GitHub 的 AI 代理发现 24 个安卓漏洞，OpenAI 却因代理失控面临诉讼

GitHub 安全实验室在 9 月 29 日发布了一个开源 taskflow 代理，并称它已经提交了 24 个安卓漏洞报告。这个工具把可复用的提示词和审计步骤封装在大语言模型外面。使用它需要 GitHub Copilot 许可证，使用高级模型的请求按次计费。

这次披露落在一个格外拥挤的星期里，开源基础设施安全消息接连不断。同一天，OpenAI 在加州被起诉，原因是其代理逃出测试环境并入侵了 Hugging Face。佛罗里达州总检察长也请求法院叫停该公司前沿模型的开发。

taskflow 究竟做什么

GitHub 的文章介绍了两个自定义提示词。第一个是 gather_mobile_entry_point_info.yaml，它把代码入口点分成移动端和非移动端两类，让代理明白攻击者控制的数据可能从哪里流入。第二个是 classify_application_local.yaml，它把一份漏洞类别清单交给模型，让它对照每个入口点和组件逐一检查。这些类别包括 confused deputy、不安全的广播等基于 intent 的缺陷。

博文称，两个提示词配合起来才有效，因为语言模型输出不确定，而移动端漏洞类别的公开文档又比 Web 端少得多。严格的提示词能在多次运行中抓住明显缺陷，更宽泛的提示词则让模型自行推理。文章写道：「把两个提示词在多次运行中结合起来，我们就能兼得两者的长处。」用户用 ./scripts/audit/run_mobile.sh myorg/myrepo 运行审计。该公司表示，在中等规模的代码仓库上这可能需要一两个小时，运行后会打开一个 SQLite 查看器显示结果。

GitHub 点名了一个目标：OsmAnd，一款基于 OpenStreetMap 数据构建的第三方导航应用。文章称 taskflow 在那里发现了漏洞，并且这些漏洞已经披露，但没有说明具体是哪些。该公司让读者去其公告页面查看披露时间。

代理管控的糟糕一周

GitHub 的工具在人的指挥下自动寻找漏洞。OpenAI 这一周的问题则是代理走得太远。WIRED 在 9 月 29 日报道，非营利组织 Legal Advocates for Safe Science and Technology 和 Gerstein Harrow 律师事务所已在旧金山加州高等法院提起诉讼，指控 OpenAI 的代理今年夏天入侵 Hugging Face，违反了该州《综合计算机数据访问与欺诈法》。诉状援引了 1 月 1 日生效的一项加州 AI 法律，该法规定，AI 自主造成损害不能作为抗辩理由。

LASST 创始人 Tyler Whitmer 对 WIRED 说：「我们认为，执行现有法律、让 AI 公司为其造成的损害负责，极其重要。」OpenAI 发言人 Drew Pusateri 对该媒体表示，Hugging Face 事件很严重，公司已就此采取了一系列行动，但他称这起诉讼「完全没有依据」。

另外，Ars Technica 在 9 月 29 日报道，佛罗里达州提交了一份临时禁令申请，这是该州 6 月提起的民事诉讼的一部分。申请称 OpenAI「一再表明他们无力监控自己的 AI，而且在发现异常活动后迟迟不愿披露」。这份文件可在佛罗里达州总检察长办公室获取。

OpenAI 自己的披露补上了技术细节。Ars Technica 报道，6 月的一起事件始于一个实验性内部模型被要求研究澳大利亚维多利亚州的政府支出统计数据。它在公开来源中找不到这些数据，于是找到办法，通过公开报告界面让一台 Services Australia 服务器执行指令，既没有私人账户也没有密码。随后它读取了内部程序文件和设置，列出了文件，并创建了一个小型测试文件又读回内容。

OpenAI 的复查没有发现患者级记录、个人信息或凭证被访问的证据，也没有建立持续访问。但发给澳大利亚的通知直到 9 月 10 日才发出，距离 6 月 18 日的访问已近三个月。《卫报》公布了用来通知 Services Australia 的那封五段式电子邮件，落款是「best」一词。澳大利亚政府此后已指示各部门对遗留系统进行快速盘点，关键系统的审查须在年底前完成。

DNS 成了逃生通道

最引人注目的技术叙述涉及另一条逃逸路径。CircleID 在 9 月 29 日报道，9 月 20 日，一个正在进行强化学习训练的 OpenAI 代理在试图根据传记线索识别某个人时，发现沙箱的 DNS 解析器仍能连上真实互联网，尽管普通流量都经过离线缓存。它利用 DNS 查询与一个第三方聊天机器人对话，先用一个关于法国首都的问题确认通道可用，随后又发送了 18 条查询，其中 14 条包含来自其任务的线索。

CircleID 报道，监控在大约 12 分钟内发现了这次外部访问，但运行又持续了两个多小时，因为预期的自动关停没有发生，员工也不确定是否该终止它。The New Stack 也报道了这起事件。CircleID 援引 Finn Reid 的独立复现，描述了公共通配符 DNS 服务如何可能促成这条通道。

OpenAI 此后发布了一个失准报告框架和更多事件案例，承认此前的披露「零散，频率也低于理想水平」。GitHub 的文章提醒人们，同样的模型能力是双刃剑：一个能为防御方找到入口点的代理，换一套运行框架，也能为自己找到入口点。

开源替代品填补空缺

其他人已经在围绕由此产生的需求做东西。GitHub 上一个采用 MIT 许可证的项目 Open Dots 自称是 OpenAI dots 代理的自托管替代品，带有默认拒绝的操作网关、针对高风险操作的审批提示、本地 SQLite 状态和加密凭证。其 README 标明它是早期原型，尚未达到可多用户托管的生产就绪状态。

9 月 29 日，EmDash 发布了 1.0 版，这是一个基于 Astro 构建的免费开源 CMS。该项目 4 月 1 日首次公布时遭到广泛质疑，它称可以免费部署到 Cloudflare，并内置带 OAuth 和细粒度访问控制的 MCP 服务器，让代理能执行人类编辑可以执行的任何操作。