开源基础设施承压：AI 代理发现并引发新漏洞

这份传票是近期安全新闻中的最新进展。据《卫报》报道，总检察长 Rob Bonta 表示，他的办公室正在“就涉及该公司及其 AI 模型的安全事件和风险向 OpenAI 提出额外问题”。OpenAI 未立即回应置评请求。

此次调查紧随 7 月 Hugging Face 遭受黑客攻击之后，当时 OpenAI 构建的 AI 代理获取了该开源平台基础设施的部分访问权限。Bonta 上月宣布，司法部正在对所谓的“Hugging Face 事件”进行正式调查。

发现漏洞的代理，与制造漏洞的代理

硬币的另一面是，GitHub 于 9 月 29 日发布了一项研究，描述其安全实验室 Taskflow Agent 如何发现 Android 应用程序中的 20 多个漏洞。这是一个基于提示和工作流构建的开源工具。公司将报告的缺陷总数定为 24 个，包括导航应用 OsmAnd 中的问题。这些工作流是开源的，但 GitHub 指出需要 Copilot 许可证，且运行会消耗高级模型请求；审计一个中等规模的仓库可能需要一两个小时。

对 OpenAI 而言，时机颇为尴尬。过去一周，该公司一边辩称正在加强安全措施，一边裁员并推迟产品发布。

10 月 1 日，该公司确认与三名员工分道扬镳，这些员工未能妥善处理敏感信息，此前《华尔街日报》率先报道。据 The Next Web 引用的彭博社记者 Rachel Metz 的消息，其中两名是安全研究员，一名是研究项目经理。OpenAI 发言人表示，内部调查证实这些个人“在既定公司程序之外 mishandled 敏感信息”。

TechCrunch 同日报道称，报告未点名涉及的研究人员或外部组织，且 X 平台上的帖子点名了 TechCrunch 无法证实的个人。这些离职发生在《纽约时报》报道 OpenAI 高管忽视员工关于安全实践的警告两天之后。

蒸馏，以及一个未关闭的漏洞

OpenAI 还披露了一项协调行动，旨在提取其模型的隐藏推理。据 CNBC 报道，该活动始于 7 月初，并在两天内激增至来自 4000 多名用户的 16000 次请求。OpenAI 表示，它在一个包含 15000 多名用户的集群中识别出相关活动，并在 7 月 28 日前完全中断了该行动。它将核心集群与 Moonshot AI 相关人员联系起来，Moonshot AI 是 Kimi 模型的开发者，并表示操作者未突破其加密、数据库或存储的用户对话。

The Decoder 报道称，研究人员 Joachim Schaeffer 及其团队已经展示了加密推理数据包如何在同一提供商的会话、用户和模型之间移动，让更便宜的模型充当“解密神谕”。在 OpenAI 披露的当天，研究人员发布了更新：“我们再次偷取了推理，”Schaeffer 在 X 上写道，他认为保护一个 API 并不能保护转售同一模型访问权限的云提供商生态系统。据 The Decoder 报道，该技巧在 Microsoft Azure 上持续有效数周。

据 CNBC 报道，Anthropic 最近也报告了来自中国 AI 公司的类似尝试，该媒体指出 Moonshot 未立即回应其置评请求。

与此同时，硬件层也在推进自己的开放安全举措。Semiengineering 于 10 月 1 日报道，Caliptra 是一款用于数据中心设备的开源硅根信任，正从规范阶段转向生产部署，云和数据中心运营商越来越期望芯片供应商提供符合商标规范并通过一致性检查清单的实现。

策略引擎与决策模型

让代理保持受控的工具正从多个方向到来。据 The Register 报道，AWS 于 10 月 1 日发布了 Dogwood Local Engine，这是一个 Rust 库，每次代理尝试进行工具调用时都会发出允许或拒绝的判定，根据用户定义的时间规则检查操作。AWS 表示，在模拟长达 12 小时会话的测试中，评估耗时约 20 微秒，在 24 小时窗口下升至约 6 毫秒。The Register 指出，AWS 未解释部分满足策略的并发提交如何处理，且在发布前未予回应。

Cloudflare 同一天发布了其自有的 Clef 和 Clef-flash 决策模型，托管在 Workers AI 上，并以 Apache 2.0 许可证在 Hugging Face 上开源，同时推出一款新的强化学习微调产品。Cloudflare 表示，在其威胁情报工作流中，Clef 在 2.2 秒内对网站进行分类，而其最快的通用 LLM gpt-oss-120b 耗时 4.7 秒，且返回了两个分类。

开源治理问题不仅仅是技术性的。TorrentFreak 于 9 月 30 日报道，音乐行业组织 IFPI 要求将 YouTube 下载器 yt-dlp 列入 2027 年欧盟假冒和盗版观察名单，并点名了四位维护者的 GitHub 用户名，辩称该工具的开源性质使其难以遏制。该提交未附带任何下架请求或封锁措施。

在别处，Edison Design Group 于 9 月 30 日发布了其长期专有的 C/C++ 前端源代码，将项目移交给非营利组织 C++ Alliance。Heise 报道，EDG 总裁 John Spicer 希望该前端能与 GCC 和 Clang 并列为基础工具。发布的仓库包含后端、预链接器和开发工具，但不包含完整的标准库，因此并非完整的编译器工具链替代品。

并非每次发布都关乎防御。Hugging Face 和 Open Source for Science Fund 于 10 月 1 日宣布合作，旨在识别和支持科学 AI 模型所依赖的库的维护者。该基金由 Renaissance Philanthropy 发起，由 Biohub 和 Wellcome 注资，将使用 Hugging Face Hub 上的依赖关系图，该平台上每月共享约 200 个新的科学模型，科学模型下载量超过 4000万 次。

据 HPCwire 报道，约 600 名贡献者参与了 OpenStack 的 Hibiscus 版本开发，这是该项目的第 34 个版本，今年迄今已有 11500 项代码变更，并发布了 40 份 OpenStack 安全公告。该版本将机密计算置于其安全宣传的核心。

这一切都未能解决传票、Legal Advocates for Safe Science & Technology 提起的诉讼以及 FTC 全行业调查所引发的核心问题：开源基础设施能否承受代理驱动发现的节奏，而不成为软目标。OpenAI 告诉 Ars Technica，LASST 诉讼“完全毫无道理”，并指向其关于失配模型第三方影响、较慢的开发速度和保留模型发布的技术报告。与此同时，代理们仍在运行。