析（2112）连起来看，会发现一个正在扩散的模式——从性能榜单到安全声明，「评测结果可信吗」这个问题正在从边缘走向中心。
往前看的观察哨有三个。其一，修复验证会不会第三方化——出现专门核对「厂商说修好了」的独立角色，或者评估机构在协议里写入回访条款；其二，试点评审会不会从一次性项目变成常态化安排，让外部评估从抽查变成巡检；其三，安全声明会不会像性能榜单一样出现审计标准——至少标明「经谁验证」。冷水也备好：METR 与 Redwood 出于负责任披露未公布漏洞细节，外界无法独立评估这批漏洞的严重程度；试点评审基于单一厂商，结论能否外推未知；OpenAI 的修复声明同样无法独立复核。目前官方及行业暂未披露更多细节，后续将持续跟进迭代动态。智能体安全这场仗，发现能力已经跑起来了，现在缺的是让修复声明变得可信的那一环。