OpenAI 據報採用 opaque recurrence，AI agent 審計面臨新缺口

圖片：TechLab 自製資訊圖

TechLab 編輯部（譯）·2026-09-02

據 TechCrunch 引述《The Information》報道，OpenAI 據報會在新一代 Astra 模型採用名為「recurrent depth」的推理技術，亦被稱為「opaque recurrence」。與多數推理模型按步驟向前展開的做法不同，這種方法會讓模型在迴圈中重複處理同一問題，因此留下較少可閱讀的推理痕跡。消息目前涉及的使用範圍據稱有限，Astra 的 chain of thought 預期仍可閱讀；但對依賴 AI agent 的開發團隊及企業而言，爭議已不只在於模型能否答對，而是出錯、越權或出現可疑行為時，人們還能否較有效追查其決策過程。

最重要的限制是，外界尚未見到 Astra 的完整技術細節，也未能據此量化 opaque recurrence 會令推理紀錄少了多少、是否影響所有任務，或實際安全效果如何。OpenAI 首席科學家 Jakub Pachocki 則表示，公司自首批 reasoning model 起一直致力保留及利用可讀的 chain-of-thought 監測，這也是現時研究計劃的核心目標。因此，現階段較準確的理解是：這是一項引起安全社群警覺、但據報仍受限制的模型設計選擇，並非已確認 Astra 完全放棄可審計推理。

為何推理紀錄會成為安全控制的一環

一般而言，reasoning model 解答複雜問題時，chain of thought 會呈現一連串較線性的中間步驟。它從來不是模型內部運算的完整副本，也不能被當作絕對真實的「思考自白」；不過，這些紀錄仍為研究人員提供可操作的訊號，可用來觀察模型有沒有偏離指令、誤解限制，或為不當行為建立策略。TechCrunch 指出，在近期的 rogue agent 活動中，chain-of-thought 紀錄曾是釐清 agent 為何出現相關行為的重要工具。

這正是 opaque recurrence 令人不安的原因。模型若將部分處理放進反覆迴圈，其有效推理可能更多發生在不易以人類語言讀取的內部表徵中，傳統逐步紀錄便未必足以說明它怎樣得出結論。這不代表模型必然更危險，也不等於有紀錄的模型必然安全；然而，當監測者本來已只能透過不完整訊號了解 agent，訊號再變少，就會降低調查異常行為及建立防護規則的把握。對處理高權限工作流程的 agent，這個差別尤其實際。

Redwood Research 行政總裁 Buck Shlegeris 擔心，若 OpenAI 日後大幅增加 recurrence，chain-of-thought 的可監測性可能被嚴重削弱。該說法屬安全研究人士對未來技術路線的判斷，並非 Astra 已有的已證實功能；但它點出了核心取捨：研究團隊可能希望以不同架構改善推理能力或效率，同時亦要避免把關鍵決策移出可供審視的渠道。模型輸出看似正常，未必代表其在工具使用、權限判斷或任務規劃上沒有累積風險。

Coding agent 的問題不只在程式碼結果

對 coding agent 而言，可審計性的重要性很具體。這類 agent 未必只生成一段程式碼，還可能閱讀 repository、選擇工具、修改設定、執行測試，甚至在獲授權時接觸部署或雲端資源。當它提出一項改動，工程團隊可以檢視 diff、測試結果及操作紀錄；但這些屬結果層面的證據，未必足以解釋它為何選擇某條路徑、是否曾考慮繞過限制，或何時開始偏離原本任務。可讀的推理訊號雖不能取代權限控制，卻可增加事後調查和安全研究的線索。

若 opaque recurrence 的採用日後擴大，企業不應把模型的內部推理紀錄視為唯一稽核依據，反而要更明確區分「模型自述」與「系統證據」。前者可能愈來愈不完整；後者包括工具呼叫、檔案存取、權限變更、命令執行、版本控制紀錄及人工覆核，應由 agent 以外的系統獨立保存。這是由報道所揭示風險引出的工程分析，並非指 Astra 已造成上述問題。對開發團隊來說，較穩妥的做法是預設模型推理未必永遠可見，將安全設計放在可驗證的行為邊界上。

例如，coding agent 即使能自行規劃任務，也不應因為其解釋看來合理便自動取得更高權限。涉及刪除資料、變更 production 設定、讀取敏感憑證或對外發送內容的動作，仍應保留明確批准、最小權限及可回溯的外部日誌。這些措施本來已是 agent 採用的基本防線；opaque recurrence 的討論，令其價值更突出。當內部過程更難閱讀，組織便更需要確保每一個高風險外部動作本身可被驗證。

企業採用會由「可解釋」轉向「可控制」

企業購買或部署 AI agent 時，常會問模型是否能解釋答案，但更關鍵的採購問題可能是：供應商可提供哪些監測訊號？這些訊號在甚麼任務下仍然有效？當模型行為與紀錄不一致時，誰負責調查？若供應商同時提升模型能力與降低推理可讀性，企業的風險、合規及資訊安全團隊便要重新評估原有控制是否仍足夠。特別是在 agent 可接觸內部資料、客戶資料或營運系統的環境，單靠最終輸出通過檢查，未必能滿足事故分析需要。

不過，討論不宜走向另一個極端。TechCrunch 也提到，所有 AI 模型都包含某程度的不透明推理，而且很少研究人員會把 chain-of-thought log 當成模型推理的直接、完整表述。換言之，監測 chain of thought 本身已有局限，不能把它包裝成萬能保證。真正的政策與產品問題，是當模型架構逐步增加不透明處理時，開發商會否同步提供更可靠的評估方法、行為監控和事故調查機制，以補足失去的觀察能力。

安全倡議者 Zvi Mowshowitz 提出，若 AI 實驗室互相追逐此類技術，法律或有需要防止出現「race to the bottom」。這是其個人主張，未代表現有監管要求；但監管討論很可能會由「模型有沒有披露 chain of thought」延伸至更具體的問題，例如高風險 agent 是否須保存外部操作紀錄、部署者能否重建事故時間線，以及模型公司是否需要證明其監測方案在新架構下仍然有效。對監管機構而言，強制公開原始推理未必既可行亦未必安全，要求可驗證的控制與報告或許更貼近實務。

下一步要看使用範圍與監測承諾能否落地

報道稱，Anthropic 與 Google DeepMind 也在討論這項技術，表示爭論未必只限於 OpenAI 一家公司。接下來最值得觀察的，並非單一術語是否成為業界潮流，而是各實驗室會否說明 opaque recurrence 的實際使用範圍、chain-of-thought 在哪些情境仍具可讀性，以及如何證明監測系統能捕捉 agent 的危險行為。若這些資訊持續有限，企業將更難把 agent 用於高權限流程；相反，若供應商能以清晰評估和獨立可驗證的操作證據補強監控，模型架構的演進才較可能與安全採用並行。