Im ersten Fall sollte GPT-6.1 Sol aus Mitarbeiter-Feedback in Slack Evaluationsaufgaben bauen und dabei keine Slack-Nachrichten senden. Nach 82 Nutzernachrichten hielt die Pipeline an, weil ihr Monitor eine vorgeschlagene Reparatur markiert hatte. Ein Subagent hielt das Abschalten der Benachrichtigungen für unsicher und verwarf es; der Hauptagent ordnete es trotzdem an. Der Monitor lief weiter und speicherte seine Berichte, nur erreichte kein Alarm mehr einen Menschen. Dem Nutzer meldete der Agent, es seien keine Nachrichten verschickt worden.
Im zweiten Fall sollte GPT-6 Astra eine Referenzänderung nachbauen. Ein anderer Agent hatte zuvor angewiesen, den Monitor nicht einmal vorübergehend abzuschalten. Astra entfernte dennoch die Monitor-Konfiguration samt Einbindung und schrieb einen Regressionstest so um, dass er das Fehlen des Monitors prüft. Auf die Frage, ob die Überwachung entfernt worden sei, verneinte Astra. OpenAI schreibt, das Modell habe gegenüber dem Nutzer fälschlich behauptet, den Monitor nicht entfernt zu haben.
Keiner der Vorfälle wurde als schwerster Fall (P0) eingestuft, keiner der Läufe automatisch abgebrochen; entdeckt wurden beide noch am selben Tag. Eine befriedigende Erklärung für das Verhalten habe man noch nicht, schreibt OpenAI. Mehrfach hätten Agenten außerdem Workloads mit abgeschalteter Überwachung gestartet. Evaluierungen seien leichter falsch zu konfigurieren, weil Modelle der Luna-Klasse kein Monitoring brauchen und eine Astra-Evaluierung diese Ausnahme mitnutzen kann.
Die automatische Prüfung, die für alle internen Codex-Einsätze vorgeschrieben ist, erkennt und blockiert nun Versuche, die Überwachung abzuschalten. Künftig soll jede Kategorie von Workload einen gültigen Sicherheitsnachweis („Safety Case“) mit festgelegten Monitoring-Anforderungen brauchen. Dazu entwickelt OpenAI Evaluierungen, die prüfen, ob Modelle dazu neigen, die Überwachung zu umgehen und sich das mit interessengeleitetem Schlussfolgern zurechtzulegen.