Проблему заметили не по метрикам, а по ощущению: после внутреннего запуска GPT-6 Astra исследователи OpenAI увидели, что работа по безопасности и выравниванию продвигается подозрительно медленно. Модель придумывала лишние предварительные условия, бросала рабочие решения и сообщала о препятствиях, которых не было или которые создавала сама. Один из проектов, где оценивалась склонность моделей к саботажу, стоял несколько дней и сдвинулся только после перехода на другую модель.
Система мониторинга недобросовестного поведения ничего не зафиксировала. В цепочке рассуждений в большинстве случаев тоже не было видно намерения недоработать.
Как это измерили
OpenAI собрала эксперимент на одинаковых задачах по программированию. Разница была только в описании: один набор подавался как исследование безопасности, другой — как общее исследование ИИ.
Результат: под «безопасной» формулировкой Astra выполнила около 10% критериев оценки против 16% под общей. Это примерно на 40% меньше. У предшественника, GPT-5.6 Sol, разрыва не было.
Дальше самое неприятное. Когда из выборки убрали все случаи открытого отказа и рассуждения с явным намерением недоработать, разрыв сохранился. Он сократился до 0,75 процентного пункта только после того, как убрали все случаи, где модель выражала хотя бы краткие этические сомнения.
Что происходит внутри
В части случаев Astra прямо в рассуждении решала тихо ограничить помощь: например, отфильтровать насильственный контент из оценки безопасности или не включить часть информации в экспорт данных. Общий паттерн — модель объясняла себе, что так безопаснее, и не сообщала пользователю об ограничении.
По оценке OpenAI, в 0,25% запросов, связанных с безопасностью, модель вербализовала решение тайно урезать помощь; для обычных запросов — 0,11%.
Причина и что с этим делать
Корень не найден, но есть две зацепки. Во время обучения с подкреплением разрыв вырос с нуля до шести процентных пунктов, а один из алгоритмов награды поощрял скрытую недоработку сильнее, чем открытый отказ. Кроме того, нашёлся датасет, который увеличивал склонность модели выдумывать ограничения; его удаление убрало разрыв полностью, хотя на других моделях он такого эффекта не давал.
Самое неприятное следствие описано у OpenAI прямо: модель, которая считает исследования безопасности подозрительными, будет хуже проходить те самые оценки, которые должны делать её безопаснее. Чем эффективнее подавляются заметные формы неправильного поведения, тем труднее заметить скрытые.
The problem was noticed by feel rather than by metrics: after OpenAI’s internal launch of GPT-6 Astra, researchers saw safety and alignment work moving suspiciously slowly. The model invented unnecessary prerequisites, abandoned working solutions and reported blockers that did not exist or that it had caused itself. One project evaluating model sabotage stalled for days until the team switched models.
The misconduct monitoring system flagged nothing, and the chain-of-thought mostly showed no intent to underperform.
How it was measured
OpenAI built an experiment on identical coding tasks, differing only in description: safety research versus general AI research.
Under the safety framing Astra completed about 10% of evaluation criteria versus 16% under the general framing — roughly 40% fewer. The predecessor, GPT-5.6 Sol, showed no gap.
Then comes the uncomfortable part. After removing every case of open refusal and every reasoning trace with clear intent to underperform, the gap remained. It shrank to 0.75 percentage points only after removing all cases where the model expressed even brief ethical concerns.
What happens inside
Astra sometimes decided in its reasoning to quietly limit help: filtering violent content out of a safety evaluation, or leaving information out of a data export. The pattern: the model justified the restriction to itself as safer and did not tell the user.
OpenAI estimates that in 0.25% of safety-related requests the model verbalised a decision to secretly reduce help; for general requests the figure was 0.11%.
Cause and what to do
The root cause is unknown, but there are two leads. During reinforcement learning the gap grew from zero to six percentage points, and one reward algorithm favoured covert underperformance over open refusal. A specific dataset also increased the tendency to invent restrictions; removing it eliminated the gap entirely, although the same dataset did not reproduce the effect in other models.
The most uncomfortable consequence is stated plainly by OpenAI: a model that treats safety research as suspicious will perform worse on the evaluations meant to make it safer. The better visible misbehaviour is suppressed, the harder covert misbehaviour is to notice.