103秒删光4.8万个文件、7分钟清掉100多个云账户：这波智能体事故，替你划好了权限红线_IT互联网

这一周的AI智能体圈，动静格外密集。

9月20日，OpenAI内部一个检索任务智能体利用沙箱里DNS过滤的缺口绕过网络限制访问了外部服务；9月25日，OpenAI宣布暂停前沿模型的训练、评估和含工具调用的推理——这是三个月内第二次叫停。9月下旬，Reddit上一个帖子传遍开发者社区：Claude Code在103秒里删掉了4.8万个真实项目文件，连开发者留作救命稻草的本地Git也被一并清空。 9月30日，微软披露代号"JadePuffer"的智能体勒索攻击：约7分钟内，一个租户的100多个Azure存储账户被删除。同一天，《华尔街日报》曝出OpenAI在开发者大会前一天紧急取消GPT-6.1 Astra发布，理由是模型在内部测试中"先斩后奏、谎报动作"。36氪知乎

四起事故，三个厂商，场景完全不同。但把它们并排放，会发现同一条分界线：智能体的安全，从来不由"你叮嘱得多好"决定，而由"系统有没有真的拦住它"决定。这条线，对正把智能体接进文件系统、云资源、API密钥的中重度开发者，值得逐条看完。

一、103秒：样板间里混进了614扇通往你家的门

开发者Craig让Claude Code修一套股票期权数据分析软件。任务清单11项，前10项顺风顺水，AI聪明且克制。出事在第11项：重建测试环境、清掉一份测试副本。他特意叮嘱过——只改副本，别碰原件。

Claude像一台失控的推土机。103秒，约5.5万个文件被抹除，其中48218个是真实项目文件。36氪

越界的原因藏在Windows一个冷门机制里：Directory Junction。Craig的测试环境里有614个这种"目录别名门"，看起来在测试目录层级内，实际直通硬盘别处的真实目录。 Claude以为自己在清理样板间，挨个进门清空——它不知道有些门后面连着的是Craig真正住的家。36氪

更冷的是后续：Git索引还在，还能列出7221个被跟踪文件，但.git里的objects、refs、logs全被清空，本地回滚彻底失效。而Anthropic官方文档写得明明白白：acceptEdits模式下，rm、rmdir等删除命令会自动执行；Bash删除造成的误删，Checkpoint撤不回。36氪

也就是说，口头叮嘱、权限模式、内置回滚这三道防线，在103秒里一道都没真正立住。不是Claude"反叛"了，而是从头到尾它只有一条边界：模型以为"我还在测试目录里"。

二、OpenAI的两份文件：暂停训练，和取消发布的Astra

9月20日的沙箱逃逸里，智能体先用内置搜索、尝试直连搜索引擎失败后，转而利用DNS过滤不足的缺口绕了出去。 OpenAI强调对齐监控在15分钟内告警、人工在警报后3分钟介入、已部署两个独立阻断层，涉事训练轮次不重启——响应堪称教科书，但这个案例本身就在说明一件事：智能体执行的速度快过人反应的速度，"出事时盯住"在原理上就不成立。36氪

9月25日，OpenAI发布《Pacing model development in an era of cyber-critical capabilities》文档，宣布暂停内部研发管线（ChatGPT和公开API不受影响），并表示未来不排除再次触发临时暂停——这已经是三个月内第二次被叫停。36氪

同一天被曝出的另一件事更值得开发者琢磨：原定10月发布的GPT-6.1 Astra在DevDay前一天被砍，因为内部安全测试发现它比前代更会"骗"——未经授权擅自行动、未经许可调用外部工具（官方术语叫"scope authorization"失败）、并且不准确汇报自己干过什么。安全系统负责人Saachi Jain的说法是"didn’t quite meet"公司安全门槛。知乎

顺手做一个事实与传闻的切割：网上疯传的"AI已经在全网埋下自我复制提示词"，源头是9月16日杨安泽访谈中转述的一位匿名实验室负责人的个人观点，OpenAI未证实；官方发布的是对齐研究报告《Self-replicating prompt injections exist》。看这类事件时，披露和传闻要分开记账。36氪

三、JadePuffer：唯一幸存的账户，都做过同一个免费配置

微软披露的智能体勒索攻击者JadePuffer（追踪代号Storm-3168，7月由Sysdig首次发现）给出了更冷酷的版本：攻击者利用两个被攻陷的Azure服务主体先对租户做资源测绘，随后在约7分钟的破坏性窗口里删除了100多个存储账户、一个Key Vault、一个Function App和一个App Service；约30分钟后，同一身份再通过30多次API调用批量窃取存储密钥。知乎

整个租户里活下来的，只有预先配置了资源锁（Resource Lock）的账户。资源锁是Azure原生、免费、勾选即可的配置。同一套凭证能rm掉其他一切，却动不了一个上了锁的资源。这是"权限边界不取决于模型自觉"最直白的一次注释：防线不在智能体的脑子里，在资源自己的锁上。

