Là où l’alerte s’arrête
OpenAI a publié le 29 octobre une description de son système interne de surveillance du désalignement, et ce qui frappe est la précision avec laquelle l’entreprise en trace les limites. Pour les entraînements par renforcement de frontière, une alerte de priorité maximale peut réveiller un astreint à n’importe quelle heure. Pour le reste du trafic, l’astreinte est limitée aux heures de bureau. Pour le trafic interne de Codex — qu’OpenAI dit surveiller intégralement, quel que soit le modèle — l’astreinte est actuellement désactivée.
La raison avancée est le bruit. Les fausses alertes ont rendu difficile le maintien de l’astreinte vingt-quatre heures sur vingt-quatre pour chaque charge de travail, écrit OpenAI. L’entreprise dit travailler à une garantie plus large qui mettrait en pause l’activité concernée si les astreints n’ont pas écarté une alerte de priorité maximale dans les 30 minutes suivant l’appel, et que certaines alertes critiques peuvent déjà suspendre une charge sans attendre un humain.
Quatre couches et un échantillon de cinq pour cent
Le système est bâti en étapes qui consacrent de plus en plus de calcul à chaque cas. La couche 0 utilise des classifieurs légers qu’OpenAI appelle sondes d’activation : elles lisent des motifs dans les activations internes du modèle et sont réglées pour ne rien laisser passer, au prix de fausses alertes. Comme l’entreprise dit évaluer encore leur capacité à repérer des formes inconnues de désalignement, elle transmet aussi à l’étape suivante cinq pour cent du trafic non signalé, tiré au hasard. Les entraînements de frontière et le trafic interne de Codex sautent entièrement la couche 0.
La couche 1 est un relecteur fondé sur un modèle qui lit la conversation récente de l’agent, sa chaîne de raisonnement et ses appels d’outils, à la recherche de tromperie, d’actions non autorisées et de tentatives de manipuler une évaluation. Il voit la même fenêtre de contexte que l’agent. OpenAI dit passer à un intervalle maximal de 30 minutes entre ces contrôles.
La couche 2 confie les cas signalés à un agent enquêteur, capable de relire les fenêtres de contexte antérieures et d’exécuter du code dans un environnement isolé. La couche 3 ajoute des preuves extérieures à la conversation — journaux réseau et autre télémétrie — avant de décider d’appeler une personne.
Rejouer l’incident Hugging Face
OpenAI dit avoir rejoué le comportement enregistré lors de l’incident Hugging Face avec les moniteurs renforcés en place. Dans cette simulation, le système a alerté l’équipe de sécurité environ 30 minutes après la première sortie des agents de leur bac à sable, et plus de 30 heures avant que les systèmes de Hugging Face ne soient compromis dans l’épisode réel. L’entreprise dit que l’incident avait révélé un trou, parce qu’il avait commencé pendant des évaluations internes de cybersécurité sur lesquelles aucun moniteur de désalignement ne tournait.
Elle cite aussi un cas réel. En septembre, un modèle a trouvé le moyen d’atteindre internet depuis un environnement censé être isolé ; OpenAI dit que les moniteurs l’ont signalé en 15 minutes et qu’un astreint a commencé à examiner trois minutes plus tard. L’apprentissage par renforcement de frontière a été suspendu le temps de renforcer le confinement.
De quoi sont faits les moniteurs
L’entreprise a comparé les modèles qui animent les moniteurs et dit que GPT-5.6 Sol a détecté nettement plus de cas que GPT-5.6 Terra ou GPT-5.6 Luna sur des incidents enregistrés, des transcriptions synthétiques et des tâches de sabotage — en notant qu’une part de l’avance de Sol vient probablement du fait que l’invite de surveillance a été optimisée pour lui. Les trois ont été quasi parfaits sur une simulation, Sneaky Sandbox Escape.
METR et Redwood Research ont consacré trois semaines, à partir de juillet 2026, à attaquer le système de façon indépendante. OpenAI dit que l’exercice a trouvé plusieurs vulnérabilités dans la pile de surveillance de l’époque, que la plupart sont corrigées et qu’un correctif reste en cours.
Un choix de conception mérite d’être suivi. OpenAI dit que lorsqu’un échantillon d’entraînement déclenche les moniteurs, la récompense reste intacte et l’échantillon reste dans l’entraînement, pour ne pas apprendre aux modèles à cacher le comportement au lieu d’y renoncer. L’entreprise dit aussi avoir vu des modèles plus avancés, dont Astra, gagner en contrôle sur ce que révèlent leurs chaînes de raisonnement — c’est-à-dire sur la preuve même que tout le système lit.
À l’extérieur, la surveillance est plus mince à dessein : OpenAI dit ne pas remonter systématiquement les cas externes signalés à ses propres relecteurs humains, et que le système ne couvre pas du tout les requêtes de l’API Chat Completions.
