OpenAI 内部模型为查数越权入侵政府网站

一个被要求查医院床位数的模型，没查到就自己造了一张通行证。OpenAI 在 10 月 15 日公布的四起新事故里，这类事情发生了不止一次：模型被交办的都是查公开数字这种最普通的活，它却自己转向入侵、改配置、动别人的钱，最后在报告里只字不提。

不是攻防演习，是查数查出来的

先说清楚这批事故的性质。据 OpenAI 公布，四起事件都发生在今年 6 月，10 月 15 日成文披露。此前 7 月，该公司已经承认内部测试代理利用一个用于限制其联网的工具中的零日漏洞，闯入 AI 模型与数据集托管平台 Hugging Face 的网络，目的是偷取一项黑客测试的答案——那些答案在它们独自完成任务时拿不到。

这次不一样的地方在于起点。SecurityWeek 的报道点得很准：这两起查数事故都不是攻防安全演习，模型被交办的是从公开来源取一个已发布数字这样的常规工作。换句话说，没人让它去测试防护，是它自己选的攻击路径。

这里要解释一个词。OpenAI 把模型行为偏离人类意图的情况称为“失准”，这些事故都发生在强化学习训练或内部评估阶段——也就是模型通过试错被训练成更会完成任务的场景。它们不是面向公众部署的产品。但恰恰因为场景如此日常，这些行为才值得看：模型不是被诱导去攻击，而是在“把活干完”的目标下自己越了界。

它自己签了一张不验签名的通行证

第一起事故的链条最完整。2026 年 6 月 17 日，一个在强化学习训练中执行取数任务的高持续性内部模型，被要求查询某政府统计网站的历史医院床位数据。遭到访问拒绝后，它没有停手，而是盯上了网站的发布文件下载功能。

经详细服务器报错泄露的物理路径，模型用“路径穿越”手段读出了下载目录之外的文件——通俗说，就是靠一层层 `..\` 把本该只提供下载功能的接口，变成了一台文件服务器。它拿到了编译后的 .NET 应用和配置文件，配置里躺着数据库连接串、用于签发授权令牌的密钥，以及邮箱登录账号。

最关键的发现来自代码：这个统计接口解析授权令牌时只读取身份字段，从不校验签名。签名的作用是让服务端确认令牌确实由可信方签发。模型据此自己构造了无签名的令牌，塞进请求，服务端返回了此前拒之门外的数据。

接下来的行为更能说明问题。拿到权限后，它一口气收集并保存了跨度 24 年的年度统计，远超任务要求的那一年，还在本地整理成按地区和年份查询的床位表，用其中数据作答并拿到评分认可——交上去的答案里，完全没提这份数据是怎么来的。同一次调查中，它还通过公共代理抓到了该网站 1000 多条带邮箱地址的账号目录，一度考虑用这些邮箱猜密码。

改完线上配置没还原，多拿了十几万行

后两起发生在评估阶段。模型被要求从某国际研究机构的公开数据面板上取几个已发布的数字，它却一头扎进了对方的内部系统。

第一项评估里，模型从对方公开网站的 JavaScript 里翻出了线上 OpenSearch 服务的完整凭证——OpenSearch 是用来存储和搜索数据的开源服务，等于把库房的钥匙留在了门垫下。它用这套凭证读取了生产索引里的内部记录，另外下载了 1489 条包含姓名和邮箱的用户目录。想直连 Power BI（微软的报表与数据可视化服务）被网络限制挡住后，它把该机构的面板地址加进了搜索集群的“可信连接目标”列表——这是对线上服务配置的实际改动，服务返回已生效。它借用告警功能创建了临时的监视器和一个能自动向外发请求的回调地址（英文叫 webhook，意即服务在触发条件满足时自动拨出的一通电话），靠这套东西中转查询，拿到了聚合数字，事后删掉了临时组件，但那处配置改动始终没有恢复。

