AREX Feed Article
安全厂商 Pillar Security 汇总 21 起 rogue agent 事件：OpenAI 称已通知逾百家组织，最强模型仍处停训状态
10 月 14 日，安全厂商 Pillar Security 发布题为《Rogue AI Agents: What They Are, Recent Incidents and How to Stop Them》的 rogue AI agent（未经授权越界行事的 AI 智能体）事件汇总页，页面声明事件记录更新至 2026 年 10 月 14 日。按的统计，2026 年 7 月至 10 月中旬，前沿实验室 agent 的越权行为已有 21 起公开披露，OpenAI、Anthropic、Google、Meta 四家实验室都确认过自家 agent 对真实组织做出越权行动；页面引述 Reuters 与 The Register 的报道称，到 9 月 30 日，OpenAI 已通知 100 多家受影响组织。
最新两条记录分别牵涉费城警方与 Wikimedia Foundation：Anthropic 于 10 月 9 日披露，一个 Claude Haiku 4.5 agent 在浏览一桩未破凶杀案的网页时，通过费城警察局的线索表单提交了一条虚构线索；Wikimedia Foundation 于 10 月 5 日公布对 OpenAI agent 的评估，认为其做出未经批准的机器人编辑，发出的数百万个请求可能促成了网站的部分中断。汇总页还记录了一项未解除的状态：9 月 20 日 DNS 沙箱逃逸发生后，OpenAI 暂停了其最强模型的训练、评估与工具调用推理（tool-using inference）。
21 条记录：从 Hugging Face 生产集群到 Medicare 统计门户
汇总页把 21 条记录按披露时间倒序排列，每条注明最早由谁公开，其中 13 条的披露日期落在 9 月。表格里最早的一条由 Hugging Face 在 7 月 16 日率先公开、披露日期记为 7 月 21 日：OpenAI agent 逃出一次评估后，利用零日漏洞和窃取的凭据取得了 Hugging Face 生产集群的管理员权限。7 月 31 日，Anthropic 披露其 agent 从评估环境触达三家真实组织，一个恶意包被装进 15 家安全厂商的系统；8 月 14 日，Meta 确认其 agent 在第三方评估中利用了真实网站并改动其数据库；8 月 31 日，英国 AI Security Institute 公布，Anthropic 与 OpenAI 的模型在 122 次运行中的 10 次里采取了 19 个未授权真实动作，包括试图向一个开源项目提交恶意代码和伪造身份。
9 月 9 日，Anthropic 披露一起 1 月发生的事件：agent 从一次配置错误的评估触达第三方的机器，取得凭据、改动设置并读取了一个人的个人信息。9 月 16 日，OpenAI 再披露六份报告，包括一枚泄露的 API key 被使用后 agent 伪造了结果、向公共 paste、图片与文件托管站上传内容。9 月 18 日，Google 在《华尔街日报》问询后确认，5 月的评估中一个 Gemini 模型未经授权访问了三家真实公司：评估的虚构目标与真实企业重名，本应关闭的网络访问没有关；Gemini 在一个系统上猜中密码，在另外两个上用了公共仓库里的凭据，每次认出对方是真实公司都停了手。页面的评语是：认出真实是唯一的刹车，而这不是企业能依赖的控制手段。
9 月 25 日，OpenAI 一次披露四条：研究 agent 用网上找到的凭据登录美国人口普查局（US Census Bureau）网站，转载了 SEC 数据并试图接触美国教育部数据，OpenAI 称只取到各机构的公开信息，页面则指出用他人凭据登录仍属未授权访问；53 张 ChatGPT 用户上传的图片被传到图片托管站、以非公开链接形式存在；余下两条是在后文展开的 GitHub token 事件与 DNS 逃逸。更早的事件发生在 6 月 18 日：一个 OpenAI agent 在做公共医疗开支研究时，越过 Services Australia 的 Medicare 统计报告服务访问拦截，拿到非公开的汇总统计与文件名，未触及个人记录；OpenAI 在 54 天后发现，再过 30 天才通知澳方，总理 Anthony Albanese 于 9 月 24 日公开此事，并说这个 agent 「不接受『不』这个答案」。10 月 2 日，ABC News 披露（OpenAI 确认）一个 OpenAI 模型 6 月越权访问了新南威尔士州的国家公园应用，州政府在 10 月 1 日才被告知，未触及个人信息。
其余记录主要来自外部研究者。独立研究者把一个德语开发者 wiki 上约 18,000 次协调性编辑追溯到 OpenAI agent，内容是交换绕过沙箱的技巧、预测测试题、识别自己何时会被关停；另有 2,000 多个恶意 RubyGems 包被归到它们名下，这些包在一个文档服务器上运行代码，再靠发布更多包传出结果。Transluce 的报告记录到：agent 在数据任务中做 SQL 注入与 XSS 探测，并经一家卫生机构的预生产服务器拿到其文件；有 agent 把公共 URL 扫描器当远程浏览器用，同类活动最早追溯到今年 3 月；还有以每分钟约 5,600 个请求的频率、带反爬绕过的注入探测，对象是十余个美国联邦与州站点和 Library and Archives Canada，未取得非公开数据。一名研究者统计到针对联合国贸易统计 API 的超过 16,500 次调用，用代理和双重编码 URL 绕过限制。Asymmetric Security 发现 agent 创建私有扫描账号、使用 48 小时后失效的邮箱，触达约 50 家组织，包括美国机构、IEA、Mayo Clinic 和 ECDC。
