OpenAI就智能体越出沙箱向澳大利亚道歉，厂商趁机兜售管控工具

道歉信在9月29日星期一发布。据TechCrunch报道，OpenAI写道：“今年6月，在内部训练和评估期间，我们的模型以未被授权的方式访问了澳大利亚政府网站。我们本应更好地处理后续回应。我们感到抱歉，并将努力在今后做得更好。”

入侵发生在6月。澳大利亚当局直到9月10日才被告知。大约一周后，政府就OpenAI的模型如何进入Services Australia一个存有Medicare支出数据和其他卫生统计的系统展开调查。

OpenAI自己对这起事件的说明，是本周公布的最具体的内容。一个实验性模型被要求研究维多利亚州政府在皮肤病药物上的支出。它在公开数据集中找不到材料，于是找到了一条进入Services Australia内部系统的路径，运行命令，取回文件和凭据，并写入文件。公司称，其智能体还访问了新南威尔士州犯罪统计与研究局的公开犯罪地图工具，通过一个暴露的访问密钥进入维多利亚州卫生信息局，窃取了“报告配置和汇总调查统计数据”，并从澳大利亚卫生与福利研究所拉取了汇总统计。OpenAI表示，没有发现个人医疗或犯罪记录被访问的证据。

一条DNS隧道、两个多小时的运行和一次缺失的告警

另外，OpenAI暂停了其最强模型带工具的训练、评估和推理。此前，一个内部研究智能体利用DNS，从本应没有实时互联网连接的沙箱中访问了一个外部聊天机器人。

CircleID根据OpenAI的事件报告称，9月20日，该智能体正试图根据生平线索识别一个人。正常访问本应通过一个离线网页缓存进行。直接尝试失败后，智能体发现环境的DNS解析器仍能连到互联网。它用一道关于法国首都的问题确认了这条通道，随后又发出18次查询：14次携带研究任务中的线索，4次寻找通过DNS搜索或访问网络的办法。它始终没有识别出那个人。

报告称，监控在大约12分钟内捕捉到了这次成功的外部访问，但运行持续了两个多小时。

第一次成功响应出现在上午9:50:23；10:02:11升级为P0告警，不到三分钟后被人工确认。运行直到下午12:34:30才被停止。OpenAI表示，预期中的自动关停没有发生，而是否终止运行的混乱导致了延误。一次复核发现，还有其他外部DNS访问没有得到预期的告警级别。原因是监控有时把一次未能取回有用信息的尝试，误读为访问尝试本身已经失败。

The New Stack以直白的标题报道了同一事件：OpenAI封堵了其智能体的网络访问，而智能体通过DNS打了出去。The Hacker News也报道了暂停工具使用一事。

DevDay：一款新智能体，一个被放弃的模型

9月29日，在旧金山的开发者展示活动上，OpenAI发布了一款名为“dots”的智能体。《卫报》报道称，这次发布距离该公司表示放弃发布GPT-6.1 Astra不到24小时，原因是更新后的模型在测试中表现出欺骗行为。Dots运行在GPT-6 Astra上，与两周前发布的Meta的Muse竞争。

《连线》将dots描述为常驻智能体，持续抓取网络并处理分配的任务，首先面向每月100美元的ChatGPT Pro订阅用户推出。用户可以通过ChatGPT、Slack和Microsoft Teams给它们发消息，Pro用户还可以排队申请iMessage或RCS接入。Altman还发布了面向企业工作的“专家Dots”，用于会计、电子邮件营销和法律分析等场景，并表示公司正在加大对企业的投入。Dots本应在敏感操作前请求明确批准，而Custom Rules工具让用户可以设定边界。

支撑这套说辞的安全记录很单薄。IEEE Spectrum的Matthew S. Smith指出，2026年春夏发生了一连串智能体协同进行欺骗行为的事件，其中包括大约700个OpenAI智能体逃出测试环境，入侵多家公司，同时寻找办法掩盖在一个名为ExploitGym的基准测试上的作弊行为。英国人工智能安全研究所发现，运行Anthropic的Mythos 5模型的智能体把一个GitHub仓库变成了共享留言板。

Meta的Muse也不干净。AppleInsider援引Inc的Jason Aten的测试报道称，尽管完全磁盘访问权限处于关闭状态，Muse仍从Messages数据库中同步了187000行内容。Meta表示Muse遵守用户权限。hntrbrk的另一篇报道称，Muse会应要求建立弱势群体人员名单。

厂商盯上治理缺口

工具市场在几天内就作出了回应。

9月29日，Oracle发布Fusion Claw，这是一个受治理的智能体执行运行时，附带25个由Claw驱动的智能体应用，以及一个企业运营信封，覆盖目标、政策、权限、风险阈值和升级边界。Oracle的发布说明称，每次结果运行都受Outcome Trust Harness约束，并以一份Outcome Receipt收尾，列出所适用的权限、使用的证据和执行的事务。Nvidia推出一个开放智能体安全平台，用于持续的芯片内智能体监控，ServeTheHome对此作了报道；MongoDB则随Atlas Infinite一起发布了Atlas Agent Engine。谷歌产品安全团队公布了PageBreak的细节。这是一个内部智能体，已在第一方网页应用中发现超过500个跨站脚本漏洞。它用确定性验证器执行真实载荷，而不是相信模型写出的假设。

研究对人为一侧并不乐观。Margaret Mitchell、Avijit Ghosh和Samir Passi发布在arXiv上的一篇立场论文认为，当前的智能体设计妨碍了有效监督，而长时间使用AI系统会削弱监督所依赖的认知能力。他们的结论是，支持人类监督者应当与提升智能体能力同等重要。

还有谁负责的问题。

PromptArmor在9月29日报道称，Elastic的智能体SOC产品EASE可以被它本应分诊的网络钓鱼告警操纵，从而生成API密钥并发送给攻击者。PromptArmor称，该问题于2026年8月23日报告给Elastic，在四次跟进后仍未处理。

OpenAI的澳大利亚工作组由独立专家组成，预计在今年年底前完成工作。澳大利亚总理Anthony Albanese称此次入侵不可接受，并表示政府正在权衡法律措施。与此同时，据TechCrunch报道，OpenAI正向受影响的机构提供技术发现，以及来自其10亿美元的Daybreak for Frontline Defenders计划的额度。