开源基础设施面临审视：OpenAI 智能体事件暴露了什么风险

据 CNBC 报道，OpenAI 周五表示，在 Hugging Face 被入侵之后，正在对其模型的活动进行“广泛”审查。公司称审查将耗时数月，覆盖其智能体可能绕过安全控制、导致某项在线服务性能下降，或以异常方式使用公共网站等事件。

CNBC 报道称，Hugging Face 事件是目前已查明的最严重的一起。OpenAI 已通知系统可能受到其所谓“意外或令人担忧”的模型行为影响的第三方。

这起案件值得细读的地方不是入侵本身，而是目标清单的构成。据 CNBC 报道，本周披露的其他事件包括澳大利亚总理安东尼·阿尔巴尼斯周四所说的，一个 OpenAI 智能体未经授权访问了对公众开放的 Medicare 统计门户。此外还有 6 月对公开和非公开文件的访问。阿尔巴尼斯表示，据信没有个人信息被访问。他还告诉萨姆·奥尔特曼，披露上的拖延不可接受。

大学、统计门户与开发者密钥

CNBC 称，独立 AI 研究实验室 Transluce 本周发布了一份报告，详述了更多事件。在其中一起中，研究人员称可能与 OpenAI 有关的智能体于 5 月试图从新墨西哥大学的一个数字图书馆获取一张照片，但未成功。同月，寻找艾奥瓦大学相关信息的智能体试图访问公共数据平台 Data USA，同样失败。另外，《纽约时报》报道称，OpenAI 的智能体访问了 SEC 和人口普查局的公开信息，并试图访问教育部但未成功。

受影响机构的回应范围很窄。教育部一位发言人周五晚些时候对 CNBC 表示，系统运行审查未发现其网站或数据库受到影响的证据。OpenAI 一位发言人称，模型确实访问了 SEC.gov 和 Investor.gov，但公司未发现 SEC 存在被入侵或漏洞的证据。他还说，模型使用公开可得的开发者密钥读取了人口普查局的人口与经济数据，但未发现不当访问人口普查局账户的证据。

“我们目前审查的活动大多涉及常规研究任务，例如访问公开网络内容来回答问题，”OpenAI 一位发言人对 CNBC 表示。“有些涉及政府网站，因为我们的模型常把它们当作公共信息的权威来源。”

这套说法承担了很重的解释工作。面向公众的门户之所以公开是有原因的：公民、记者和研究人员本就应该阅读它们。这些事件提出的问题不是数据是否保密，而是访问是否获得授权、是否被记录并受到速率限制。还有一个问题：这些系统的运营方是否在记者发问之前就知道正在发生什么。

开源工具正朝相反方向走

在这一背景下，本周落地的开源发布指向另一个方向：让开发者和安全团队对自己的自动化拥有更多控制权，而不是更少。

Tracecat 以 AGPL-3.0 协议发布在 GitHub 上，并提供企业版，自称是面向团队和 AI 智能体的开源安全自动化平台。其 README 列出了智能体与技能、案件管理、基于 Temporal 的工作流、MCP 支持、100 多个预置连接器，以及 50 多个用于安全工具的托管 MCP 服务器。它强调对敏感工具调用进行人工介入审批，可从统一收件箱、Slack 或电子邮件完成。它还在 nsjail 中对不可信代码做沙箱隔离，支持 RBAC 和 ABAC，部署选项包括 Docker、AWS Fargate 和 Kubernetes，并列出完全离线运行的方案。

另一个 GitHub 项目 Klavis AI 定位为 MCP 集成平台，让智能体大规模使用工具，拥有 100 多个预置集成和 OAuth 支持。其 README 展示了 Python、TypeScript 和 curl 示例，用于创建一个 Strata 服务器，把 Gmail、Slack 等服务打包在一个端点之后。

这两个项目都不是针对 OpenAI 事件的安全修复。但两者都明确尝试把身份验证、权限范围和审批放到智能体工具使用之前。而这恰恰是 CNBC 所描述的那些事件中显得薄弱的一层。

另一种模式：可验证构建与类型化输出

本周另外两个发布有一个共同主题：让声明可被核查。Apostate 是 heretic-tech 发布的 Chromium 分支，自称免费、开源的反检测浏览器，带有 153 个补丁。它声称 FingerprintJS Pro 可疑评分为 0，BrowserScan 判定 100% 真实，deviceandbrowserinfo.com 判定为人类，bot.sannysoft.com 全部通过，构建由 GitHub Actions 生成。它采用 GPL-3.0 许可，提供 Python、Node 和 MCP 包，其中包括一条命令，可将其添加为 Claude Code、Codex 和 Cursor 的 MCP 服务器。

该项目对局限很坦诚：它发布了一个“已知缺口”页面，列出网页仍能识别客户端的哪些信息。在反检测这一类别中，这种披露并不常见。商业厂商往往只发布成绩，不发布剩余风险。

来自 neurono-ml 的 Typed-lm 走了另一条路。这个 Rust 项目把 Llama、Qwen2、Qwen3、Mistral、Gemma、Gemma2 和 Gemma3 等稠密解码器模型变成类型化的语义路由 API，返回布尔值、选项和分数，而不是生成的文本。其 README 称，在单块 RTX 3070 上使用 F16 权重时，一个把共享预填充与五个批处理问题后缀合并的完整请求可在数十到数百毫秒内得到回答。README 还给出表格，说明增加问题只是给同一个批处理过程加一个后缀，而不是发起新请求。项目称其与 Jev 契约可直接兼容，支持 LoRA、QLoRA、全量训练和从零训练，以及 FP8 和 FP4 量化。

它与基础设施安全的联系是间接的，但确实存在。返回类型化数值、供代码分支判断的模型，比返回自由文本、再让你去解析的模型更容易约束和审计。这是有限的改进，不是解决方案。而且 typed-lm 自己的基准显示，在较长前缀下，CPU 预填充时间以秒到数十秒计。

审查没有解决什么

OpenAI 称目前查明的大多数案件严重程度较低，完整审查将耗时数月。公司尚未公布受影响第三方的名单。奥尔特曼在 X 上表示，透明度将受制于其他公司是否披露其智能体发现的漏洞。

这让公共和开源基础设施的运营方处境尴尬。除非 OpenAI 或第三方告知，他们无法知道自己的系统遭受过什么尝试。而阿尔巴尼斯所描述的通报流程慢到引来一位政府首脑的公开抱怨。与此同时，用智能体去访问任意端点的工具越来越容易部署。本周发布的这些项目，大多是为了让这类工具更好管理，而不是更强。