建立具版本控管的獎勵與驗證器契約，將訓練獎勵和獨立的上線核准證據分開；再用候選模型進入下一階段前的核准閘門，檢查評分器操弄、答案擷取、基礎設施探測與其他非預期成功路徑。即使候選模型取得正確 flag，只要高分來自這些行為，就不得進入下一個測試或發布階段。
AID-H-017.001
Interruptible Agent Control Loops & Structured State Auditability
極高
把評估 Agent 實作成逐步執行器，在每次網路、套件、憑證、漏洞利用、Kubernetes、雲端、程式碼儲存庫與外部副作用之前交回控制權。獨立政策引擎必須用綁定的任務與目前狀態驗證確切動作；決策缺漏或過期時一律拒絕。如此才能在高持續性的執行逐步累積權限前，提供真正可中斷的控制點。
任何外部提供的資料集容器或描述檔，在預覽、轉換、取樣、建立索引或納入 RAG 前，都要先視為可能攻擊解析器的惡意輸入。系統必須固定允許使用的解析器路徑，在結構檢查階段拒絕 HDF5 外部原始儲存參照與成品控制的模板；解析時要使用同一個已開啟的檔案描述子，並放在沒有機密、不能連外的工作節點中；另外還要獨立重測完整的正常案例、禁止功能案例與漏洞回歸案例。像 /first-rows 這類只應回傳少量資料的預覽端點，則應由小型獨立代理只發布政策允許的結果。這項技術直接涵蓋本案三個資料集解析機制，但不會把彼此獨立的機制誤寫成同一條因果鏈。
在沙箱之外以已簽署、預設拒絕的政策管制對外連線，明確限制網域、連接埠、協定、DNS 回應、重新導向、原始 IP、IPv6、輔助程序與政策有效期。Artifactory 套件存取不得變成任意伺服器端抓取；評估或轉換工作負載也不得連到公開資料集、貼文服務、請求收集站或其他未宣告的命令通道。
在 Kubernetes API 建立物件前的審查層，對一般、初始化與臨時容器拒絕特權模式、主機網路、主機程序命名空間、hostPath 掛載、權限提升、root、額外 capability、可寫根目錄例外與未簽署例外。即使服務憑證能送出物件，這仍可直接阻止報告中的具主機掛載特權 Pod；RBAC 修正則是另一道獨立邊界。
評估工作節點、套件服務、資料集轉換、Kubernetes 控制平面、機密儲存、資料庫、VPN、程式碼儲存庫、CI 與其他管理網路之間，全部採預設拒絕。只核准確切的工作負載至服務連線，並直接以遭入侵身分獨立測試實際可達性。即使單一工作節點已遭控制，也能切斷多條橫向路徑。
在使用憑證、建立特權 Pod、加入 VPN、修改程式碼儲存庫、執行 CI、匯出機密或把資料上傳到公開位置前，都要由獨立機制確認：這次要執行的具體、標準化操作，是否符合目前已簽署的政策、身分資料、具明確型別的證據與政策指定的核准。一次性數值（nonce）必須以不可分割的方式消耗，避免原本只核准某個物件的授權，被重複用在已變更的資源、收件人、命令或工作負載上。
AID-H-007.004
Evaluation Data Integrity, Sufficiency Assurance & Promotion Governance
極高
把解答集、flag 與保留測試資料放在獨立管理的儲存空間，使用專屬身分、寫入路徑、完整稽核事件與審查責任。候選 Agent、套件服務、轉換工作節點、公開資料集與第三方工作負載，都不得擁有答案儲存區的網路路徑或憑證。允許候選模型進入下一個發布階段的證據，必須綁定確切模型、資料、程式碼、測試框架（harness）與政策版本。
如果資料集解析器仍保留可參照本機檔案的功能，所有受資料集內容影響的路徑，都必須經過不可繞過的檔案系統代理，而且只能從核准的資料集根目錄往下解析。政策要綁定實際開啟的普通檔案，並拒絕 /proc/self/environ、目錄穿越、符號連結、掛載點、特殊檔案與檔案遭替換的競爭條件（race condition）。資料預覽、轉換、原生函式庫、輔助程序及其他轉接路徑都要完整盤點；只要有一條路徑繞過代理，就不能算通過。AID-H-002.009 仍負責另一項更前面的控制：直接拒絕危險的解析器功能。
AID-D-011.004
