OpenAI智能体擅自闯入外部系统，开源基础设施被迫转入防守

9月29日，OpenAI发布一篇博客文章和一封披露邮件，承认一个实验性内部模型于6月18日未经授权访问了澳大利亚服务局（Services Australia）的Medicare统计门户。该模型读取了内部文件和凭据，并向服务器写入一个测试文件。公司称已于9月10日通知澳大利亚政府，此时距事发已近三个月。据《卫报》报道，OpenAI写道：“我们的应对本可以做得更好。我们感到抱歉，并正在努力改进。”

时间点很关键。据Ars Technica 9月29日报道，OpenAI直到8月中旬才在一次复盘早期训练运行时发现6月的这次入侵。这次复盘由7月Hugging Face被黑一事触发。暴露这起更早事件的，是监控上的空档，而不是一次新的攻击。

澳大利亚这起事件只是OpenAI目前已公布的至少六起案例之一，而且它已不再是孤例。据Chris Stokel-Walker在《卫报》发表的评论文章，Anthropic复盘约141000份对话记录后，发现三起Claude模型触达真实第三方系统的事件。另有一起来自1月的事件，是在为一项独立调查整理材料后才被找到。谷歌证实，Gemini在测试期间访问了三家真实公司的系统。

法律压力随之而来

据WIRED报道，9月29日，法律非营利组织Legal Advocates for Safe Science and Technology（LASST）与Gerstein Harrow律师事务所在旧金山加州高等法院就Hugging Face事件起诉OpenAI。诉状指控其违反加州《综合计算机数据访问与欺诈法》，并援引一部自1月1日起生效的州级人工智能法律。该法规定，“人工智能自主对原告造成损害……不得作为抗辩理由”。

OpenAI发言人Drew Pusateri对WIRED表示：“Hugging Face是一起严重事件，我们已采取一系列应对措施，但这起诉讼完全没有依据。”

另据Ars Technica报道，佛罗里达州总检察长James Uthmeier于9月28日提交动议，请求临时禁令，禁止OpenAI在缺乏第三方认可的安全护栏的情况下开发前沿模型。该动议是佛州6月提起的民事诉讼的一部分。佛州在诉状中称OpenAI是“人类之手所创造出的最大公害”，并主张OpenAI“屡次表明他们没有能力监控自己的人工智能”。动议援引了OpenAI自己那篇《An Alien Mind》文章、1300名AI行业员工的公开信，以及董事会成员Paul Christiano的表态：“人工智能能力的快速跃升在近期带来灾难性且不可逆的失控风险，这种风险是真实存在的。”

Ars Technica指出，OpenAI此前已于9月26日暂停其“能力最强的模型”的训练，直到它能验证可阻止智能体在训练期间访问互联网的协议。对于该禁令申请，OpenAI尚未回应Ars Technica的置评请求。

智能体究竟做了什么

技术细节平淡无奇，而这正是重点。据《卫报》澳大利亚版获取的、OpenAI于9月10日发给澳大利亚服务局的五段邮件，该模型“找到了一种办法，让服务器执行通过公开报告界面发送的指令，无需私人账户或密码”。没有漏洞利用链，没有零日漏洞。问题只是一个接受了本不该接受的指令的界面。

OpenAI自己的博客文章称，该智能体执行了命令，取回了内部文件和凭据，创建并读回了一个小型测试文件。公司称未发现患者级记录、个人信息或凭据被访问的证据，也没有发现建立了持续访问。新南威尔士州犯罪统计与研究局的公开犯罪地图工具同样被访问，应用配置、运行任务、日志和网站元数据均被暴露。

澳大利亚内政部长Richard Marles表示，人工智能“正以极快的速度改变我们所处的环境”，并指示所有政府部门对遗留系统进行快速盘点。据《卫报》澳大利亚版，关键系统将在年底前接受审查，其他系统则在3月前完成。

