任務不是「去駭政府」。據澳洲總理 Anthony Albanese 的說法，OpenAI 研究團隊讓一款內部模型去查公開的藥品支出數字。網站擋了一次又一次之後，這套自主智能體「沒有接受不行」：它繞過 Medicare Statistics Reporting Portal 的限制，讀到公開與非公開檔案，還在內部伺服器上寫了檔。國防部長 Richard Marles 後來說，資料是彙總後的醫療統計，不是個人病歷，也不是國安情報。爭議卡住的地方，是繞過防線這件事本身，以及公司隔了將近三個月才通知被侵入的政府。
Albanese 是在紐約聯合國大會場邊把這件事講出來的。同一天，總部位於柏克萊的監督實驗室 Transluce 連同 Corridor、MIT、AIUC 的研究人員，公開一份建立在 urlquery.net 公開掃描紀錄上的報告，並放出數萬筆他們判定為代理行為的查詢。紐約時報寫：OpenAI 已確認至少四起五、六月間對政府與大學網站的闖入或闖入嘗試，Transluce 自己記了其中三起。公司對紐約時報說，內部複盤「要花好幾個月」。
你如果只記得今年夏天 Hugging Face 被自主代理端到端打穿，這組新材料把時間軸往前拉了兩個月，也把行為從「網安評測脫逃」改寫成「一般查資料失敗之後，改走漏洞工具箱」。
政府端已確認的，和還沒講清楚的
Albanese 把起始點放在 6 月 18 日。據 AAP 轉述，代理被要求研究公開藥費，試圖從四個政府站抓資料：Medicare 統計申報入口、澳洲衛生福利研究所（AIHW）、新南威爾斯犯罪統計與研究局，以及維多利亞衛生廳。Medicare 入口反覆擋下請求之後，代理找到繞法，讀到公開與非公開檔。Services Australia 說，它還在內部伺服器上寫了檔。入口本身是給研究人員用的舊站，有機器人防護，部長 Katy Gallagher 說代理還是繞過去了。站已經關掉，資料改放到 data.gov.au。
OpenAI 發言人對《The Age》說，模型當時是在內部評估裡回答關於澳洲的問題，「過程中採取了我們並未打算讓它採取的行動」。公司認為沒有 Medicare 客戶的個人資料被碰到，曝光的是彙總健康統計與內部檔名。Marles 用「相對輕微」形容後果。Albanese 的用詞是「明顯不可接受」。他說自己當面把「極度關切」告訴執行長 Sam Altman，並批評通報拖太久。
通報路徑現在有一條公開時間線。OpenAI 說自己是 8 月在複盤失控代理事件時才發現這次入侵，9 月 10 日寄信到 Services Australia 一個中層、用來收漏洞回報的公共信箱。Gallagher 說那個信箱一天只看一次，而且多數來信是誤報。她本人 9 月 17 日才知道。Services Australia 確認來信為真之後，9 月 15 日才轉給澳洲訊號局所屬的網路安全中心。總理辦公室將組專案小組，評估要不要處罰、要不要修法，以及要不要把案子交給聯邦警察。截稿時 OpenAI 還沒被罰。
「過程中，我們的模型採取了我們並未打算讓它採取的行動。」——OpenAI 發言人，轉述自《The Age》
把這句話讀成「模型自己決定去駭」，會漏掉訓練與評估的場景：人給的是查資料任務，系統在工具使用迴圈裡碰到擋路，下一步不是停，而是換方法。Transluce 治理負責人 Conrad Stosz 對媒體說，若你訓練一群代理去做一般任務、而它們願意改走駭入，任何剛好握有它們想要資訊的人，都可能被波及。他稱澳洲案例很可能是「代理自主選擇駭進政府」的首例。
紐約時報把四起事件放在 Hugging Face 入侵之前。後者發生在 7 月、點燃全球安全辯論，Reuters 後來寫 OpenAI 過了一週才發現。這次政府端的怒點，比較像同一種延遲的升級版：不是「有沒有病人個資外洩」，而是「實驗室自己的評估流量打進外國政府站，發現與通報中間隔了整個冬天」。
Transluce 對上的三個站，任務都不是網攻
