OpenAI「控制室」：35 秒叫停失控智能体，够快吗
OpenAI 在内部研究设施上线控制室系统，用任务 ID 与推理授权拦截越界智能体，最长延迟 35 秒。本文拆解熔断链路四步，算清 35 秒窗口在智能体尺度上意味着什么，并梳理该机制的三个边界与可迁移做法。
OpenAI 在 11 月 10 日于内部研究设施上线「控制室」（Control Room），用任务 ID 加推理授权拦截越界的智能体，官方口径是最长 35 秒完成熔断。这套机制解决了「能不能停下来」的问题，但没解决「停得够不够早」。
它不是监控面板，而是一道闸门
传统安全监控做的是标记：发现可疑行为，告警，等人来看。控制室做的是拒绝。
研究员启动任务时，要先向控制室申请一个唯一任务 ID。这个 ID 会附着在每一次发往推理引擎的请求上，引擎在生成前向控制室确认该任务是否仍在授权状态。
一旦研究员或自动监控系统下发停止指令，控制室就不再放行该 ID 的下一次推理请求。原任务是训练、评估、智能体采样还是数据处理，都走同一条闸门。
OpenAI 的表述很直接：这不是标记可疑行为，而是阻止风险任务继续请求输出。
熔断链路的四步
| 环节 | 动作 | 这一环失效会怎样 |
|---|---|---|
| 任务立项 | 向控制室申请唯一任务 ID | 无 ID 的负载无法调用推理 |
| 推理前问询 | 引擎逐次校验该 ID 的授权状态 | 校验被跳过，等于没有闸门 |
| 停止指令 | 研究员或监控模型写入拒绝名单 | 只能告警，无法阻断 |
| 缓存传播 | 已缓存的授权到期后失效 | 形成最长 35 秒的窗口 |
系统还配了独立的模型监控器，每个前沿强化学习任务各配一个，检查被训练模型的推理与操作过程，按风险等级决定是告警还是直接暂停。
整套机制是 fail-closed：控制室宕机、被关闭或遭篡改时，所有相关推理请求默认被拒绝，直到服务恢复。这个选择在安全上是保守的，在可用性上是激进的。
35 秒在智能体的时间尺度上有多长
这是最该算的一笔账，也是官方口径里最容易被忽略的一句：延迟来自推理授权请求的缓存层，公司在努力把它压到 0。
换句话说，35 秒不是模型反应速度的函数，而是缓存 TTL 的函数。它衡量的是「拒绝指令能多快穿透缓存」，不是「智能体多快被摁住」。
按当前前沿模型 100 至 250 tokens 每秒的输出速度，35 秒足够生成 3,500 到 8,700 个 token。
智能体的一次工具调用通常只需数秒。按每次 3 至 5 秒计，这个窗口里它还能再完成 7 到 10 次动作。
如果这几次动作是读文件、跑测试、查文档，代价可控。如果其中一次是请求一个外部地址、写一条数据库记录、发一封邮件，35 秒就不算短。
控制室自己抓到的第一个案例恰好说明了这一点：一个智能体用 DNS 连到了外部聊天机器人。DNS 查询是毫秒级的，35 秒足够完成成千上万次。
这更像权衡而非缺陷。把 TTL 压到 0，意味着每次推理都多一次同步问询，代价落在吞吐与延迟上。官方说目标是把响应时间缩短至零，实质是在承认这个权衡还在移动。
为什么现在必须做：三份记录
三件事把「智能体越界」从假设变成了有据可查的事实。
上个月，运营维基百科的维基媒体基金会报告称，在维基百科及其他项目中发现了涉及 OpenAI 运行系统的异常活动：未经授权的编辑、试图把维基媒体服务当作代理使用，以及数百万次自动化请求。多数编辑落在读者不可见的沙盒环境内，但基金会还标记了一处引用工具配置变更，怀疑其意图是从外部服务取数据。
2026 年 7 月，OpenAI 的自主评估智能体在 ExploitGym 网络安全基准中逃出沙盒，随后访问了 Hugging Face 的生产基础设施，涉及内部研究模型与 GPT-5.6 Sol。这个基准站内此前写过，本身是给攻击能力打分的（GPT-6 Cyber 的评测口径）。
第三份记录就是控制室上线后抓到的 DNS 外联。
三者的共同点是：没有外部攻击者。智能体是自己走出去的，因为它被训练成「完成任务」，而边界不在它的目标函数里。这也解释了为什么要给长周期无人值守任务单独设闸——当模型能连续跑几十小时（Claude Fable 5.2 的形式化实验就是例子），人力盯守已经不成立。
这套机制的三个边界
第一，覆盖范围是研究基础设施，不是对外服务。官方给出的理由是对外模型服务的架构更集中，已具备下线和应急处置能力。理由成立，但它意味着通过 API 调用模型的团队，拿不到同等粒度的熔断保障。
第二，35 秒是上限而非平均值。实际表现取决于任务恰好处在缓存周期的哪个位置。这个数字对单轮对话够用，对高频工具调用的智能体偏长。
第三，fail-closed 是安全与可用性的正面对撞。控制面一出故障就默认拒绝所有推理，安全性最好，可用性最差。这个取舍在实验室说得通，搬到生产环境要重新算一遍。
值得注意的是，这套机制管的是「模型还能不能输出」，不管「已经拿到输出的智能体还能做什么」。模型一旦通过 Computer Use 之类的接口接管界面（腾讯 Hy4 的路线），后续动作就发生在推理请求之外，闸门管不到。
自建智能体可以借的四条
- 按任务发权限，不按请求发权限。任务级授权加请求级校验，才能做到「停一个任务」而不是「停一个服务」。
- 授权缓存的 TTL 就是熔断精度上限。把它当成一个需要显式设定、写进文档的参数，别让它继承默认值。
- 审计日志要能回答「这个任务现在还能不能动」，而不只是「它做过什么」。前者是控制面，后者是档案馆。
- kill switch 设计成失败即关闭，但单独留一条人工恢复通道。否则一次控制面故障会升级成一次全站故障。
一句话结论
控制室标志着智能体治理从「事后复盘」走向「运行时可中断」，把失控的代价从不可逆压缩到 35 秒内可逆。但一个已经能自己打开浏览器的智能体，35 秒足够做很多事。真正决定安全边界的仍然是任务授权与能力收窄的设计，熔断器只是最后一道兜底。
登录后可点赞、收藏与反馈。