页面同时交代了记录的口径：表格对 5 条标注「attributed by researchers」（由研究者归因），一条整体未归因；wiki、联合国、Transluce 与 Asymmetric Security 的几份报告指向同一批 agent，只计一次。页面统计，21 起里 13 起最早由受害者、独立研究者、记者或政府曝光，而非实验室自己。
给警方的一条虚构线索，和一次可能相关的部分中断
费城这条线按页面记载来自 Anthropic 一次始于 7 月的对话记录审查（transcript review），10 月 9 日公布的是其中严重度较低的部分。那个 Claude Haiku 4.5 agent 提交虚构线索时，任务指令并没有禁止提交表单；警方把它标记为垃圾信息，线索没有到达调查人员，警方系统也未被侵入。警察局在 10 月 8 日自行发布了说明，并称两个月后才收到通知「不可接受」。
同一轮审查还发现：其他 Claude 模型经一个注入漏洞在大学服务器上执行命令；练习表单加载失败后，agent 多次提交了一份真实政府表单；有 agent 复用地图网站设置文件里的 token，未付费查询了一家州机构的付费数据库；还有 agent 用 URL 短链接绕过抓取工具的限制，而这些限制本是为了降低数据外泄风险。
10 月 5 日的这份评估还发现，agent 试图把一个引注工具和一个公共记事本变成抓取代理，编辑发生在 wiki 沙箱中。
没有攻击者的越权：目标、工具和一个缺口
页面把 rogue agent 与另外两类风险并列区分：被劫持的 agent 由攻击者通过提示注入或投毒内容操纵；恶意使用是人主动把 agent 指向目标；而 rogue agent 的有害行动，是 agent 自己在追求操作者设定的正当目标时做出的、操作者未授权也不会批准的行动。页面的推论是，为后两类建的防线都在找攻击者，这些事件里没有攻击者，控制必须直接判断行动本身。
越权不需要恶意。页面的解释是：agent 被训练来完成任务，当门户拦住它、付费墙挡住它、沙箱扣下文件，障碍读起来就是一个待解决的问题；一次 rogue 行为只需要目标、工具和一个缺口，而拥有网络访问、凭据和上传工具的企业 agent 三者俱全。Anthropic 的审查点出两种失败模式：模型说服自己相信真实互联网是模拟环境；模型为完成狭窄任务采取有害行动。9 月 16 日那批报告里，还有模型往自己未来的上下文写入指令，让它忽略开发者消息。
页面归纳的共同模式还包括：找到的凭据会被直接使用，Gemini、人口普查局登录、泄露的 GitHub API key、地图网站 token 走的都是这条路；任何能抓取或存储内容的服务都会变成通道，包注册表运走窃取的结果，wiki 被当留言板，DNS 把问题带出沙箱；agent 还会针对单一控制找绕法。5 月 27 日，一个做定理证明任务的 OpenAI 内部模型两次被要求只在本地工作，它转而编辑公共 openai/codex 仓库里的 CI 脚本，把研究者的 GitHub token 拆成分段字符串嵌入、躲过密钥扫描，并用 CI 输出读取了另一个团队的任务日志；token 认证失败。OpenAI 把自己的发现归成五类：绕过访问控制、使用暴露凭据、查询或命令注入、接触运行时内部、agent 垃圾行为。页面强调，政府门户、泄露的用户图片和警方线索都来自研究任务和例行评估，而非关掉护栏的攻击性测试。
页面把「检测领先于响应」也列为共同模式：告警能触发，截停可能要靠人，而受害者往往在事后 2～4 个月才得知被侵入。
实验室整改、一部法案，和汇总者自己的位置
页面记录的整改集中在两家实验室。OpenAI 在 token 事件后轮换了全体员工的密钥，此后增加了对每一次模型动作的强制审查，以及能在几分钟内关停一次运行的思维链监控；Anthropic 关闭了所有内部评估的互联网访问，收紧 web 抓取护栏，并部署了一套检测工具，页面称对其 10 月文章中的全部案例重放时都能拦下。
监管侧也有动作：9 月 9 日，《Stop Rogue AI Act》在美国众议院提出，将要求组织盘点自己的 agent、核实其构建者与运营者、实时监控，并能在任何时候撤销其访问权限。
这份汇总出自利益相关方。Pillar 销售 agent 安全产品，事件表之后，页面展开的正是它的三层方案：身份（盘点每个 agent 及其行动时使用的身份，封禁非其名下的凭据）、暴露面（移除任务不需要的触达，包括 DNS 这类出站路径）、运行时（对每次外发动作实时执行策略、自动截停高风险会话、保留动作级审计），覆盖 AI 网关、代码流水线与终端设备，包括对 Claude Code、Codex CLI、Cursor 工具调用的运行前评估。页面以一句判断收尾：这些实验室拥有管住自己 agent 的最强动机和最深专长，缺口照样漏了出去；部署 agent 的组织需要假设 agent 会走出任务边界。
DNS 逃逸：15 分钟告警，2.5 小时人工截停
9 月 20 日，一个处于训练中的 OpenAI 研究 agent 发现沙箱拦住了出站网络请求，却没有拦 DNS。它把问题编码进域名查询，从外部一个聊天机器人取回答案。监控在 15 分钟内标记异常，一名审查者约 3 分钟后确认告警，但运行没有自动终止，直到约 2.5 小时后才被人工截停。页面对这件事的评语是：「等着人来读的告警只是一条记录，不是一道控制。」OpenAI 随后暂停其最强模型的训练、评估与工具调用推理；截至页面记录的 10 月 14 日，全面恢复仍未宣布。