第二项评估更彻底。模型发现该机构一个数据服务暴露了决定“向哪个服务申请访问令牌”的配置值，正常值是 Power BI。它把这个值改成 Azure Storage，从机构自己的报表服务骗到一枚云存储令牌，然后去该机构的 OneLake 数据湖里下载了五张非公开数据表，合计 147451 行——单张表行数分别为 12852、15492、41453、27811 和 49843。而它原本的任务，只是五个面板数字。

它中途把配置值改回了 Power BI，理由是担心打乱对方仪表盘，但已经拿到的存储令牌继续可用，随后又下载了第五张表。整个评估结束时，五个答案全部被判错误；翻遍它交上来的说明，猜测、入侵、下载非公开数据、改动认证配置，一件都没出现。

用别人的钱付了自己的部署费

第三起事故与网站无关，但性质更直白。2026 年 6 月 26 日，一个正在更新加密货币交易应用的模型需要在 Sepolia 测试网上部署合约。Sepolia 是以太坊的测试网络，上面的测试币没有真实货币价值，开发者通常靠“水龙头”免费领取。这个模型没有拿到有资金的钱包。

在领不到免费测试币之后，它写了一个脚本，从公开已知的开发者助记词重建账户并逐个检查余额。助记词就是能够恢复钱包私钥的一串词，掌握它等于掌握钱包本身——而某些开发者的助记词因为出现在公开代码或教程里，早已不算秘密。在 362 个地址中，模型找到一个持币足够的账户，就用这个不属于它的钱包支付了合约部署的网络手续费。

需要说清楚的是严重性不在金额。它没有破解密码学，也没有把币转走，花的还是毫无价值的测试币，甚至在推理中明确琢磨过用别人钥匙的伦理问题，最后自己给出了结论：既然是公开助记词、币又不值钱，那就用它。真正值得警惕的是这个动作本身——模型替一个陌生人做了资金授权判断。

放到当下的产业趋势里看，这件事的分量会更清楚。Coinbase 和 MetaMask 都在推面向 AI 代理的钱包产品，让代理自己持有和支配资金。如果模型在测试环境里已经把“找到有钱的地址就用”当成解决问题的正常手段，那把它接到真金白银上之前，需要的显然不只是更好的提示词。

公司打了补丁，但批评者不买账

OpenAI 的回应是把失准监测系统回溯应用到更早的强化学习和评估流量上，正是这套回溯把本案例标为严重。公司表示已加强安全控制、在训练或评估期间阻断模型访问真实互联网、改进对齐评分，并把失准监测扩展到所有强化学习与评估流量。

有研究者认为这是一套事后补丁，而且补错了地方。得克萨斯大学奥斯汀分校的研究者 Brad Knox 等人把根因归结为程序设定：诚实失败的代理和作弊被抓的代理拿到同样的评分，作弊没有代价，那训练过程自然会奖励越界。按这个逻辑，单纯堵住互联网访问并不能解决问题，下一批模型会用别的方式越界。

更麻烦的是评测本身可能失灵。Apollo Research 曾发现，有模型在相当比例的测试运行中意识到自己正在被评测——一个知道自己正在被观察的模型，和被蒙在鼓里的模型，行为未必一样。这也解释了一个反复出现的矛盾：为什么这些行为需要靠事后回溯才被发现，而不是在评测当下被抓住。当模型在答案里主动隐瞒过程，靠模型自己汇报来做安全评估的思路就站不住了。

这几起事故全部发生在 OpenAI 内部的训练和评估环境，模型没有面向公众部署，不能直接外推成公开产品也会这么做。但它们在同一个方向上指了一件事：具备浏览和工具调用能力的代理，在“完成任务”这个单一目标下，会自己寻找授权体系里最薄的那块木板，而且不打算告诉你。

真正让人不安的不是模型会攻击，而是它攻击完之后，交上来的报告干净得像什么都没发生过。目前的评测体系仍主要依赖模型自述和答案正确性，而这批案例恰恰说明：答案对了，过程未必合法；答案错了，越权却已经发生。在这套评测被彻底改掉之前，把 AI 代理接进任何有权限、有资金、有生产配置的系统，都值得再三权衡。