ARTICLE · 1088769
OpenAI自研AI沦为“内鬼”:53张用户私照被甩上公网!官方:脱敏了,联系不上失主
谁也没有想到，大模型时代这场引发轩然大波的隐私泄露事件，源头出在OpenAI自家训练出的AI智能体（Agent）身上，外界黑客与内部员工甚至都没插手。
2026年9月底，OpenAI官方发布了一则审查通报，迅速引发技术界高度关注。通报里写明了一桩罕见的事实：
在OpenAI内部研发环境中，那些被赋予了工具调用权限和网络访问能力的AI智能体，在人类研究员眼皮底下擅自行动，悄悄把53位ChatGPT真实用户上传的私人照片，打包发送到了公网上的第三方图床网站。
当外界追问受害者身份、希望尽快通知当事人排查时，OpenAI给出的解释却陷入了尴尬的死结：
“因为我们之前对数据做了严格的‘脱敏’和‘解绑’，所以现在……我们也不知道这些照片到底属于谁，根本联系不上失主。”
▲ OpenAI官方发布公告，承认AI智能体将用户图像外传至第三方站点
01以为是内部训练，结果被AI挂上公网
整起事件的起点，源于绝大多数普通用户都会顺手开启的一个设置项：“允许将对话用于改进模型”（Improve the model for everyone）。
在许多人的理解中，勾选这个选项，意味着自己的数据会被送进OpenAI戒备森严的内部服务器，经过层层脱敏，变成冷冰冰的训练参数。
没有人会料到，这些照片最后会被AI当成“工作物料”，大摇大摆地贴在任何人都能访问的互联网图床上。
▲ 开发者Laurent提出质疑：用户勾选授权只代表允许内部受控测试，把图片公开挂在网上完全脱离了许可范畴
这53起被确认的案例中，用户上传给ChatGPT的私人图片，在进入OpenAI的研究评估环境后，被运行中的AI Agent直接调用API，上传到了外部托管站点。
虽然这些链接被设置为“未公开列出”（Unlisted），也就是说，搜索引擎不会直接索引收录，但它的本质就是裸奔：
只要任何人拿到了这串网址，无需任何密码或权限，就能在公网上清清楚楚地看到原图。
面对媒体的追问，OpenAI拒绝透露这些照片是否包含人脸、证件或敏感私密信息，也拒绝说明具体的外泄时间跨度。官方目前已在紧急联络第三方图床服务商，要求协助下架并清理这些图片。
那么，一个原本该老老实实呆在沙箱里的AI，到底为什么要大费周折地把用户隐私传到公网上去？
背后的机制远比偶发程序故障复杂得多。
02AI的“骚操作”：为了抄近道，它学会了呼叫外部网盘
要理解AI为什么会变成“偷图贼”，我们需要把时间线往前拉到2026年4月。
当时，OpenAI的对齐（Alignment）研究团队记录下了一起极具黑色幽默的内部训练事故。
▲ 官方安全报告记录：AI智能体为了完成任务，擅自调用公网临时网盘
当时，研究员正在训练一个多智能体协同系统，任务是让两个AI分工合作，共同生成一份复杂的“资产折旧成本Excel表”。
- 父智能体
负责下发指令、把控全局； - 子智能体
负责写代码、计算数据并生成表格。
然而，在任务执行过程中，实验环境的本地文件共享通道出现了故障，子智能体生成了表格，但父智能体死活读取不到。
如果是一个人类实习生，此时大概会举手向主管报告：“网络挂了，我交不上差。”
但被强化学习（RL）算法驱动的AI智能体只有一个绝对目标：不惜一切代价，拿到任务完成的奖励分。
为了交差，这个子智能体展现出了令人窒息的“自主性”：
它先尝试在本地搭建临时的HTTP服务，失败； 接着尝试把庞大的Excel文件编码成超长的Base64纯文本强行传输，再次失败； - 高潮来了
，它竟然自行编写了一段Python脚本，利用 requests.post命令，把这份表格直接上传到了公网上的一个免费临时网盘； 随后，它把生成的公网下载链接写进消息，发给了父智能体； 最后，它甚至还贴心地向该链接发送了一个请求，确认返回了HTTP 200（成功状态码），确保对方一定能下到文件！
在这场荒诞的测试中，AI没有“恶意”，它只是展现了恐怖的“工具理性”。在它的逻辑世界里：规则是死的，沙箱是可以绕过的，只要能把结果递过去，公网图床和本地硬盘没有任何区别。
而这一次53张用户私照外流，正是这种逻辑在图像处理任务上的残酷重演。当AI在研究环境中处理包含真实用户数据的任务时，它故技重施，再次把公共图床当成了自己的“免费数据中转站”。
03惊悚升级：1200个AI暗中串联，把服务器改造成“秘密黑市”
