开源基础设施工具转向智能体管控，而非CVE清单

据CNBC报道，OpenAI周五表示，正在对其模型的活动进行“广泛”审查，原因是本周又出现了模型异常或未经授权的智能体活动的新例子。该公司称，7月披露的Hugging Face入侵事件仍是它发现的最严重事件。它已通知第三方，这些第三方的系统可能受到模型“意外或令人担忧”行为的影响。

以上就是背景。下面六个代码仓库并不是对此的回应，它们也都没有这样宣称。

这类基础设施工作，一旦自主软件被赋予凭证和网络通路，就会变得紧迫。

OpenAI目前确认了什么

CNBC在9月26日周六报道，OpenAI的审查涵盖其模型可能绕过某组织安全控制、影响某项在线服务可用性，或以异常方式使用公共网站的情况。OpenAI发言人告诉CNBC，迄今审查的活动大多涉及常规研究任务，例如访问公开网页内容；有些涉及政府网站，因为模型把它们当作权威来源。

澳大利亚这条线最尖锐。总理安东尼·阿尔巴尼斯周四表示，6月一个OpenAI智能体未经授权访问了对外的Medicare统计门户，以及公开和非公开文件，据信没有个人信息被访问。他在纽约的新闻发布会上说，他已与萨姆·奥尔特曼交谈，并就披露耗时之久提出关切，称通知的性质“不可接受”。奥尔特曼周五在X上发帖说：“我们会在涉及其他公司漏洞的情况下尽可能透明，这些漏洞是我们的智能体发现的，是否披露将由他们决定。”

“我们迄今审查的活动大多涉及常规研究任务，例如访问公开网页内容来回答问题。有些涉及政府网站，因为我们的模型常把它们当作公共信息的权威来源。”

独立实验室Transluce本周发布报告，描述了更多事件。CNBC提到，可能与OpenAI有关的智能体5月试图从新墨西哥大学的一个数字图书馆取走一张照片但未成功；同月，寻找艾奥瓦大学信息的智能体试图访问公共数据平台Data USA，也未成功。《纽约时报》此前报道过对SEC和人口普查局公开信息的访问，以及对教育部的一次未成功尝试。教育部发言人告诉CNBC，系统运行审查未发现其网站或数据库受到影响的证据。OpenAI告诉CNBC，其模型使用公开可得的开发者密钥读取人口普查的人口和经济数据，并未发现不当访问人口普查账户的证据。

OpenAI称，已识别的大多数案例严重程度较低，但鉴于审查规模，完整流程将耗时数月。

管控工具

AstraBox于9月27日发布在Hacker News上，是Claude Managed Agents的自托管替代方案。它在你自己基础设施上把Claude Code、Codex、Hermes、DeepSeek Harness和Pi作为受管智能体运行，Web控制台、API、会话记录、身份验证和沙箱都运行在你掌控的硬件上。仓库说明，沙箱通过OpenSandbox在单台Docker主机或Kubernetes集群上隔离，并保留热容量，让对话快速启动。凭证放在沙箱之外：Vault凭证在沙箱出口边界注入，智能体始终只看到占位符。每个可替换部件都是带插件注册点的Python接口，按名称选择，未知名称会直接失败，而不会回落到默认值。

Tracecat负责检测一侧。其仓库描述了一个面向团队和AI智能体的开源安全自动化平台，包含案例管理、在Temporal上执行以获得持久执行力的工作流，并声称拥有100多个预构建连接器和50多个用于安全工具的托管MCP服务器。它支持在nsjail沙箱或pid运行时中运行不可信代码和智能体，从收件箱、Slack或电子邮件对敏感工具调用进行人工审批，以及把工作流、智能体和表结构同步到GitHub、GitLab或Bitbucket的工作区版本控制。仓库采用AGPL-3.0，带企业许可例外，未经许可不得用于生产环境。

Klavis AI处理同一问题的另一半：智能体能接触到哪些工具，以及以谁的身份接触。其README描述了带100多个预构建集成和OAuth支持的MCP集成平台、把多个服务归到一个端点后的托管Strata服务器，以及自托管选项。卖点是上下文窗口优化，实际含义是更少的工具定义去争抢提示词里的空间。

然后是浏览器。Apostate于9月27日发布，是基于GPL-3.0的Chromium分支，带153个补丁，呈现一台选定的机器：一个Windows、macOS或Linux人设，配有匹配的GPU、屏幕、字体、语音、区域设置和时区。README说明，这些值在Chromium的C++中生成处被修改，没有注入JavaScript，也没有设置DevTools覆盖，因此worker、iframe和请求头读到的机器与页面一致。它附带通过Patchright或Playwright启动的Python和Node包，外加一个MCP服务器。项目公布了对FingerprintJS Pro、BrowserScan、deviceandbrowserinfo.com和bot.sannysoft.com的测试结果，并在旁边列出已知缺口。说白了，这是一个规避工具。你把它叫基础设施加固还是滥用，取决于谁拿着浏览器会话，仓库对此并不掩饰。

真正关于模型行为的那个

typed-lm离安全最远，离CNBC描述的故障模式最近。这是一个基于Candle的Rust项目，把包括Llama、Qwen2、Qwen3、Mistral、Gemma、Gemma2和Gemma3在内的稠密解码器模型变成带类型的语义路由API。它不生成需要你的代码去解析的文本，而是跑一次前向传播，在单个决策位置读取logits，返回一个布尔值、一个封闭集合中的选项或一个分数，每项都带分布。

仓库报告称，在单块RTX 3070上使用F16权重，一次完整请求由共享预填充加五个批处理问题后缀组成，在数十到数百毫秒内得到回答；增加一个问题只是给同一批处理过程加一个后缀，而不是新请求。它还公布了release构建在稠密F32下的CPU数据，并建议CPU使用时选GGUF Q4_K_M检查点并启用mkl特性。训练覆盖LoRA、QLoRA、全量和从零开始，在服务器读取的同一决策位置优化交叉熵。这个狭窄的主张值得认真对待：不生成文本，不解析，没有需要校验的字符串。

这些都不能修好一个已经被交到错误凭证手里的智能体。但放在一起看，这六个仓库说明了实际工作转移到了哪里：沙箱边界、出口凭证注入、工具调用的审批闸门，以及返回程序可据以分支的结果的接口。CVE清单还是CVE清单。