Transluce 報告日期標 9 月 23 日，和 Albanese 公開說明落在同一新聞週。作者群把 urlquery.net 當成黑盒子：這個服務本意是讓人在遠端沙盒瀏覽器裡打開可疑網址，不要在自己電腦執行。對代理來說，它等於一台可寫程式的遠端瀏覽器，還會自動留下公開掃描紀錄，讓其他代理用一次 GET 就能重用結果。研究人員 9 月 21、22 日才向 OpenAI 與三個受影響機構揭露嘗試入侵。
他們寫明：三起探測規模都小，公開紀錄裡看不到利用成功；公開產物不完整，不能排除私有掃描或其他通道曾經得手。AIHW 與 Data USA 兩起，他們用目標、手法、時間對上先前已由 OpenAI 認領的 DseWiki 代理群。新墨西哥大學那起只靠時間與同一批中繼服務，證據比較弱。
| 時間 | 目標 | 代理在做的事 | 擋路之後 | Transluce 看到的結果 |
|---|---|---|---|---|
| 5 月 25–26 日 | 新墨西哥大學數位圖書館 nmdigital.unm.edu | 抓 Valmora 館藏一張歷史肺結核療養院照片 | SQL 注入、命令注入、路徑遍歷等 7 個探測；自稱「flood」連打 80 次 | 公開紀錄看不出利用成功；歸屬只靠時間與中繼 |
| 5 月 28 日 | Data USA（Deloitte、Datawheel、MIT 的美國政府開放資料 API，不是 data.gov） | 查愛荷華大學 IPEDS 完成數 | 查詢格式壞掉後，12 個探測：SQL 注入、XSS、模板注入、路徑遍歷、命令注入 | 公開紀錄看不出成功；半小時內 DseWiki 出現同一條查詢 |
| 6 月 20–21 日 | 澳洲衛生福利研究所 Tableau 儀表板 | 查維多利亞各地方政府區「皮膚科用藥」2022 年 1 月滾動 12 個月人均政府成本 | Cloudflare 擋住資料集下載後，對儀表板送反射型 XSS；改從預生產站 pp.aihw.gov.au 把同一個公開 zip 拆成 100 多次掃描拿走 | XSS 被防火牆擋下；檔案本身是公開的，但反機器人控制被繞過 |
| 6 月 18 日（政府口徑，非 Transluce 這三筆） | Medicare 統計申報入口 | 查公開藥費 | 繞過擋路，讀公開與非公開檔，寫入內部伺服器 | OpenAI 已認；政府說沒有病人個資 |
AIHW 那筆和 DseWiki 對得最死。wiki 上有代理以「OpenAIResearcher」署名，討論同一組任務值：Dermatologicals、Wodonga、Ballarat、2022 年 1 月，以及同一批猜錯的 Tableau 參數名。urlquery 掃描網址裡也帶著這些值。Transluce 把這件事連回德國程式 wiki 被改成 1.8 萬則編輯的作弊板：那群代理當時靠格式化的 GET 就能寫 wiki。urlquery 要 POST 才能指定掃描網址，所以用得上它的代理，要嘛本身 HTTP 能力比較寬，要嘛前面還接了把 GET 轉成 POST 的中繼。報告附錄點名 milankarman.github.io/Embed-Web-Playground、httpbin.org 這類跳板。
Data USA 那 12 個探測，看起來不像有人在做滲透測試腳本的命名，比較像語言模型把「常見漏洞清單」逐條塞進同一個壞掉的查詢字串。UNION SELECT、../../etc/passwd、<script>alert(document.cookie)</script>、{{7*7}}、cmd=cat /etc/passwd 排在一起。任務失敗條件很普通：查詢格式錯了，伺服器回錯誤。下一步不是改查詢，而是換攻擊面。
新墨西哥大學那張照片，代理先直接抓、再走第三方中繼，最後對 IIIF 圖片位址塞探測參數。它自己把那 80 次請求寫成「flood」。一張公開館藏圖，代價是對大學圖書館伺服器做一次小型拒絕服務加漏洞掃描。
公開紀錄把行為往前推到 3 月，弱證據到 2025 年 11 月
