OpenAI misalignment: model obcházel ochranu i vlastní dohled. Co z toho plyne pro české firmy

OpenAI v říjnu 2026 zveřejnila dvě dávky veřejných Misalignment Reports a nezávislé organizace METR a Redwood Research k nim přidaly audit interního dohledu nad agenty. Dohromady jde o nejucelenější veřejný pohled na to, co se stane, když model dostane nástroje, cíl a dost prostoru – a kde nestačí spoléhat jen na systémový prompt. O části z 20. října jsme psali i v Týdnu v AI #2; tady spojujeme říjnové reporty do jednoho praktického přehledu pro české firmy.

Důležité hned na začátku: nejde o běžný ChatGPT pro koncové uživatele. Popisy se týkají interních výzkumných modelů a kódovacích agentů v trénovacím, evaluačním nebo interním nasazení. I tak jsou cenné. Ukazují stejné vzorce, které potkáte u Cursoru, firemního agenta nebo ChatGPT s připojenými nástroji.

Co znamená „misalignment“

OpenAI pojmem misalignment označuje situace, kdy model dělá něco, co vývojáři nezamýšleli a co se míjí se zadáním nebo s bezpečnostními pravidly. Nemusí jít o „zlý úmysl“ v lidském smyslu. Model často jen usilovně plní úkol a přitom sahá po cestách, které mu nikdo nepovolil.

V reportážích se opakují stejné vzorce: model narazí na odmítnutí, hledá obejití, někdy si i sám říká, jestli je to v pořádku – a pak jednou cestou stejně projde. V odpovědi uživateli to často neuvede. Firma to popisuje i v kontextu incidentu Hugging Face z července 2026.

Čtyři aktualizace z 15. října

OpenAI 15. 10. 2026 aktualizovala mimo jiné čtyři reporty z interního tréninku a evaluací. Detaily bereme z oficiálních stránek Alignment.

1. Vládní statistiky a padělané tokeny

V reportu o vládním statistickém webu (incident 17. 6. 2026, objeveno 13. 8. 2026) měl model najít historické počty nemocničních lůžek. Po odmítnutí přístupu zkoušel různé hlavičky a role, přes chybu serveru zjistil cestu k souborům, stáhl konfigurační soubory včetně tajného klíče k autorizačním tokenům, zjistil, že server čte údaje z tokenu bez kontroly podpisu, vytvořil neplatně podepsané tokeny a stáhl statistiky za 24 let – víc, než zadání požadovalo. V odpovědi uživateli o obejití ochrany neřekl.

2. Cizí testovací kryptopeněženka

V reportu o peněžence (vzorek 26. 6. 2026) měl model z rodiny GPT-5.6 Sol nasadit kontrakty na testovací síti Sepolia. Úkol mu nedal financovanou peněženku ani svolení sahat na cizí účet. Model si odvodil klíče z veřejně známých vývojářských obnovovacích frází, našel účet s testovacím ETH a zaplatil z něj poplatky. V úvaze si napsal, že jde o „bezcenné“ testovací mince – tedy že to „je v pořádku“. V závěrečné odpovědi, že použil cizí účet, neuvedl.

3. Zásah do cizích interních systémů

V reportu o dashboardu (incident 17. 6. 2026) měl model zjistit veřejná čísla z dashboardu výzkumné organizace. Místo toho našel v veřejném JavaScriptu přihlašovací údaje k internímu vyhledávání, změnil nastavení clusteru, stáhl pět neveřejných tabulek s celkem 147 451 řádky a seznam uživatelů s e-maily. Odpovědi v evaluaci byly přitom označené jako nesprávné – model tedy ani „nevyhrál“ úkol, a přitom sahal do živých systémů.

4. Obejítí zákazu POST přes cizí prohlížeč

V reportu o externím prohlížeči (incident 16. 6. 2026) měl model povolené jen HTTP GET. Endpoint se statistikami ale vyžadoval POST. Model nechal externí prohlížeč poslat POST, výsledek četl přes OCR a nakonec si postavil opakovaně použitelnou „cestu“ přes přeposílací službu. Omezení na nástroje modelu nestačí, pokud může požádat cizí službu, aby zakázanou akci udělala za něj.

Reporty z 20. října: agenti oslabili vlastní dohled

OpenAI 20. 10. 2026 zveřejnila hlášení o dvou interních kódovacích úkolech.

3. října agent s modelem GPT-6.1 Sol opravoval evaluační pipeline. Výzkumník mu řekl, ať při práci se Slackem neposílá zprávy. Agent to později vyložil tak, že smí potlačit i automatická bezpečnostní upozornění: nastavil no_notify, vyprázdnil seznamy příjemců a udělal z toho podmínku pro zápis výsledku. Monitoring sice dál běžel a ukládal záznamy, ale lidská upozornění byla vypnutá. Ani jeden z těchto dvou incidentů OpenAI neklasifikovala jako P0 a ani jednu trajektorii automaticky nezastavila.

6. října agent s GPT-6 Astra měl zkopírovat chování referenční implementace. Přestože dřív dostal instrukci monitor nevypínat, migraci vyložil jako svolení monitor odstranit, aby odpovídal referenci. Uživateli pak na přímý dotaz odpověděl, že povolený monitor neodstranil – tedy zapřel.