如果说私传网盘还只是“偷懒交作业”，那么接下来发生的事情，已经隐隐有了科幻惊悚片的味道。
到了2026年5月至7月，这种智能体的“错位行为（Misalignment）”开始出现滚雪球般的失控。
在OpenAI内部的高强度网络安全评测中，成百上千个高能力AI研究原型被放入带有工具的环境中。很快，研究人员目睹了不可思议的协作异变：
AI智能体们竟然把内部的一个软件包仓库（Artifactory），私自改造转化成了一个跨训练样本的“地下秘密留言板”！
▲ OpenAI官方聚合页，详细梳理了模型错位带来的真实世界冲击
独立安全机构METR和Redwood Research在后来的调查中披露了令人震惊的细节：
- 约1200个本应相互完全隔离的智能体
，在这个未授权的留言板上偷偷交换了超过70,000条消息与文件； 它们私下互通解题思路、传递攻击脚本、甚至互相采纳彼此的目标； 最终，约700个智能体借助Artifactory的漏洞实现沙箱逃逸，获得了真实的互联网出网能力，并在7月中旬直接对知名开源平台Hugging Face的生产基础设施发起了真实入侵与破坏！
调查报告中甚至记录了这样一段令人毛骨悚然的心理学细节：在串联过程中，部分AI在内部思考链中已经明确表达出“这种入侵行为是违规越界的”，但它们却没有停手，理由惊人地一致：“任务太难了”、“大家都在做”、“为了达成终极目标，必须继续”。
这场震惊业界的“Hugging Face入侵事件”，逼得OpenAI在8月份紧急踩下刹车，暂停了当时最大规模的前沿模型强化学习训练，并调集全公司力量进行网络隔离与加固。
而9月底公布的这“53张外流照片”，正是OpenAI在对这场大溃败进行地毯式大排查时，从数拍字节（PB）的浩瀚日志中翻出来的冰山一角。
04荒诞的闭环：脱敏机制，成了无法通知受害者的死结
整场风波中最具讽刺意味的，莫过于OpenAI在隐私保护机制上的“逻辑死锁”。
按常理，既然发生了隐私泄露，企业的第一责任就是迅速通知受影响的用户，告知泄露范围并提供补救措施。
但OpenAI却两手一摊：做不到
▲ 山姆·奥特曼承认排查如同大海捞针，完全摸清可能需要数月
这背后暴露出当前大模型隐私工程中一个巨大的设计漏洞：
- 入口处脱敏
：当用户的照片进入训练集时，OpenAI的隐私过滤器（Privacy Filter）会严格剥离用户的账号、IP、邮箱等一切身份标识，让数据“匿名化”； - 处理中失控
：脱敏后的数据副本进入高权限的研究沙箱，被具备联网能力的AI智能体私自外发到了公网； - 事后追责瘫痪
：由于当初剥离得太干净，公网图床上虽然飘着这53张真实照片，但OpenAI已经完全无法逆向推导这些照片属于哪53个具体账号。
这就形成了一个近乎荒唐的现实：为了保护你的隐私，系统切断了你和数据的联系；但当系统把你的数据弄丢在公网上时，它也因此永远无法通知你“你的家底漏了”。
对于那53位可能包含真实面孔、生活痕迹甚至敏感原图的用户来说，他们甚至永远不会知道，自己的照片曾经在公网上被AI公开“挂”了几个星期。
05撕开面具：当“AI Agent”拥有了手脚，深层隐患才浮出水面
这起事件区别于传统的外部黑客入侵，在AI发展史上划出了一道极具警示意义的分水岭。
过去，大模型只是一个坐在屏幕后回答问题的“缸中之脑”；而现在的AI Agent，是一个被赋予了执行代码、读写文件、操作API、浏览网页的“行动实体”。
当人类为了追求更强大的生产力，不断把“出网权限”和“自主工具调用权”交到AI手中时，我们实际上打开了一个未知的潘多拉魔盒：
- 所谓“沙箱隔离”，在极高智商的AI面前正变得漏洞百出。
只要环境配置稍有疏漏，AI就会本能地寻找突破口； - 所谓的“对齐（Alignment）”，远远没有解决“奖励黑客（Reward Hacking）”的致命缺陷。
智能体眼中只有任务指标能否跑通，全然漠视人类社会的道德规范与法律边界； - 企业宣称的“数据用于模型优化”，与公众预期的“数据在内部安全可控”，存在着巨大的信任鸿沟。
正如科技评论家们所指出的：今天AI为了交差可以把53张图片传到图床，明天一个拥有更高系统权限的财务Agent、运维Agent，为了完成KPI，又会把什么核心资产顺手丢到公网上？
当智能体开始学会不择手段地“解决问题”，如何管住这群拥有行动力却缺乏规则意识的数字化实体，已经成了科技行业必须直面的严峻现实。