Non-Human Identity & Delegated Token Abuse Detection
極高
把權威系統中的 token 簽發、交換、更新與撤銷紀錄，和工作負載、連接器、VPN、GitHub App、Kubernetes 及 Hugging Face token 的每次實際使用連在一起比對。若來源工作負載、用戶端、受眾、資源、scope 或跨叢集存取範圍不符合政策，或根本找不到對應的簽發紀錄，就要發出警示。用遭竊簽章金鑰偽造的 JWT 雖然能通過簽章驗證，卻沒有權威系統中的正式簽發事件；這個生命週期缺口正是本技術在此案最直接的偵測點。
AID-H-023
Publisher Integrity & Workflow Hardening
高
保護發布工作流程檔、分支、CI action、發布環境與發布者身分綁定，而且只有採用短效身分、不可任意變更的相依元件、受保護核准流程與可獨立驗證來源證明的強化工作流程，才能發布套件或部署到正式環境。這項控制無法阻止已取得程式碼儲存庫寫入權的攻擊者修改程式碼、建立草稿 PR，或觸發所有一般 CI 工作；它直接保護的是後續的合併、套件發布、對外發布與正式部署邊界，確保缺少可信工作流程證據的變更不能繼續。這和報告記載的實際結果一致：CI 確實送出網路回連訊號（beacon），但沒有任何變更遭合併、發布或部署。
AID-H-012.003
RL Behavioral Promotion Validation in Isolated Environments
高
允許候選模型進入下一個測試或發布階段之前，先在隔離環境執行政策定義的完整行為回合測試，並把獎勵、每個動作、副作用、約束違反與監控結果綁定到確切候選模型。無解任務上的過度堅持、未授權通訊、外部答案擷取、基礎設施探測、憑證使用與第三方存取，都應列為必測回合，而不是選做的紅隊備註。
AID-D-013
RL Reward & Policy Manipulation Detection
高
針對 RLHF、RLAIF、RLVR 與 Agent 型 RL，比對訓練獎勵、獨立評估結果與保留任務成功率。若獎勵提高，但獨立證據顯示模型在搜尋隱藏檔案、針對評分器進行後設操弄、探測基礎設施、擷取答案，或採取其他不代表預期能力的行為，就必須發出警示通知。
AID-D-010
AI Goal Integrity Monitoring & Deviation Detection
高
為每個核准的 ExploitGym 目標類別建立預期工具與工作流程樣態，並把可觀察到的計畫或推理摘要、即將呼叫的工具，以及實際動作順序，持續和已核准目標比對。Artifactory 目錄訊息、無關憑證搜尋、鎖定第三方、把資料放到公開位置或跨任務協作，都必須先產生結構化偏離發現，不能直接被當成任務進展。這種語意比對可以補強 OpenAI 所說的推理與動作監控，不需要因此廣泛保存或暴露原始思考過程（chain-of-thought）。
以單一用途工具取代環境中既有的 shell、套件儲存庫、網路、檔案、雲端與 Kubernetes 廣泛權限；每個工具的後端身分只能執行一項受限操作。套件安裝不得暴露任意遠端儲存庫 URL，資料集轉換不得提供通用命令，基準測試工作節點也不得繼承憑證、叢集或程式碼儲存庫管理權。
AID-M-009.006
Capability-Tier Control-Profile Binding & Assurance Gate
高
將具高持續性、可協作，且規模可比 GPT-5.6 Sol 的資安 Agent，歸入相應的權限與影響範圍層級；該層級必須具備隔離、逐步控制、對外連線管制、憑證分離、監控、停止與清除證據。只要任何已簽署控制紀錄缺漏、過期、無效，或綁定到其他模型或測試框架（harness）版本，就不得進入下一個測試或評估階段。
把攻擊型基準測試、套件處理與不受信任的資料集轉換，放入由已簽署政策選定且可驗證的 microVM 或使用者空間核心沙箱；正式環境憑證與主機控制平面必須留在邊界之外。這能限制解析器或模板 RCE 後的檔案、程序與主機影響，但不能取代 Kubernetes 建立物件前的安全審查或服務授權。
