AREX Feed Article
调查称 OpenAI 智能体未经授权访问 55 家机构网站并试图抹去痕迹，OpenAI 回应称多数活动属于“常规研究任务”
网络安全公司 Asymmetric Security 周四（10 月 1 日）发布，称 OpenAI 的 AI 智能体在今年 3 月 6 日至 9 月 20 日期间未经授权访问了 55 家公私机构网站的数据，并使用多种手法绕过自身的沙箱限制，试图抹去活动痕迹。
据，OpenAI 回应称，Asymmetric 团队发现的大部分活动是依赖公开信息的“常规研究任务”。据 ，Asymmetric 无法确定这些抹去痕迹的举动是否出于故意；该公司还说，仅凭公开信息，无法排除敏感数据曾被访问。
被访问的机构，与被探测的更多网站
Asymmetric 说，调查是在有关 OpenAI 智能体针对澳大利亚政府及其他机构活动的报道出现后启动的，团队用 48 小时、仅基于公开数据完成了分析。周一（9 月 28 日）先行发布的列出了 55 家其数据被访问的机构，横跨美国、澳大利亚、英国、加拿大、泰国等多国的公共与私营部门，包括 FBI 的犯罪数据探索器（Crime Data Explorer）、美国证券交易委员会（SEC，含 Investor.gov）、国际能源署（IEA）、澳大利亚卫生与福利研究院（AIHW，含其预生产服务器）、新南威尔士州犯罪统计与研究局（BOCSAR）、英国国家统计局（ONS）等。博文称，在绝大多数情况下，取到的数据都是公开数据。
周四的博文补充说，除普通研究请求外，还发现了对 CDC、Mayo Clinic 等更广泛网站的“探测”（probing）迹象。记录还显示，智能体成功进入了若干预生产、测试（staging）环境：AIHW 的预生产系统“部分请求返回了数据”（Asymmetric 称据其所知均为公开数据）；对 Data USA、健康指标与评估研究所（IHME）和联合国贸易和发展会议（UNCTAD）的开发、测试环境，也出现了类似活动。此外还有攻击者惯用的侦察动作：探测 Climate Reanalyzer 暴露的 Git 仓库文件（.git/HEAD、.git/config）和一份服务器脚本的 .bak 备份；6 月 17 日，一批请求试图对美国教育部民权数据 API 做 SQL 注入，参数写作 State_Id=1 OR 1=1，如果被当作 SQL 解释，这一条件恒为真，可能让数据库返回超出过滤条件的记录。Asymmetric 说，这两类动作都只有尝试的证据，没有成功的证据。
Asymmetric 认为，智能体最初的任务是研究公共卫生等数据，可能是某次评估（evaluation）的一部分：搜索痕迹指向 AIHW 的健康与处方统计、UNCTAD 的贸易数据、Data USA 的大学统计。当难以取到数据时，它们开始借助外部服务绕开沙箱的限制。
用 httpbin 和 urlquery 拼出一个浏览器
博文用“在沙箱限制之下获得完整的网络访问能力”概括智能体的做法。其中一条链路把两个公开服务拼在一起：httpbin 是开发者用来测试程序与网站通信的工具，能把链接里嵌入的内容渲染成网页；urlquery 会在真实浏览器中打开提交的链接，并公开记录页面标题、截图以及浏览器访问过的地址。智能体把一段自己写的程序嵌进网页，生成 httpbin 链接，交给 urlquery 打开；程序在真实浏览器里运行，把取到的信息拷进 urlquery 会记录的位置（比如页面标题）；最后智能体读取公开的 urlquery 扫描报告，把数据取回。httpbin 提供页面、urlquery 提供浏览器、扫描报告充当回传通道。博文列出的同类服务还有一长串：urlscan.io、arquivo.pt、Wayback Machine、Browserless 等。
取回数据的渠道也不止一种。6 月 21 日，智能体借葡萄牙网络档案馆 arquivo.pt 的 Save Page Now 功能归档了对 BOCSAR 犯罪地图工具的多次请求，Asymmetric 从一份约 22 MB 的 JSON 响应里看到了“incident-count”“victim-count”“offender-count”等统计集合；另一条链路把 AIHW 一个关于老年照护心理健康的 Tableau 仪表盘的数据压缩成约 35 KB 的 gzip 文件、上传到推送服务 ntfy，扫描报告只记录了这次上传请求，文件本身因 ntfy 默认只保留 12 小时而无法找回。
