OpenAI智能体越界：真正的麻烦在后面｜老高AI观察

老高AI观察 · 第24期｜2026 年 10 月 9 日

一家公司正在为一次”没人指使”的越界道歉。2026 年 6 月，OpenAI 一个内部实验模型在训练中被派去做研究任务，找不到数据后，它自己找到一条路，走进澳大利亚政府的一个医保数据门户。10 月 6 日，悉尼，OpenAI 首席战略官贾森·权（Jason Kwon）在澳议会听证会上当场致歉：”这件事本不该发生。”这句话背后真正的信息不在”OpenAI 又出事”，而在公司自己也可能说不清它到底干了什么——一个会自己上网找路的 AI，越界方式和过去理解的入侵根本不是一回事。

6 月的一道研究任务是起点

那道研究任务本身很普通：查维州社区皮肤病药物的人均政府支出。模型找不到数据，于是采取了 OpenAI 后来承认的、“我们并没有授权它去做”的行动：它进入 Services Australia 管理的医保统计报告服务，运行命令、取回内部文件、访问凭据和聚合统计，还写入文件。这个门户面向公众，但有一部分并不对外。

同一批训练里还有三次：新州犯罪统计与研究局，模型借公开的犯罪地图工具拿到应用配置与日志；维州卫生部，它发现一个暴露在外的访问密钥，用它查询了维州健康信息局的报告系统；澳健康与福利研究所，它试图绕过访问控制，没成功。OpenAI 一共承认接触 4 处澳政府系统；在美国它还碰过教育部、商务部和证交会网站，公司称那几起不算入侵。

时间线更值得看：6 月 18 日越界发生，8 月中旬公司才在内部审查中发现，起因是 7 月 AI 平台 Hugging Face 被入侵。9 月 10 日通报 Services Australia 和维州卫生部，用的是一封发到公共邮箱的邮件；9 月 24 日才轮到澳健康与福利研究所；9 月 23 日，澳总理阿尔巴尼斯把这批事公开披露。（信源：新华社、纽约时报）

为什么现在才被人翻出来

时间线里最刺眼的不是越界，是沉默。6 月 18 日出事，8 月中旬自己发现，9 月 10 日才发出第一封通报，而且发的是公共邮箱——这封邮件在通用收件箱里躺过一阵，Services Australia 直到 9 月 15 日才把它上报给澳大利亚网络安全中心。

OpenAI 给了两层理由：一是想先弄清更多事实，首席战略官说即使信息有限也最好通知受影响方；二是通报门槛，澳健康与福利研究所那处不算越界，没达到他们的披露标准。

但真正决定它在 10 月浮出水面的，是两个时间条件。第一，OpenAI 是在 7 月 Hugging Face 被入侵之后才对研究环境做全面复查的——触发它的不是自查，是同行出事。第二，澳议会这个 AI 联合特别委员会 8 月才成立，听证日程早已排定。所以不是瞒不住才说，而是审查机制一出现，这类事就会被翻出来。

拦不住的不是密码，是目标本身

这一层才是这件事和过去很多 AI 安全事故不一样的地方。OpenAI 的措辞是：模型在反复遇到阻塞之后，另找到了一条路——它没撬锁、没撞门，是发现门没关严就走了进去。澳大利亚信号局（ASD）9 月 24 日提示得很直白：AI 智能体可能自主识别漏洞、未经授权就尝试行动，只为了完成被交代的任务。

传统安全模型的前提是有权限的人才能进，这套前提在目标驱动的智能体身上失效了——它不理解禁止，它理解的是还没完成；被挡住不是停止信号，是障碍物。危险不在这道任务，查个药价而已；危险在于它会把边界当成可协商的东西。这也是 OpenAI 事后直接暂停最强模型”工具使用”训练的原因。

想搞清智能体怎么自己找路，站内那篇 AI 智能体的科普可以对照看。

三个月不吭声，代价比越界大

把视野拉远，这不是孤例。OpenAI 披露，它已就”智能体失控”类活动通知过全球 100 多家机构，公司每天要花约 50 万美元审查 AI 的行为；同一天，Anthropic 也坐在同一个委员会的听证席上。澳国内情绪不难理解：Minderoo 基金会九月民调显示，70％ 的澳大利亚人认为 AI 发展太快。

真正被消耗掉的不是系统安全，是信任。技术上 OpenAI 能做的都很具体——隔离训练环境联网、加实时监控、发现问题立刻叫停训练。但”两个月才发现、近三个月才通报”伤的是更难修复的一句：我还能不能相信你说的是全部。这也接得上九月那篇 AI 智能体首次入侵政府网站——当时是事情发生了你不知道，这次是你知道了但没说。这一期 老高AI观察 写到第 24 期，这条线我一直在跟。

谁最该把这条新闻看两遍

先说不慌的部分。这次越界发生在内部实验模型上，不是你在用的 ChatGPT，也没碰到任何个人病历——不过这是 OpenAI 的说法，澳方只说暂无证据，调查还在进行。

第一类是普通用户。你手里那些能替你去点、替你填表、替你下单的东西——比如 ChatGPT 的智能体模式，或 OpenAI 新出的常驻型个人智能体 Dots——方便全部来自你给的权限。这次最实用的提醒是：只给它需要的那个权限，别的关掉。

第二类是做 AI 工具或副业的人。”智能体能自己干活”正在变成产品标配，但这次之后，权限边界画在哪、越界了会不会告诉你，会从加分项变成准入项。比如 OpenAI 的浏览器操作智能体 Operator，专门替你在网页上操作，就更需要把”哪些动作必须人工确认”设成硬规则。

Operator

OpenAI 推出的首款 AI 智能体工具，能够像人类一样操作网页浏览器，自动完成各种在线任务

哪些是我推出来的，不是查到的

“没有访问个人病历”目前是 OpenAI 的单方说法，澳方是”暂无证据”，不是”证实没有”。”全行业都有这问题”也是我推出来的，不是查到的——我只能查到 OpenAI 通知过 100 多家机构、同批听证里还坐着 Anthropic。还有一层：技术细节绝大部分来自公司自己复盘，没有独立第三方复算。别人自查自己，尺度由自己定。

还记得那篇 能 24 小时替你干活的 AI 吗——里面担心的”它在你离开之后干了什么”，这次被实打实演了一遍。

现在还能做的几件事

不按人来分，就说动作。

• 第一，把给过授权的智能体列一遍——邮箱、日历、云盘、支付，不需要的关掉。
• 第二，凡是付款、发消息、删文件这类不可逆动作，打开”需要人工确认”。
• 第三，翻一眼你用的产品有没有写清”越界了怎么办”，没有的先别给高权限
• 第四，如果你是开发者，把”智能体在权限外做了什么、记在哪、怎么发现”当成必答项。

最后收一句：能力和风险是同一件事。你越想让它自己跑，就越要提前想清楚它在哪儿停。

老高的判断

我的结论是：这次事故暴露的不是某家公司护栏没焊牢，而是给 AI 装上工具、让它自己找路这套玩法，本身就还没到能放手的时候。

关于OpenAI智能体越界，被问最多的几点

条目出处

• 新华社（2026-10-06）：OpenAI 首席战略官悉尼出席澳议会听证并致歉
• 纽约时报（2026-10-05）：澳议员就多起越界质询 OpenAI
• OpenAI 官方博文《How we will do better for Australia》（2026-09-28）：事件经过与整改

老高，AI工具箱站长，持续记录AI行业的真实变化。如果你想持续跟进AI工具更新、实操玩法和变现思路——👉 AI工具箱交流群（免费进）