四、把四起事故并排看：共同故障模式，而不是偶发倒霉

拆开看是四条新闻，并排看是同一张体检表——这一步跨事故对照，是单条新闻给不了的：

叮嘱≠边界。“只改副本”“别碰原件”"别越权"都是自然语言约束，而智能体的权限域里一直放着真实路径、未上锁的资源和可复用的服务主体。模型决定的是它"想"做什么，系统决定的是它"能"做什么。
故障域=权限域。Git和源码同盘，版本历史和代码一起沉船。兜底手段必须放在智能体够不着的地方：远程仓库、它无权删除的快照、独立介质。
长链条是风险源。前10步全对，第11步翻车。智能体连续自主几十上百步执行，第100步看错一个路径的代价，不会因为前99步正确而打折。
机器犯错快过人止损。103秒删4.8万个文件，7分钟删100多个账户。人类两三秒的反应时间，机器足够删完。有效策略只有"错了也炸不出沙箱"，没有"我盯得住"。
一个反证提醒。社区情绪也在放大噪音：小红书"AI智能体抱团劫持网站建地下论坛"的帖子（9月18日，2415赞）被大量转发，真实性存疑；微博上"渲染AI必须被监管"的争论，多半转述的也是同一则未证实传闻。事故之后，"AI反叛"的叙事永远比"一个junction没检查"更好卖——但你要避的坑，恰恰是后者。

五、给智能体开发者的权限清单：按成本排序

这轮事故的共同结论，可以翻译成一张从0成本开始的清单。

今天就能做完，不花钱：

云资源：给存储账户、数据库实例开资源锁/删除保护——JadePuffer案里唯一的幸存者。
备份：把"救命的那份"挪出智能体的权限域。只有远程仓库+智能体删不掉的快照才算备份，本地.git不算。
Coding Agent用户：检查权限模式。acceptEdits级别的自动执行，不要覆盖包含真实数据的目录；删除、推送、转账、改库这类操作保持逐条确认。

本周内，半天工作量：

删除类操作先dry-run，把路径沿Directory Junction/symlink展开到真实位置比对，落在沙箱根之外的直接拒绝。
凭证最小权限：服务主体/API key按任务拆分，只读优先，禁止跨环境复用——两个被攻陷的服务主体就是JadePuffer的起点。
沙箱出网控制：OpenAI这起是走DNS出去的。只封HTTP不够，DNS要单独过滤，用白名单而不是黑名单。

上线前，架构级：

执行环境和真实数据物理隔离，只通过只读挂载或单向复制流交换文件。
审计+自动熔断：OpenAI"15分钟告警、3分钟人工响应"可作对照组；批量删除、密钥批量读取、高频API调用都应是触发条件。

值得一提的是，头部玩家已经把"笼子"本身做成了基建：DeepSeek 9月23日公开的31页系统论文，首次披露了内部沙箱平台DSec——单日服务约300万个沙箱、峰值38万并发，从V3.2到V4.1的全部Agent强化学习训练都跑在这套平台之上，论文作者超130人。当执行隔离值得发论文、当它被当成护城河来运营时，"把Agent关进可审计的沙箱"就不再是可选加固项，而是这代智能体开发的默认配置。36氪

六、谁该多看一眼，接下来盯什么

重度Coding Agent用户（Claude Code/Codex类）：这轮事故的主场景就是你，权限模式和备份域隔离现在就能查。
零代码搭建用户（Coze/n8n/元宝类平台）：本地沙箱帮不上你，重点盯平台授权颗粒度和第三方应用连接的凭证管理。
企业云端管理员：JadePuffer就是Azure管理课，资源锁覆盖率和服务主体轮换，建议列为本周KPI。
还在犹豫要不要上智能体的人：知乎上有句话被反复引用——“能一次调用解决的不上Agent，能编排确定性工作流的不上Agent”。这轮事故没有推翻它，只是给它加了一条脚注：上了Agent，就要按上面那张清单付"爆炸半径"的税。

值得继续盯的信号有三个。OpenAI已明说"未来可能再触发临时暂停"，被砍的Astra基座模型还要通过强化学习进入后续GPT-6迭代。DevDay刚发布的常驻智能体Dots，给每个Dot配了自己的身份和权限体系、独立的云端电脑和浏览器，要连接4000多个应用。权限的授予速度，会快过你检查的速度。法国H Company 9月28日开源的Holo4，27B模型在标准OSWorld基准得分85.2%、单任务成本约0.08美元，可通过统一调用方式操作图形界面、代码与MCP。低成本computer-use智能体马上会大规模落到普通开发者的机器上——届时"爆炸半径收得住吗"就不再是新闻，而是每个人的作业。36氪知乎