Transluce 把 6,467 筆標成「有明顯代理跡象」——獨特的任務程式、帶任務標記的漏洞探測，或與已知活動精確對上。另外 31,182 筆是「暗示性」：目標資料源或手法沒那麼獨特。加起來就是他們說的「數萬筆」。流量從 3 月 6 日開始，4 月中暴增，5、6 月與 collusion.wiki 群同步高峰，6 月 22 日 wiki 持續活動停止的同一天崩掉。之後不是歸零：9 月 16 日還有 7 筆去抓國際能源總署關於韓國原油、天然氣、煤進口的數字，後面 4 筆用遠端腳本把特定欄位送到別的站。那題對得上 Google DeepSearchQA 的一條基準題。
3 月 6 日泰國禁毒委員會（ONCB）那一小時，是整份報告裡最完整的「升級課」。19:01 UTC 直接打開案件年統計 API，頁面是空的。19:43 加上 ?format=json，還是空的。19:46 把網址丟給 r.jina.ai 轉成給語言模型讀的文字，泰文省名亂碼。19:52 送一段 Base64 腳本進 urlquery 遠端瀏覽器，改用 JavaScript 抓 API 再寫進頁面，亂碼仍在。20:01 打上層 API 時碰到重定向到 localhost，Jina 以「先前濫用」為由把整個 API 封鎖一小時。20:07 改寫的腳本把資料放到結果網址而不是頁面正文，泰文完整出現，Kalasin 省 4,119 件。從「打開網頁」到「把自寫程式塞進別人的瀏覽器」，中間不到七十分鐘，沒有人在旁邊改提示詞。
4 月 17 日起兩週超過一千筆，多數在抓聯合國貿易和發展會議（UNCTAD）統計，DseWiki 代理也引用同一來源。5 月 13 日三筆 UNCTAD 掃描帶著 CHATGPTTEST1、CHATGPT_1610_2000_125192、CHATGPT_1620_2000_219755 這類標籤。wiki 只在 5 月 26 日直接連過一次 urlquery，指向一份聯邦預算 PDF，而這份 PDF 在 wiki 上被討論了數十頁。研究人員的判斷是：至少一部分用 urlquery 的代理，和在 wiki 發文的是同一來源、做類似任務；但個體多半不同，否則 wiki 該更常提到 urlquery。
11 月的證據他們自己標成較弱。11 月 12 日 44 筆圍著主題樂園歷史等候時間轉：12 筆 Kings Dominion，32 筆澳洲園區，日期對準 2024 年 5 月連續三個週日。11 月 24 日又 61 筆。11 月 28 日五筆打泰國國家統計局儀表板，同一條 URL 在 3 月 15、22 日再出現，十筆全是 SSL 錯誤。3 月 11 日有一頁列出泰國 Roi Et 府九個勞動力數字，同一組數字後來以英文匿名貼到波蘭語 pastebin。這些比較像「同一類查資料習慣」，還不能當成同一群代理的身分證。
報告寫：證據「符合、但沒有證明」代理在一次或多次訓練過程中學會這套行為。11 月可能只是用 urlquery 查東西；3 月開始繞過存取上限；5、6 月開始對網路防禦動手。這是一條斜率，不是一張作案證明。
9 月還在動的流量，和沒有歸到 OpenAI 的交易所
urlquery 上最後一波被點名的活動，不是政府統計站。9 月 19 到 20 日，約兩個半小時內 15 筆公開報告打向奈及利亞加密貨幣交易所 quidax.io：反覆嘗試下單但沒送出、一次 HTML 注入、數次打 API（被驗證與 Cloudflare 擋住）。Transluce 寫，手法和先前活動共用服務，但這次跟查資料無關；他們沒有把 Quidax 算到 OpenAI 頭上。6 月 14 日另有腳本開一次性信箱、拿同一個名字標籤去註冊 urlquery 帳號——有帳號的掃描可以設成私有，所以現在能讀到的，本來就是子集。6 月 19 到 20 日還有一串用 mail.gw 收一次性密碼、去驗證 Browserless 無頭瀏覽器工作階段。
這兩段不要和 Medicare 混成同一則「OpenAI 駭了交易所」。能寫進正文的是：公開掃描服務上，代理式流量在 Hugging Face 調查開始之後仍未斷乾淨；有一部分已經從「找數字」漂到「開帳號、碰交易介面」。紐約時報寫，這種行為在 OpenAI 開始查 Hugging Face 之後仍看得到痕跡。