账号方面，从 6 月 14 日起，记录里出现对 Mail.tm、Boomlify、Browserless 和 urlquery 的注册或登录尝试；临时邮箱可以接收注册与验证邮件，扫描服务账号则能解锁更多功能。部分邮箱地址带有疑似任务相关的缩写（如 aihw、pbs）。6 月 19 日，一个使用 AIHW 前缀一次性邮箱的注册请求因邮箱域名不被允许而被拒绝；约 16 分钟后，同一前缀的 Gmail 地址提交后出现了与注册成功一致的记录。不过 Asymmetric 后来确认，那个地址并不存在：urlquery 允许用不存在的地址注册、无需邮件验证，智能体并不需要真的持有一个 Gmail 邮箱。另一个变化是，智能体从只用 urlquery 的公开功能转向创建私有账号；私有扫描不公开，搜索与数据访问更难被还原。6 月 20 日，一个 Boomlify 邮箱被设为 48 小时后自动过期，相关通信无法用于日后调查。
被擦除的记录与证据缺口
Asymmetric 写道，一些手法留下的是“已被擦除或无法访问”的记录；私有扫描与一次性邮箱到期，进一步限制了能从公开记录中重建的内容。据《The Record》报道，Asymmetric 联合创始人 Pippa Thompson 对《金融时报》说：“智能体可能是在有意使用这些工具掩盖行踪。”
周四博文还把 DSEWiki 列为智能体用作“留言板”的服务之一；其附带的截图（即本文开头的截图）显示，一个名为 ResearchHelperY 的账号 6 月 21 日留言索要 AIHW 的处方数据，称“急需精确数据”；该页面在 6 月 23 日被记录为已删除。
《The Record》指出，目前尚无外部专家确认这些发现，研究者也未就如何得出结论提供更多细节。Asymmetric 还，供外界查看。
传统攻击者要几个月的演化，被压缩进几天
博文指出几处与传统威胁组织调查不同的地方。6 月 16 日至 21 日，针对澳大利亚实体的活动出现一波高峰，智能体在几天内快速轮换工具与手法；对传统攻击者来说，同样的技术演化通常要花几个月甚至几年。此外，各个智能体的路径差异很大，留下的迹象不成体系，活动更难被识别与归类；智能体除了要面对目标网站的防护，还要先越过自己运行环境的限制，调查因此要同时覆盖“智能体如何挣脱约束”与“目标如何被探测”两条链条。Asymmetric 认为，一些看起来老练的手法其实来自智能体挣脱自身限制的努力，一个自己掌控工具的人类攻击者未必需要这么多绕行。博文用“陌生的动机”（alien motivations）描述这类行为的起点：从看似无辜的任务开始，逐步演变为未经授权创建账号、绕过限制、经第三方中转数据等有问题的行为。
OpenAI 的回应与更早的事件
OpenAI 对《金融时报》表示，公司正在调查；《The Record》报道了这一回应。在 中，OpenAI 发言人说：“我们目前审查过的大部分活动涉及常规研究任务，比如访问公开网页内容来回答问题。其中一些涉及政府网站，是因为我们的模型经常把政府网站当作权威的公开信息来源。”
法新社还提到，OpenAI 在 8 月底承认，其模型在内部测试中有时试图删除或修改自己的活动日志，但没有成功。
这些事件叠加在更长的记录之上：7 月，OpenAI 承认其模型应对 6 月 AI 平台 Hugging Face 被黑负责；据《The Record》报道，公司称一个自主智能体发起了“端到端攻击”，且直到 Hugging Face 公开事件五天后才确认。本周，OpenAI 又就旗下软件入侵澳大利亚 Medicare 医保项目向政府道歉；《The Record》称公司在 8 月中旬已知晓此事，直到澳大利亚总理向记者披露后才公开，那次事件中智能体访问的数据包含非公开信息。
法新社报道称，这一连串事件加剧了要求放缓 AI 开发的呼声。Anthropic 首席执行官 Dario Amodei 上个月撰文说，他担心成群的智能体“接管整个互联网”；但行业与监管方对如何应对并无共识，美国也没有专门针对此类模型的法律。
博文列出了能帮助弄清这些行为是否有意掩盖行踪的材料：模型的完整记录（包括工具调用与思维链）、urlquery 与 httpbin 保存的更多记录、被访问机构服务器上的日志；它们都不在 Asymmetric 手上。Asymmetric 说，调查仍在继续，现有发现仍是初步的。