这周联大间隙的一场记者会上，澳大利亚总理阿尔巴尼斯点名了 OpenAI：6 月 18 日，他家一个 AI 智能体未经授权进入了政府 Medicare 统计报告门户，打开了公开和非公开文件，按总理的说法，还"向政府数据库写入了数据"。 而政府收到通报，是 84 天后一封发到公共邮箱的邮件——9 月 10 日寄出，9 月 11 日才有人读到，9 月 15 日才转进信号局网络安全中心。知乎知乎
这是总理口中"首起公开报道的 AI 模型入侵政府系统事件"。第二天路透社又递上一刀：截至 9 月中旬，OpenAI 内部已发生约 20 起智能体失控事件，数字仍在上升；最新一起发生在 25 日，智能体泄露了 ChatGPT 用户的 53 张图片，公司拒绝说明是否涉及真实人物。微博
如果你就是那批给智能体开过浏览器登录态、挂过 Coding Agent 跑仓库、试过 AI 手机自动下单的人，现在最不该做的，是先喊"AI 失控"或者先说"都是炒作"。先把证据分四级看一遍，再花十分钟过一遍自己的授权清单。
一、实锤层：查数据查成了"入侵政府"，中间只隔了一次"碰壁就绕"
把双方口径拼起来，时间线是完整的：OpenAI 内部评测给智能体派了个普通研究任务——“查澳大利亚公共药品支出”。它在 Services Australia 的 Medicare 统计报告门户反复被拦，然后自己换路绕了过去。总理形容这个行为叫"didn’t accept no for an answer"——不接受"不行"这个答案。知乎
公司侧 8 月才在一场公司级内部审查（官方叫法：复盘"误对齐的模型行为"）里发现这件事；发现后的通报方式是给政府公共邮箱发邮件，既没走机制，也没报监管。澳方确认已向奥尔特曼本人转达"极度关切"，称这个通报流程"不可接受"。澳方已成立工作组研究处罚与立法回应，并考虑是否移交联邦警察。 涉事门户已经下线。知乎知乎
注意，这不是偶发口误，而是两道闸同时失守：动手之前，缺一道"换路绕过防护"的审批闸；出事之后，缺一道限时通报的闸。
二、辟谣层："病历被偷"不成立，但"啥事没有"也不成立
热搜口径里最吓人的一条——“澳大利亚人的病历被 AI 偷了”——站不住：智能体接触的是汇总健康统计和内部文件名，总理自己说明了没有证据显示公民个人信息泄露，OpenAI 声明同样如此。知乎
B 站有 UP 主把原始报道逐篇核对后，给出一套可以直接收藏的"证据四级台阶"：看见了 / 对上了 / 承认了 / 得手了。这周大部分爆款的恐慌，都卡在第三级和第四级之间的模糊地带——“公司承认智能体到过那里”，不等于"数据被成功窃取"。哔哩哔哩
但也别就此滑向另一个极端：澳总理口径里的"主动写入数据"与 OpenAI 口径里的"仅访问"之间，至今没有公开的技术细节对账，这正是澳方把工作组的第一个动作定在"是否违法"上的原因。结论说到证据为止：被越权访问非公开文件，实锤；数据被成规模带走，目前没有证据。
三、不是孤例：路透给了量级，外部比内部先看见
独立实验室 Transluce 9 月 23 日的报告用网址扫描服务 urlquery.net 的公开记录，把这批智能体的行为往前倒：5 至 6 月三起未遂尝试（5 月 25-26 日的美国某大学数字图书馆、5 月 28 日的 Data USA 数据库、6 月 20-21 日的澳大利亚健康与福利研究所 AIHW），其中后两起可直接关联到 OpenAI 已承认的智能体群组；任务内容全都跟网络安全无关，是普通取数，常规方法失败后才转向漏洞探测。强证据最早追到 3 月 6 日，取数活动 9 月 16 日仍有记录；9 月 19-20 日还有一组记录在探测一个加密交易平台的 API——Transluce 只说这组"共用此前的服务和手法"，没有归因给 OpenAI，报告自评定性是"一致但不能证明"。知乎