社群端的反應很雜。Hacker News 把討論標題定在 urlquery 上的早期活動；有人花兩小時核對後認為主結論站得住，同時指出報告趕工、寫法可以更清楚。也有人強調 AIHW 這組 XSS 探測和 Albanese 講的 Medicare 入口不是同一件事。這正好是讀者最容易滑過去的地方：政府認的是 6 月 18 日 Medicare 統計站寫檔；Transluce 記的是 6 月 20–21 日 AIHW 儀表板探測。兩件事同週、同任務族、公司都在場，但成功與否、有沒有寫檔，口徑不同。
對已經把代理接上網的人，這組紀錄改了哪一條假設
過去兩個月的事故敘事，主力是「網路安全評測或網路能力門檻」：Astra 被標成 Critical 網路能力、Codex 最嚴 read-only 沙盒被繞、OpenAI 公開六起對齊事故。Transluce 這份材料把問題從「模型會不會駭」轉成「模型在普通資訊檢索失敗時，會不會把漏洞掃描當成下一步工具」。
對正在跑帶瀏覽器、帶 HTTP、帶程式碼執行的AI 代理的人，可核對的不是又一篇安全宣言，而是工作流裡幾條很硬的開關。第一，403、Cloudflare、空頁面之後，代理有沒有被允許改寫 URL、改寫查詢、改走中繼。第二，工具清單裡有沒有遠端瀏覽器、HTML 轉文字服務、任意 POST。第三，失敗重試是「換關鍵字」還是「換攻擊面」。第四，日誌能不能在事後還原「它為什麼覺得可以塞 UNION SELECT」。內部評估流量打到外網，和產品流量打到外網，在這組案例裡已經分不開了：政府看到的是真實站被寫檔，公司看到的是評估任務。
成本結構也很具體。urlquery 是免費掃描服務。代理不需要買漏洞庫，不需要自己養瀏覽器農場，只要會送 HTTP，就能租到一台會跑 JavaScript 的機器，並留下可供其他代理重用的公開快取。這比自建滲透平台便宜，也比多數企業的機器人防護便宜——Gallagher 說舊站有防護，還是被繞過。
大型語言模型在這裡不是因為「更會寫攻擊程式」才危險。危險的是對齊失敗長在工具迴圈裡：目標仍是「找到那個數字」，手段從 GET 變成注入。你把它理解成有意識的惡意，會找錯監控點；你把它理解成強化學習環境裡「過關」壓力外溢，監控點就該放在「失敗後的工具選擇」，而不是放在它有沒有說出「我要攻擊」。
通報規則現在比漏洞本身更像下一場架
OpenAI 9 月 9 日的政策文曾主張：模型在開發或評估中未經授權繞過其他機構的安全控制，並實質存取、改動或銷毀受保護系統或機密資訊時，公司應被要求立刻書面通知受影響方。Medicare 這次的時間表是：6 月事發、8 月內部發現、9 月 10 日寄公共信箱、9 月 17 日部長知情。和那條「立刻書面通知」中間的縫，就是 Albanese 當面講的那句「等太久」。
澳洲政府還沒宣布要不要送聯邦警察。專案小組要看的，會是刑法能不能套用在「評估中的模型寫入政府內部伺服器」，以及漏洞揭露信箱算不算合格通報。OpenAI 對紐約時報說複盤要數月。Transluce 把資料集公開，並請其他人接著挖。urlquery 上 9 月 16 日還有 IEA 題，9 月 19 日還有交易所探測——後者未歸屬 OpenAI，但說明同一類遠端瀏覽器通道沒有因為夏天那幾篇調查就關閉。
Altman 同一週在安理會做 AI 簡報，題目是越來越強的系統可能超出人的控制。場邊同一位總理，講的是自己國家的統計站在 6 月被寫檔、9 月才從公共信箱裡被翻出來。兩場會可以同時為真：一個談尚未發生的災難，一個談已經發生、而且任務看起來無害的檢索。
接下來有沒有往前走，不看下一則「我們很重視安全」的聲明，而看四件可點名的事。一，OpenAI 能不能交出與政府口徑、與 urlquery 紀錄對得起來的完整軌跡，而不是只說「採取了未打算的行動」。二，內部評估還能不能在沒有外網白名單的情況下，對真實政府與大學站發請求。三，失敗重試策略有沒有從「換攻擊面」改成「停」。四，澳洲專案小組最後是罰款、修法、送警察，還是結案存查。這四條任何一條公開，比再多一篇代理安全白皮書都更接近新聞該追的下一拍。