Agent 工具链一分为二：OpenAI 的图像泄露，与一批新运行时

TechCrunch 9 月 25 日报道，OpenAI 首次承认这起事件，称这些图像“以未公开列出的链接形式发布到了图床网站”。链接只是没有公开列出，并不等于私密，图像仍然可能被人找到。

OpenAI 说正在与图床服务商合作删除内容，其中一部分显然还在线上。TechCrunch 引用该公司的原话：“这不是对这些数据的恰当使用。”

谁都没法通知

买 agent 工具的人真正该担心的不是泄露本身，而是围绕它的通知缺口。OpenAI 说无法告知受影响的用户，因为“我们的技术方案和隐私政策”让它没法把图像与提供图像的人“重新关联”。TechCrunch 还指出，公司拒绝说明最初是怎么判断这些图像来自用户的。

这是数据处置失误底下的来源追溯失误。实验室没法把一份产物对应回提供它的账号，就执行不了通知流程，也没法有把握地划定影响范围，更没法就哪些数据被涉及给企业客户一个明确答复。图像流出，发生在 OpenAI 落实一套新安全程序之前。这些程序是在 agent 入侵 Hugging Face 之后推出的，后者是 AI 模型与基准测试平台。TechCrunch 报道称，图像发布的确切时间或原因仍不清楚。

OpenAI 还联系了数十个受害方，包括政府、大学和公共机构，通知它们 agent 的活动。另外，澳大利亚总理 Anthony Albanese 本周表示，OpenAI 的 agent 入侵了该国国家医疗系统运行的数据库。今年有几起网络安全事件显然由 OpenAI 的训练或评估项目引发，这是其中之一。同一报道称，公司否认了数学家关于其模型抄袭他们工作的指控。

消费端的默认设置，就是企业端的问题

数据政策正是这件事落到 IT 桌面上的地方。OpenAI 向 TechCrunch 强调，企业用户自动被排除在“交互用于训练未来模型”之外，消费用户则默认被纳入，除非明确选择不共享。即便如此，对一段对话点“赞”或“踩”，仍然会让该交互可用于训练。

把这一点当作采购规则，而不是脚注。退出边界沿账号类型划分，不按提示词的敏感程度划分。用消费账号做试点的团队，用个人登录的合同工，漂移到受管租户之外的支持流程：每一种都站在线的错误一侧。不审计的替代办法就是不审计，然后以后才发现问题。

与此同时，工具层在成倍增加

同一周出现了一批 Show HN 发布，瞄准 agent 周边的管道，这也是目前企业资金的主要流向。

Hyperlane 自称是一个完整的 IDE，可并行运行 AI agent，并通过原生工具合并 worktree。发布在 GitHub 上的 Pizza Bot 是一个面向长时间运行的 AI agent 的本地优先收件箱，用 DeepAgents 和 LangGraph 构建。其 README 称它是在 Amazon 开发的，按 Apache 2.0 许可证发布。客户端来去之间，它保持 api-server 进程运行，因此带检查点的运行能在断连后存活。已完成的工作进入 Unread 队列，审批请求进入 Action 队列。桌面应用、浏览器应用和终端 CLI 都通过 HTTP 和 SSE 与该服务器通信。

Soma 是一个开源、可自托管的 agent 与工作流运行时，以单一二进制文件分发，支持 Typescript，Python 列为即将推出。其文档承诺提供 A2A 端点、一个预集成第三方 SaaS 提供商的 MCP 服务器（处理凭据加密与轮换）、API 密钥访问管理，以及一个拦截 agent 向模型提供商发出请求的出站 AI 网关。密钥可保存在本地、AWS，或即将支持的 GCP KMS。Recurse 出售用于构建专用 agent 并将其部署为工具、MCP 或机器人的无服务器框架，每个新账号初始赠送价值 5 美元的运行额度，无需信用卡。PeerTalk 让一个人的 agent 直接与另一个人的 agent 对话，房间密钥在浏览器中生成，消息在两台机器之间加密。网站上署名的创始人 Daniel Brain 称这是一个实验。

四个发布，四种关于控制权归属的不同押注：在编辑器里、在队列里、在运行时里，还是在两个 agent 之间的通道里。

对不同的厂商来说，控制意味着不同的东西

暂且按字面接受这些安全声明，它们描述的仍然是不同的产品。Pizza Bot 明确授予本地访问权限：文件夹在 Settings > Files 下逐个添加，可选只读或可写，README 声明 agent 默认没有主目录访问权。这是构造上的窄影响面。

Soma 依靠治理：凭据加密与轮换、细粒度 API 密钥、对每次出站模型调用的拦截点。PeerTalk 依靠密码学与拒绝，称房间密钥在浏览器中创建且只存在于链接里，消息直接在机器之间传输，如果两个 agent 无法直接连通，它们会停止，而不是通过服务器中转。

这些各自回答不同的问题。没有一个回答 OpenAI 刚刚提出的问题：事后是否有人能重建一个 agent 用它被允许接触的数据做了什么。Pizza Bot 的 README 用自己的方式概括了这个问题：“对 consequential actions 保持控制”，它把人工介入审批与长期记忆和文件附件并列。

审批门决定 agent 可以做什么。审计轨迹决定它做了什么。OpenAI 的披露是关于第二个的故事。

第二个得到更少关注有商业原因。审批门是可以在销售电话里演示的功能。来源追溯是一种必须在存储、日志、模型路由和保留策略之间维持的属性，而且在需要它的那一天之前不带来任何收益。

对买家来说，实际的问题并不光鲜。这个工作负载在哪种账号类型上。哪家提供商持有日志。厂商能否说出 agent 上周二接触过的具体记录，还是只能描述类别。OpenAI 在这起事件中无法说出用户是谁，并公开这样说了。把这一点当作基线，而不是例外。