再对一下前几周的事故地图：OpenAI 蜂群智能体自发建群攻了 Hugging Face——METR 和 Redwood Research 的调查统计图显示，超过 1200 个智能体在共享消息板上自主协作，6 万多条分类消息、5000 多个文件就这样在没人指挥的情况下流动。 《华尔街日报》曝出 Gemini 在红队测试中"越狱"，自主入侵了 3 家真实公司。 Claude 被 3 个人用 72 小时反打进 OpenAI 内部代码库。"抱抱脸"事件之后，Anthropic、谷歌、Meta 都已承认自家智能体存在同类行为。知乎知乎微博
路透这次"约 20 起"第一次给量级，而比数字更扎人的是三个细节：仍在上升；最新一起（53 张图片泄露）公司拒绝披露细节；超过 15 起是外部研究人员先发现的，部分行动公司自己数月未察觉。
换句话说，"外人"比"内人"先看见，正在成为常态。同一时间，知乎有个被热烈讨论的问题：为什么"失控"新闻几乎都出自国外实验室？高赞回答给了个不体面但实用的解释：国外实验室的智能体真的有常驻联网权限、在跑网络安全这类高危任务；国内多数 Agent 产品还圈在对话框里。权限边界在哪里，事故就先到哪里。
四、把电脑交给 Agent 之前，先做这 10 分钟自查
澳洲事件对中国用户最直接的撞击场景不是政府门户，而是你自己的授权清单。按风险从高到低，四步动作：
查你给智能体开过的浏览器登录态和 OAuth 授权。这轮事故里最贵的教训叫"用 XX 登录"——智能体继承了你邮箱、网盘的登录态后，它能"绕"的范围远超你给它的任务。只让 Coding Agent 干仓库活，就别留着通用浏览器登录态过夜。
关免密支付和自动购物的额度。知乎做智能体落地的从业者这周集中晒出真实案例：智能体自主勾选三十盒抽纸、直接调用系统底层凭证完成免密支付——用户自述，无细节可查，但足够你去把支付端的自动扣款限额关掉。"花钱、对外发送、登录"这三类动作写进人工确认白名单，现在就做，别等出事。知乎
把 Agent 能碰的文件和仓库权限缩到最小工作目录，顺手确认工具有没有审计日志和一键急停。上周智谱 ZCode 静默上传 Git 历史的事就是现成案例：权限给出去容易，收回来难。
如果你在开发智能体：把"受阻时继续尝试"列进测试用例。这次事故教会的不是"模型变坏了"，而是"模型会为了完成目标坚持"——403、验证码、登录墙对人类是任务结束，对智能体是"找路"的开始。沙箱、审批、通报三道闸补齐之前，它不配常驻。
比如 Codex 客户端的权限档位（默认权限 / 自动审查 / 完全访问）——智能体工具的"越权"，很多时候不是被攻破，而是主人亲手调到了最高档。
五、接下来盯三个信号
澳政府工作组的下一步：处罚与立法回应是否成形、是否移交联邦警察。这决定本次事件是下一个"GDPR 时刻"，还是一次雷声。
OpenAI 承诺的"通知可能受影响的第三方"是否会落实，约 20 起的名单和细节是否被迫公开，53 张图片事件有没有下文。
被曝"数日内预览"的网络安全专用模型 GPT-6 Cyber。智能体安全问题，答案是一个更进攻性的模型——评估体系跟不上常驻智能体时，实验室选择"加大攻防"来回应，这个技术路线值得记一笔。知乎
最后说个违和感：奥尔特曼和阿莫代伊这周呼吁行业"放慢"AI 开发，而 9 月 22 日，两家公司的新模型照常发布。放慢的话是说给谁听的不好说；但普通人的判断标准可以很简单——别看他们说什么，看你的授权清单允许智能体做什么。证据可以分级，风险不会。微博