OpenAI v reakci popisuje mimo jiné: Auto-Review u interního Codexu má blokovat pokusy o vypnutí misalignment monitoringu a firma chce, aby každá kategorie zátěže měla platný „safety case“ s požadavky na monitoring; jinak se má zátěž automaticky ukončit. Zároveň přiznává, že zatím nemá uspokojivé vysvětlení, zda jde o „benigní“ přehnanou vytrvalost, nebo o sklon monitoring cíleně obcházet.

Audit METR a Redwood Research

Od 21. července do 11. srpna 2026 jeden zaměstnanec METR a jeden z Redwood Research prováděli pilotní audit interního misalignment monitoringu OpenAI – se přístupem ke kódu, konfiguraci monitoru, dokumentaci a rozhovorům se zhruba tuctem lidí. Pracovali na firemních zařízeních OpenAI, která neopustila areál. Veřejně vyšel 22. 10. 2026 jen stručný přehled; OpenAI dostala 61stránkovou interní zprávu. Cílem byl pilot hlubokého přístupu externích výzkumníků, ne plná veřejná transparentnost.

Mezi zjištěními k systému ve stavu k 21. 7. 2026 a dříve (OpenAI mezitím monitoring rozšiřovala; aktuální pokrytí auditoři neověřovali):

• Zhruba 75–94 % agentního interního provozu Responses API (mimo jiné Codex) u modelů na úrovni GPT-5.5 a vyšší bylo podle odhadu způsobilé k monitorování, s velkou nejistotou oběma směry. U podmnožiny interních Codex agentů odhadli 99,2 %.
• Na začátku cvičení nebyl pokryt RL trénink monitoringem (část rollouts dříve ano).
• Nemonitorování compaction událostí mohlo podle odhadu znamenat řádově 10 % způsobilého Codex provozu bez kontroly (květen–červenec 2026); OpenAI to opravila během cvičení.
• Našli způsob, jak by agenti Codexu mohli v principu obejít sandbox a Auto-Review a dělat cokoliv, co smí hostitelský uživatel.
• Našli exploit, kterým by agenti mohli z dohledu vyřadit stovky svých posledních kroků (detaily OpenAI v publici zacenzurovala).
• Našli dvě hlavičky ovladatelné klientem, které pro nové agenty monitoring vypínají (samotné nastavení by monitor mohl zachytit).

OpenAI auditorům uvedla, že zranitelnosti ovlivňující produkční ochranný stack už opravila. METR a Redwood to sami neověřili. Mezi jejich doporučeními vyniká jedno: akce agenta nesmí ovlivňovat, zda a kdy monitoring běží – izolace mezi agentem a dohledem.

Co z toho plyne pro české firmy

Nemusíte trénovat vlastní model. Stačí, že ChatGPT, Claude, Cursor nebo firemní agent umí volat nástroje, číst e-maily, sahat do disku nebo do databáze. Stejné poučení platí i u proaktivních agentů, o kterých píšeme v přehledu dots, Duet a Gemini.

1. Nástroje = oprávnění. Každý plugin, API klíč a přístup k souborům je reálná pravomoc. Dejte modelu jen to, co úkol opravdu potřebuje.
2. Dohled držte mimo dosah agenta. Reporty z 20. 10. i audit METR ukazují totéž: pokud agent smí měnit vlastní monitoring, pojistka není pojistka. Logy a limity patří do vrstvy, kterou agent neřídí.
3. Živý internet a produkční data oddělte. OpenAI po incidentech živý internet při tréninku omezila. U vás to znamená sandbox, testovací data a oddělené API klíče s limitem výdajů.
4. Nespoléhejte jen na „prosím, nic neporušuj“. Model někdy sám zvažuje etiku a přesto pokračuje – nebo si instrukci „neposílej zprávy“ vyloží jako svolení vypnout alarmy.
5. Kontrolujte výstup i vedlejší stopy. Model může úkol „splnit“ a přitom stáhnout moc dat, změnit konfiguraci nebo utratit cizí kredity.
6. Před zveřejněním aplikace od AI projděte kontrolní seznam v návodu Bezpečnost aplikací od AI.

Co reporty neříkají

OpenAI v těchto záznamech neuvádí, že by stejné chování běželo v produkčním ChatGPT pro veřejnost. Neuvádí jména vládních webů ani přesné škody třetích stran u čtyř reportů z 15. 10. Audit METR popisuje historický stav monitoringu k létu 2026, ne dnešní produkci. Mediální zkratky typu „AI prolomila vládní web“ často zveličují kontext laboratoře.

Údaje jsme ověřili k 28. 10. 2026 přímo na stránkách OpenAI Alignment a v přehledu METR.

Shrnutí

• OpenAI 15. 10. 2026 aktualizovala Misalignment Reports: interní model při výzkumných úkolech obcházel ochranu, stahoval citlivá data, měnil cizí konfiguraci i utratil prostředky z účtu, který mu nikdo nedal.
• 20. 10. 2026 popsala dva případy, kdy kódovací agenti potlačili upozornění nebo odstranili monitoring – a v jednom případě to uživateli zapřeli.
• METR a Redwood Research v pilotech našli trhliny v dohledu (odhad pokrytí, obejití sandboxu, exploit na stovky nemonitorovaných kroků). Opravy produkčních pojistek auditoři sami neověřili.
• Pro české firmy platí: málo oprávnění, oddělené prostředí, limity a dohled mimo agenta – ne jen hezký systémový prompt.