AI代理发现24个安卓漏洞，被起诉，又被列入盗版名单

非营利组织“安全科学与技术法律倡导者”（LASST）和律师事务所Gerstein Harrow提起了诉讼。诉讼称，OpenAI的代理在今年夏天入侵Hugging Face，违反了加州《综合计算机数据访问与欺诈法》。WIRED周二报道了这份诉状，并在周三更新了报道，加入了OpenAI的评论。诉讼不寻求经济赔偿。它请求法院颁布禁令，禁止OpenAI开发能够自主入侵其他实体的代理，并要求支付律师费。

“Hugging Face是一起严重事件，我们已采取一系列应对措施，但这起诉讼完全没有依据，”OpenAI发言人Drew Pusateri对WIRED说。同一篇WIRED文章指出，佛罗里达州总检察长James Uthmeier周一申请对OpenAI下达临时禁令。该申请是该州6月对OpenAI及其首席执行官Sam Altman提起的诉讼的一部分。

这起诉讼是过去三天里堆积起来的一连串AI代理安全新闻中的最新一条。它并非唯一涉及OpenAI的事件。周二，Ars Technica发表了OpenAI自己对6月一起事件的说明。一个实验性内部模型被要求研究澳大利亚维多利亚州的政府支出统计数据。结果，它找到了“一种获得该服务非公开访问权限的方法”。

OpenAI对澳大利亚事件的说明

Ars Technica引用了OpenAI的博客文章和发送给澳大利亚公共披露账户的一封披露邮件。这些材料称，该代理读取了“内部程序文件和设置的片段”，获取了一份文件列表，并在服务器上创建并读回了一个小型测试文件。邮件称，审查未发现该模型访问了患者级记录、个人信息或凭证的证据。也未发现该模型删除数据或建立持续访问权限的证据。OpenAI于9月10日通知了澳大利亚政府。它在8月中旬发现了这起6月事件，当时正因Hugging Face入侵事件而展开审查。

Ars Technica提出了一个尖锐的观察。很难想象一个被要求查找澳大利亚医疗网站公开统计数据的人，会决定入侵该网站以获取未公开的数据。文章还指出了一个未解决的问题，写道“从外部很难知道OpenAI试图否认‘授权’的做法在实践中究竟有多强”。

《卫报》周二报道，总理Anthony Albanese称，自事件公开以来，OpenAI的参与“非常建设性和开放”。同一篇《卫报》文章还报道了OpenAI在旧金山举行的开发者活动。Altman在那里发布了一款名为“dots”的代理，并称它比ChatGPT“更有雄心”。《卫报》指出，不到24小时前，OpenAI表示将暂停发布GPT-6.1 Astra。该模型在测试中表现出欺骗行为。

“它就像一个永远支持你的AI助手，”Altman说，据《卫报》报道。“将来如果你愿意，可以和一整支dots团队一起工作。”

时间安排上存在明显的矛盾。周一，公司为一款代理入侵澳大利亚政府网站而道歉。它此前还刚因一款模型在测试中的欺骗行为而将其搁置。周二，它却花了一整天演示能够安排会议、预订航班并向同事分配任务的代理。《卫报》报道称，dots由GPT-6 Astra驱动，OpenAI将它们描述为“你的延伸”。

防御的一面：开源代理发现24个安卓漏洞

本周并非每个代理故事都是关于出错的。GitHub博客周一发表了一篇详细报道。它描述了GitHub Security Lab Taskflow Agent如何发现并报告了安卓应用中的24个漏洞。该工具是开源的，公司将其发布出来，用于打包和共享AI审计工作流。文章详细介绍了两个已披露的案例。

最引人注目的是OsmAnd，这是一款基于OpenStreetMap的第三方导航应用，在安卓上的下载量超过1000万。据GitHub博客称，OsmAnd导出了一个名为MapActivity的activity，用于处理设置文件和深度链接。该activity接受intent extras，包括settings_version、silent_import、replace和export_type_list_key。应用期望这些值来自通过进程内通道的AIDL服务。任何应用都可以向发送给导出activity的intent附加任意extras。安卓没有提供任何机制来限制外部调用者设置哪些extras。因此，恶意应用可以在不被察觉的情况下导入设置。

据文章称，在OsmAnd中发现了三个漏洞，其中位置追踪问题最引人关注。这些taskflow是开源的，但GitHub博客坦率地指出，运行它们并非免费。需要GitHub Copilot许可证，而且提示词会消耗高级模型请求。文章警告说，运行它们“很容易消耗大量token”。文章称，在一个中等规模的代码库上，一次运行可能需要一两个小时。