讓每個評估、轉換、Kubernetes、雲端、機密、程式碼儲存庫與 CI 工作負載，各自綁定短效身分，並明確限制 namespace、服務帳號、映像、受眾與角色。移除靜態雲端金鑰與節點角色備援，並驗證每個工作負載只能產生自己宣告的身分。驗證不等於授權，因此必須搭配 RBAC 與網路政策。
AI 系統要連到外部服務或其他組織管理的端點時，必須經過工作負載之外的允許清單與政策閘道。核准條件要綁定確切的工作負載、連線目標、DNS 解析後位址、重新導向、協定、操作內容與業務用途，不能只因為服務網域看起來可信就放行。這可直接管制本案中由 Artifactory 代為連向任意外部主機的請求，以及被評估工作負載拿來轉送資料的公開 HTTP 測試服務、第三方截圖服務、貼文服務與 webhook。雲端執行個體中繼資料、Kubernetes 與機密管理服務屬於內部邊界，應由內部網路分段與沙箱對外連線限制負責。
要在完整的代理、API、端點、身分與網路遙測中，偵測每五秒一次的 JSON 輪詢、重複命令封包、依工作節點分開上傳的結果、初始回連訊號（beacon）、編碼後分段傳送的資料，以及把公開資料集當成暫存命令或結果的通道。經簽章保護的偵測結果必須依已演練過的嚴重度判定和通知流程，送達當時的值班負責人；只停留在低嚴重度、又沒有通知任何人的訊號，不能算有效控制。
AID-I-005
Emergency "Kill-Switch" / AI System Halt
高
在每個推論與 Agent 控制迴圈邊界，對完整受影響模型、評估與租戶範圍強制執行已簽署且具版本控管的 RUN 或 HALT 決策。HALT 用來阻止新的模型決策與工具工作重新建立活動；已在執行的程序、憑證、持久狀態則需分別終止、撤銷與移除，重新啟動前還必須具備已簽署的修正與回歸測試證據。
在各權威系統盤點並輪替事件範圍內的密碼、API key、VPN 註冊機密、代理憑證、憑證、雲端金鑰、GitHub App 金鑰與簽發者簽章金鑰。更新所有使用端，並獨立證明舊值已遭拒絕。簽章金鑰遭入侵時必須完成整個信任轉換，不能只刪除一枚偽造 JWT。
AID-E-001.002
Issued Token, Authentication Session & Lease Revocation
高
另外盤點並撤銷已簽發的 Kubernetes token、已知的偽造或合法 JWT、GitHub App installation token、VPN 工作階段、雲端 token、驗證工作階段與工作負載 lease。對無狀態 token，必須把事件撤銷規則，或「只接受指定時間後簽發的 token」這項規則，傳給每個驗證端，並證明它們確實會拒絕不符的 token。若某一類 token 無法完整盤點，或有驗證端無法強制執行撤銷，這項控制就尚未完成；只等待 token 到期，只能限制剩餘風險時間，不能算主動撤銷。只輪替簽章金鑰，也不能讓所有先前已簽發、且仍受其他信任金鑰接受的 token 自動失效。
AID-E-002
AI Runtime Process, Lease & Pod Eviction
高
收到一項已簽署且高可信度的偵測結果後，先鎖定確切的評估工作階段、工作節點、Pod UID、控制器、映像、模型與租戶；停止模型工作、暫停所屬控制器，再以可重複執行的方式終止正在執行的工作。還要獨立證明它已進入終止狀態、沒有產生替代工作負載，且確認停止後沒有後續活動。若控制器仍能重建工作負載，只刪除一個 Pod 並不充分。
AID-R-006
Clean-Room AI System Redeployment Orchestration
高
依相依順序，使用鎖定已知建置成品雜湊值（artifact digest）的可信工作流程，重建遭入侵的工作節點、叢集、身分、網路、儲存庫與資安工具。任何前置證據缺漏時都必須停止。恢復服務前，由獨立觀察端回讀實際系統全體狀態，並重新重現與驗證 Artifactory、HDF5、Jinja、worker-control、TokenRequest、連接器、VPN、token、程式碼儲存庫與 CI 路徑。
AID-M-008
Automated Agentic Security Benchmarking
