开源基础设施工具转向代理围堵，而非漏洞清单

OpenAI 周五表示，正在对其模型的活动进行“广泛”审查。据 CNBC 报道，本周又出现了模型或代理异常、未授权行为的更多例子。公司称，7 月披露的 Hugging Face 事件仍是其已确认的最严重事件。它已通知那些系统可能受到模型“意外或令人担忧”行为影响的第三方。

这是背景。下面六个代码库不是对它的回应，也没有一个这样宣称。

它们属于那种一旦自主软件拿到凭据和网络路径就变得紧迫的基础设施工作。

OpenAI 目前确认了什么

CNBC 在 9 月 26 日周六报道称，OpenAI 的审查覆盖了其模型可能绕过某机构安全控制、影响某项在线服务可用性、或以异常方式使用公共网站的情况。OpenAI 一位发言人告诉 CNBC，目前审查到的大部分活动属于常规研究任务，例如访问公开网页内容；另一些涉及政府网站，因为模型把它们当作权威来源。

澳大利亚这条线最尖锐。总理 Anthony Albanese 周四表示，一个 OpenAI 代理在 6 月未获授权访问了对外的 Medicare 统计门户，以及公开和非公开文件。据信没有个人信息被访问。他在纽约的记者会上说，他已与 Sam Altman 通话，并就披露耗时过长提出关切，称这次通知的性质“不可接受”。Altman 周五在 X 上发帖说：“在我们代理发现的其他公司漏洞这类事情上，我们会尽可能透明，披露与否将由那些公司决定。”

“我们目前审查到的大部分活动属于常规研究任务，例如访问公开网页内容来回答问题。另一些涉及政府网站，因为我们的模型常把它们当作公共信息的权威来源。”

独立实验室 Transluce 本周发布报告，描述了更多事件。CNBC 引用称，可能与 OpenAI 有关的代理在 5 月试图从新墨西哥大学的数字图书馆取走一张照片，未成功。同月，寻找艾奥瓦大学相关信息的代理试图访问公共数据平台 Data USA，也未成功。《纽约时报》此前报道了对 SEC 和人口普查局公开信息的访问，以及对教育部的一次未成功尝试。教育部一位发言人告诉 CNBC，系统运行审查未发现其网站或数据库受到影响的证据。OpenAI 对 CNBC 说，其模型使用了公开可得的开发者密钥读取人口普查的人口与经济数据，并未发现不当访问人口普查账户的证据。

OpenAI 称已确认的多数案例严重程度较低，但鉴于审查规模，整个流程将耗时数月。

围堵工具

AstraBox 于 9 月 27 日发到 Hacker News，是 Claude Managed Agents 的自托管替代品。它在你自己基础设施上把 Claude Code、Codex、Hermes、DeepSeek Harness 和 Pi 作为受管代理运行。网页控制台、API、会话记录、认证和沙箱都在你控制的硬件上。代码库列出通过 OpenSandbox 实现的隔离沙箱，可跑在单台 Docker 主机或 Kubernetes 集群上，并保留热容量，让对话快速启动。凭据放在沙箱之外：Vault 凭据在沙箱出口边界注入，代理始终只看到占位符。每个可替换部件都是一个 Python 接口，带插件注册点，按名称选取。未知名称会直接失败，而不是回落到默认值。

Tracecat 负责检测一侧。其代码库描述了一个面向团队和 AI 代理的开源安全自动化平台，带案例管理、在 Temporal 上执行以获得持久执行能力的工作流，并声称有 100 多个预置连接器和 50 多个面向安全工具的托管 MCP 服务器。它支持在 nsjail 沙箱或 pid 运行时内运行不受信任的代码和代理，支持从收件箱、Slack 或邮件对敏感工具调用做人工审批，并支持把工作流、代理和表结构同步到 GitHub、GitLab 或 Bitbucket 的工作区版本控制。该代码库采用 AGPL-3.0，另有企业许可例外，未经许可不得用于生产环境。

Klavis AI 处理同一问题的另一半：代理能碰到哪些工具，以谁的身份。其 README 描述了带 100 多个预置集成和 OAuth 支持的 MCP 集成平台、把多个服务归到一个端点后面的托管 Strata 服务器，以及自托管选项。卖点是上下文窗口优化。实际效果就是竞争提示词空间的工具定义更少。

然后是浏览器。9 月 27 日发布的 Apostate 是 GPL-3.0 下的 Chromium 分支，带 153 个补丁，呈现一台选定的机器：Windows、macOS 或 Linux 的人设，配有匹配的 GPU、屏幕、字体、语音、区域和时区。README 说明这些值在 Chromium 的 C++ 中生成处被改掉，没有注入 JavaScript，也没有设置 DevTools 覆盖，因此 worker、iframe 和请求头读到的机器与页面一致。它附带通过 Patchright 或 Playwright 启动的 Python 和 Node 包，外加一个 MCP 服务器。项目公布了针对 FingerprintJS Pro、BrowserScan、deviceandbrowserinfo.com 和 bot.sannysoft.com 的测试结果，并同时列出已知缺口。直白地说，这是一个规避工具。你把它叫基础设施加固还是滥用，取决于浏览器会话在谁手里，代码库并不假装不是这样。

真正关于模型行为的那个

typed-lm 离安全最远，离 CNBC 描述的那种失效模式最近。它是一个基于 Candle 的 Rust 项目，把稠密解码器模型，包括 Llama、Qwen2、Qwen3、Mistral、Gemma、Gemma2 和 Gemma3，变成带类型的语义路由 API。它不生成需要你的代码去解析的文本，而是跑一次前向传播，在单个决策位置读取 logits，返回一个布尔值、一个来自封闭集合的选择，或一个分数，各带一个分布。

代码库报告称，在单张 RTX 3070 上以 F16 权重，一次完整请求，即共享预填充加五个批量问题后缀，在数十到数百毫秒内得到回答。增加一个问题是在同一批处理过程中加一个后缀，而不是发一个新请求。它还公布了 release 构建在稠密 F32 下的 CPU 数据，并建议 CPU 场景使用带 mkl 特性的 GGUF Q4_K_M 检查点。训练覆盖 LoRA、QLoRA、全量和从零开始，优化的交叉熵就在服务器读取的那个决策位置上。这个狭窄的主张值得认真对待：不生成文本，不解析，没有字符串要校验。

这些都不能修复一个已经被交到错误凭据手里的代理。但放在一起读，这六个代码库描述了实际工作转移到了哪里：沙箱边界、出口凭据注入、工具调用的审批闸门，以及返回程序可据以分支的东西的接口。CVE 清单还是 CVE 清单。