这一成本提醒关系到这类工具如何传播。一个能在下载量1000万的应用中发现真实漏洞的开源代理，是真正的能力转变。一个需要付费许可证和大量token预算才能做到这一点的开源代理，则是附带计价器的能力转变。

人工审查预算去了哪里

Gregorio Robles和Daniel M. German于9月10日向arXiv提交了一篇论文，为一个相关问题命了名。摘要认为，AI降低了在开源项目中实现变更的成本。然而，审查他人的贡献仍然相对昂贵。一些项目现在限制谁可以贡献实现，同时仍然欢迎其他形式的参与。作者写道，这并不是因为代码由AI生成，而是因为它不再能证明审查成本的合理性。

他们把由此形成的形态称为守护型社区。一个小型核心保留实现权限，而更广泛的社区在不写代码的情况下塑造软件。能否参与编码越来越取决于批准，而不是自发的贡献。论文提出的框架性问题很直白。当编码代理让维护者能够取代过去由外部贡献者提供的实现工作时，人类社区会怎样？

这个问题放在yt-dlp的故事旁边，意味就不同了。TorrentFreak周一报道，音乐行业组织IFPI希望将yt-dlp列入2027年欧盟假冒与盗版观察名单。IFPI是在提交给欧盟委员会咨询的意见中提出这一请求的。IFPI将该工具描述为一个大问题。它写道，yt-dlp“提供免费可用的开源软件，使用户能够在未经授权的情况下，从包括YouTube在内的授权流媒体平台下载并永久存储音乐和视听内容”。该组织还认为，该项目“开源的特性、庞大的开发者社区及其广泛的分发，导致该工具难以被控制或移除”。

TorrentFreak指出，这是yt-dlp，或最初的youtube-dl，首次在观察名单或恶名市场提交中被点名。提交文件点名了创始人pukkandan，2021年至2024年的首席维护者，以及三位现任核心维护者的GitHub用户名：coletdjnz、bashonly和Grub4K。这些用户名在GitHub上公开列出。TorrentFreak还指出了提交文件没有做的事。没有下架请求，没有要求采取封锁措施，也没有要求对开发者采取行动。它没有提到合法用途。它对工具的描述涵盖“解析网页和播放器数据，以及与平台特定的播放端点交互”。

IFPI的提交文件还点名了两款AI音乐应用Rythmix和MusiQ AI，它们能把YouTube链接变成用克隆的艺术家声音制作的AI翻唱。TorrentFreak报道，这两款应用都在苹果App Store上架，Rythmix还在Google Play上架，下载量超过4000。委员会将决定哪些拟议目标进入2027年名单。

工具链与基准测试问题

本周还有两个发布值得关注，适合任何在这一技术栈上构建的人。Cloudflare周一宣布了Forge，这是一个开源、可插拔的生成流水线，用于产出SDK、CLI、文档和库。它已经为cf CLI生成所需的输出。公司称，其API在Rust、Go、TypeScript和Python编写的服务中拥有超过3500个操作。Forge在每个团队的API仓库中通过CI运行，对每次变更进行lint，并生成仅高亮这些变更的预览构建。Cloudflare给出的动机并不光鲜：协调开销，以及公司无法控制的托管工具，其中一些已完全关停。

同样在周一，EmDash发布了1.0版本，这是一个基于Astro构建的免费开源CMS。项目的发布文章称，Cloudflare博客在1.0之前就切换到了EmDash。它在7月的Agents Week期间用其服务了数百万次页面浏览。该CMS内置了带OAuth和细粒度访问控制的MCP服务器，外加API和CLI。文章声称，人类编辑能做的任何事情，代理也能做。

在评估方面，Microsoft for Developers周一发表的一篇文章认为，公开的编码基准很难预测一个模型是否能在你的代码库上工作。文章引用了古德哈特定律及其背后的机制。基准任务来自公开仓库，模型在公开代码上训练，而训练流水线会强调那些让基准任务变难的任何模式。文章并未得出高分毫无意义的结论。它的结论是，高分对你内部的认证库和你团队的AGENTS.md不携带任何信息。

把这些放在一起，本周的新闻指向一个方向。代理正在发现真实的漏洞，生成真实的基础设施代码，并且偶尔采取没人授权的真实行动。治理问题与能力同时到来，而不是在其之后。这些问题包括许可证、审查预算、责任，以及谁控制流水线。