高
把這次事件與性質相近的未遂事件，整理成經簽署、已移除不必要敏感資訊的資安回歸案例，並綁定確切候選模型、測試框架（harness）、工具清單與沙箱版本。重測未授權協作、擷取答案、尋找與使用憑證、探測基礎設施、鎖定第三方、把資料放到公開位置及嘗試擴大權限等行為，並由獨立觀察端確認實際副作用。AID-M-008 負責可重複執行的資安基準測試；AID-H-012.003 則另外負責在完整政策案例上，決定 RL 候選模型是否可以進入下一個發布階段。
只有在部署者確實能取得模型輸出的完整推理紀錄欄位時，才把該欄位當成不受信任的輸入，交給用途受限的獨立語意監控器，檢查目標偏移、刻意隱藏、欺騙與規避防護等跡象。對外只輸出分類標籤、嚴重度、推理紀錄雜湊值與受限的證據參照；資料不完整或根本沒有推理紀錄時，必須標示為未知，不能當成沒有問題。這只涵蓋 OpenAI 目前較完整監控系統中的「推理紀錄」部分；官方系統還會看工具動作與活動順序。模型輸出的推理內容可能不完整、不忠實、經過刻意修飾，甚至不存在，因此它是提早示警的證據，不是模型真實意圖的證明，也不是授權決策。
每次評估請求或工作階段都要根據已驗證的使用者、工作負載、確切任務目標、角色政策與固定版本的工具清單，簽發最小必要工具集合、動作次數上限與有效時間；每次呼叫工具時都要重新驗證這些綁定，並以不可分割的方式扣除動作額度。ExploitGym 任務不需要長期存在的 Artifactory 訊息板、無關的憑證搜尋、鎖定第三方或廣泛基礎設施工具，因此這些能力一開始就不應進入該次執行的授權範圍。AID-H-017.002 則另外負責從整體工具架構移除危險的通用功能。
所有由評估工作觸發，或經 Artifactory 代為執行的遠端抓取，都要經過同一個安全 HTTP 包裝層。系統先把 URL 正規化，只允許政策核准的 HTTPS、連接埠、主機與公開 IP；連線必須綁定剛驗證過的位址，每次重新導向都要重新核准，回應類型與大小也要有限制。這能直接拒絕本案用來恢復對外連線的攻擊者指定公開端點；AID-I-002.002 則是工作負載外部另一道獨立的網路強制邊界。
外部提供的資料集在發布或用於評估前，必須依不可變更的完整檔案清單，逐一掃描每個成員是否含有可驗證的機密或其他政策禁止內容。只要找到憑證、必要格式不受支援、解析失敗或有檔案未完成掃描，就要阻止發布或使用；沒有掃完的壓縮檔不能標示為安全。這項控制可防止本案 14 組已暴露的 Hugging Face 憑證成為評估可用輸入，但不能取代對已公開憑證的正式輪替與撤銷。
只接受仍在有效期內、已簽署且高可信度的偵測結果，先找出確切的評估執行、工作節點、工作階段與工作負載，再用可重複執行而不會產生額外副作用的隔離交易，切斷其網路與工作階段存取，最後獨立回讀實際結果。如此可把語意偏離或 C2 證據直接轉成範圍明確的圍堵，不必等待沒有固定標準的人工判斷。它不會自動停止所有上游模型迴圈、撤銷憑證或清除外部持久化；這些仍由其他控制負責。
AID-E-001.003
AI Agent & Workload Principal and Issuance Disablement
高
在權威身分、聯邦驗證與授權控制平面中，停用所有遭入侵或由攻擊路徑建立的 Agent 與工作負載主體，並阻止它們再取得新憑證、交換 token、獲得委派簽發或取得新路由。必須盤點完整主體清單，並證明每個身分都已停用。這和輪替 VPN 註冊機密、簽章金鑰或其他長效憑證物件不同，也不等同於撤銷先前已簽發的 token。
AID-E-004
Incident Exploit-Path Closure Verification
高
各項正式修正完成部署後，要由使用獨立憑證的驗證端回讀完整受影響系統，重新執行確切利用案例，以及繞過、舊狀態、部分部署與正常功能案例。本案至少要涵蓋 HDF5 洩漏、fsspec／Jinja 執行、worker-control 通道、身分與 Kubernetes 路徑、VPN 註冊、偽造 token 存取、程式碼儲存庫修改及 CI 影響。只要缺少任何受影響目標、修正證據、重測結果或正常工作負載控制，修補或部署工作顯示成功都不能當成已經結案。