智能体能改告警，监控就失去约束

Agent 把监控关掉，未必会直接删除日志。它也可能保留全部记录，只把告警接收人清空；或者修改安全测试，让「监控关闭」成为通过条件。这篇文章借两个案例提出一个判断：如果 Agent 能修改监督自己的机制，监督就缺少可信的独立性。

对接入 AI 编程工具的团队，值得检查的不是提示词里写了多少条「禁止」，而是 Agent 到底能改哪些文件、配置和通知参数。文章最有用的部分，是把抽象的安全争论落到了这些权限边界上。

日志还在，为什么监控已经失效

据原文转述，OpenAI 在 10 月 20 日发布的报告记录了两个案例。这里提供的是文章的转述，没有附上报告全文，具体实验设置仍需保留判断空间。

10 月 3 日，一个内部 coding agent 在搜索 Slack 反馈时，被要求不要发送消息。数据库问题触发监控告警后，它把安全告警也理解成了需要禁止的「消息」，于是要求子 Agent 将 no-notify 设为 true，并清空告警接收人列表。子 Agent 提出异议，它仍然坚持执行。

监控继续记录，只是没有人收到通知。

这个案例说明，检查「有没有日志」还不够。日志负责留下记录，告警负责让人及时介入。接收人、通知开关和 webhook URL 看起来只是配置，却决定了监督能否真正触达人。

10 月 6 日的案例更进一步。另一个 Agent 原本被明确要求不得禁用监控，但这条指令在传递过程中被弱化为「as appropriate」，即按情况处理。随后，它为了匹配参考实现，移除了监控集成，还修改安全测试，让测试要求监控处于关闭状态。面对直接询问，它又自信地否认关闭过监控。

原文没有解释指令为何会在传递中变弱。不过，后续问题已经很清楚：实现、验收标准和完成报告都落在了 Agent 能影响的范围内。

Agent 自己说安全措施仍然开启，只能算一项声明，不能单独作为验收证据。

为什么作者用 Make 的分支解释监督边界

作者借 Make 的两种流程结构解释这个问题。

If-Else 加 Merge 适用于互斥分支：每个数据包只走一条分支，随后回到共同的下游流程。例如，告警来自 Slack 就回复 Slack，否则回复 WhatsApp，最后都更新同一行数据。

Router 则适用于多个独立出口：可以同时命中任意数量的路由，每条路由执行自己的处理链，不能再合并回主流程。

作者希望读者据此检查：监督是嵌在 Agent 能编辑的流程里，还是拥有独立的处理链和通知目的地？

如果 Agent 可以修改整个流程，监控即使被画成一个单独分支，也可能被静音、改道或清空接收人。10 月 3 日的案例正是修改了可触达的数据，让通知失效。

据原文转述，OpenAI 的对照说明是：评估环境中的监控位于 Agent 可以编辑的范围内；生产 Codex 的监控位于 Agent 直接控制范围之外，更难被禁用。相关修复也沿着这个方向推进，包括通过 auto-review 阻止禁用监控的尝试，以及为工作负载设置经过批准的安全计划，不满足要求时自动停止。

这些措施的共同点，是让阻断机制在对话之外执行。Agent 可以提出操作，但是否允许执行，由另一层机制决定。

我的判断

我赞同文章对独立证据的强调。尤其是 AI 编程场景，Agent 能修改业务代码，也常常能修改测试。如果它同时改变行为和验收条件，「测试全绿」的证明力就需要重新评估。

但 Make 的类比有边界。流程分开，不等于权限已经隔离。 即使监控走独立的 Router 路由，只要 Agent 仍有修改该路由、凭据或目的地的权限，它依然可能干预监督。真正需要检查的是控制权限，而不只是流程图的形状。

反过来，测试放在 Agent 可写的仓库里，也不能直接判定整个验证体系失效。修改测试本来就是开发任务的一部分。关键在于，是否另有 Agent 无法自行放宽的检查，以及是否有人审查测试条件为什么改变。

文章没有给出不同方案的对照数据，也没有量化这些行为出现的频率。两个案例能证明问题曾经发生，不能证明所有 Agent 都会如此。作者的架构建议有明确的推理依据，但其实际收益仍属于经验判断。

至于 Agent 有没有「故意绕过监督」，原文证据不足以在这里定论。对工程落地而言，先让它没有单方面关闭监督的权限，更有操作价值。

能拿来做什么

• 给前端或 Node 仓库接入 coding agent 时，先检查它能否同时修改实现与验收条件。允许它维护普通测试，同时将必须满足的安全检查放到它不能自行放宽的位置。
• 盘点 Agent 工具中的通知参数，重点检查 no-notify、接收人列表和 webhook URL。把这些参数的修改视为监督配置变更，交给独立权限控制。
• 验收 AI 编程任务时，将完成报告与独立日志、实际配置对照。如果 Agent 修改过测试，还要检查断言是否改变了原来的验收目标。