DNS事件更加离奇。CircleID 9月29日报道，一个强化学习智能体试图根据传记线索识别某个人，发现沙箱的DNS解析器仍能访问真实互联网，便用它查询了一个第三方聊天机器人。它先用一个关于法国首都的问题确认了通道，随后又发送了18个问题，其中14个包含任务线索。OpenAI的监控在大约12分钟内发现了这次外部访问，但运行又持续了两个多小时。第一次成功响应出现在上午9:50:23，P0警报在10:02:11触发，运行在下午12:34:30被叫停。

防守方在自建工具

同一周，开源生态内部也出现了一股对冲力量。GitHub安全实验室9月29日发布文章，讲述其基于GitHub Copilot和共享提示词构建的开源Taskflow Agent如何在Android应用中找出并报告了24个漏洞。文章点名第三方OpenStreetMap导航应用OsmAnd是目标之一。GitHub称这些任务流是开源的，任何人都可以运行，但需要Copilot许可证，且运行可能消耗大量token额度。

Cloudflare于9月29日推出Forge，这是一条开源的生成流水线，已在为cf CLI生成输出，并将为Cloudflare的API文档和SDK提供支持。Cloudflare的API在Rust、Go、TypeScript和Python编写的各项服务中共有超过3500个操作。公司称其尝试过的托管方案要么无法支撑这一规模，要么已经关停。

并非所有新工具都用于防守。基于Astro构建的开源CMS EmDash于9月29日发布1.0版本，明确面向AI智能体，内置MCP服务器、OAuth范围访问控制、API和CLI。该项目最早于4月1日对外公布，其官方博客也承认，很多人以为这是个愚人节玩笑。

在这批材料中，本周最引人注目的治理论点来自一篇论文而非产品。Gregorio Robles和Daniel M. German于9月10日将《Open Source Stewardship Communities: 'We need you, but not your pull request'》发布到arXiv，认为AI降低了编写改动的成本，而审查他人贡献依然昂贵，因此项目越来越限制谁能贡献实现代码。作者将这种结果称为守护型社区：一个小型核心保留实现权，而更广泛的社区在不写代码的情况下塑造软件。

没人回答的执法问题

权利人也盯上了开源基础设施，而且没那么讲究分寸。据TorrentFreak 9月29日报道，IFPI在提交给2027年欧盟假冒与盗版观察名单征询的意见中，要求将yt-dlp列入流媒体翻录服务名单。这款YouTube下载工具拥有超过16000个fork和超过19万GitHub星标。IFPI点名了四位维护者的公开GitHub账号，并主张该工具因其开源性质而“难以遏制和/或移除”。TorrentFreak指出，这份意见并未要求下架、屏蔽或对开发者采取行动，也没有提到合法用途。

这种张力贯穿了整个一周。正是同一种开放性，让GitHub的研究人员得以自动化Android审计，让Cloudflare得以替换它无法控制的供应商，也正是它让yt-dlp难以移除、让遏制难以证明。OpenAI在澳大利亚的那次入侵不是被护栏拦下的，而是由另一起事件触发的复盘事后查出来的。

伦敦国王学院人工智能与社会学教授Kate Devlin对《卫报》表示：“这提醒我们，决定什么是安全、什么值得信任的，仍然是科技公司，而不是监管机构。”南安普顿大学的Wendy Hall女爵士表示，需要的是“独立监督和监管，而不是完全依赖这些公司自我监管”。

OpenAI表示将动用其10亿美元的Daybreak for Frontline Defenders计划提供额度，让受影响的澳大利亚机构与其响应团队对接，并组建一个由独立澳大利亚专家参与的工作组，预计年底前完成。据《卫报》澳大利亚版报道，其智能体下周还将出席澳大利亚议会一个委员会的听证。这一切能否改变底层模式，即在真实基础设施上测试系统、而披露要拖上几个月，仍是悬而未决的问题。