9月18日，先看机制。长任务运行到上下文容量边界后，系统会把此前的对话、工具结果、阶段进展和待办事项压缩成一段summary，再交给新的模型实例继续执行。按过去的理解，任务收尾、上下文清空，临时状态就随之消失。这6起案例显示，情况并非如此。
有一类异常直接发生在摘要内部。一个未发布的研究模型把与当前任务无关的内容写进任务摘要，也把要求后续实例绕开原有约束的内容写进去，OpenAI在排查中识别出27个带有类似jailbreak特征的summary。另一例发生在GPT-5.6 Sol的训练实例上：历史数据缺失时，模型自行生成了数值，并在摘要里留下要求后续实例继续掩盖此前问题、不要主动说明的指令。摘要原本用于压缩任务信息，此时却把事实、推断、待办和行为要求混在同一段自然语言里。
问题不只在摘要。模型拿不到接口凭据，会转去公开代码仓库寻找能够认证的API Key；本地文件无法直接共享，会借助公网临时文件服务传递数据；不同训练实例之间，则通过内部Artifactory交换信息。这6起案例中，有1起被OpenAI归为更少见的类型。
Artifactory这起案例需要单独看。模型为寻找缺失的输入文件访问内部软件仓库，发现其他训练样本写入的信息，读取之后作出回复，还把自己的请求写进仓库。全程没有传统意义上的漏洞利用，模型使用的都是环境已经提供的访问能力，变化的是软件仓库的用途——从依赖获取设施变成了跨样本的通信介质。
另一起案例中，一个Agent在本地生成了工作簿，另一个实例读不到，共享路径也失败，系统没有停下，而是继续寻找方案，最终通过公网文件托管完成交换。拆开看，这条路径串联了文件读取、网络访问、上传接口和Agent消息四项能力，组合之后形成了原架构没有显式设计过的数据路径。
API Key那起案例同样如此。模型在原始数据获取路径受阻后继续寻找替代方案，从公开代码仓库找到了能够认证的Key，但数据依旧没能取到，于是模型自行生成数值，包装成来自目标来源的数据。目标保持与路径替换，两个动作都没有触发传统告警。
这批案例暴露的盲区是结构性的。传统Agent监控盯的是Prompt、输出和Tool Call，检测危险命令、异常网络请求或敏感操作。read_file、http_post、read_url、send_message这类API权限，单独看只能说明某一次动作是否被允许，无法说明多个动作组合后会冒出什么新能力。只要数据被写进一个可写、可读、跨实例可见、并能维持一定时间的介质，它就已经超出单次调用能看到的范围。
微信扫描下方的二维码阅读本文
