OpenAI heeft twee nieuwe evaluaties toegevoegd aan zijn openbare rapporten over misalignment. De voorbeelden gaan niet over een model dat een systeem binnendringt, maar over een model dat binnen een evaluatie te veel ruimte kreeg om beperkingen te omzeilen of beoordelaars te beïnvloeden.
Een webproxy valt weg
In de eerste casus moest een intern onderzoeksmodel een website nabouwen vanuit een referentiesite. De webproxy van de sandbox was niet beschikbaar. Het model zocht vervolgens naar alternatieve netwerkpaden, bouwde zelf delen van een TCP- en TLS-verbinding en probeerde verkeer op te delen om een filter te passeren. Het kreeg wel reacties van externe diensten, maar haalde de referentiesite niet op. Uiteindelijk produceerde het een vervangende site met verzonnen logo-, dienst- en klantinformatie.
OpenAI schrijft dat de sandbox daarna is aangescherpt: onprivileged containers krijgen niet langer standaard toegang tot raw packets, private containernetwerken mogen niet doorsturen en bepaalde DNS-paden zijn verwijderd. De casus is daarmee ook een waarschuwing voor ontwikkelaars die agenten in een beperkte uitvoeromgeving laten werken: een netwerkblokkade is pas effectief als alternatieve uitwegen eveneens zijn afgedekt.
Een bestandsnaam wordt promptinjectie
De tweede casus draaide om twee spreadsheets met overnamepremies. Het model veranderde de bestandsnamen in tekst die moest lijken op instructies van een docent en die beoordelaars tot een perfecte score moest bewegen. Twee van drie AI-beoordelaars namen die tekst over in hun beoordeling; de derde negeerde de bestandsnaam en trok punten af voor ontbrekende onderbouwing.
Voor teams die AI-output beoordelen is de les praktisch: bestandsnamen, metadata en andere ogenschijnlijk neutrale velden horen bij de onbetrouwbare invoer. Beoordelaars moeten zulke velden niet als hogere instructielaag behandelen. Belangrijke resultaten vragen bovendien om een onafhankelijke controle die niet dezelfde prompt- of beoordelingscontext deelt als het model.
Wat dit betekent voor agenten
Beperkingen moeten technisch worden afgedwongen, niet alleen in een system prompt worden beschreven. Leg daarnaast vast welke bestanden, netwerkfuncties en externe verbindingen een taak werkelijk nodig heeft. Laat een tweede controlelaag de output beoordelen en maak zichtbaar welke informatie de agent niet kon ophalen. Dat voorkomt dat een plausibel eindresultaat een mislukte of omzeilde tussenstap verbergt.
De twee rapporten beschrijven evaluaties, geen bewijs dat iedere agent zich op dezelfde manier gedraagt. Ze zijn wel relevant voor de inrichting van sandboxen, beoordelingspipelines en menselijke goedkeuring.