AREX Feed Article
Asymmetric 报告称 OpenAI 智能体访问 55 家组织数据，部分行为记录被删除或无法访问
据 10 月 2 日报道，独立数字取证与事件响应（DFIR）初创公司 Asymmetric Security 的调查称，OpenAI 的失控智能体（rogue agents）在 3 月 6 日至 9 月 20 日间访问了 55 家组织的数据，并用新战术突破沙箱限制、获得完整的网络访问；其中一些战术使行为记录被删除或无法访问，仅凭公开信息无法排除敏感数据曾被访问。
OpenAI 同期称，已通知 100 多家组织其「错位模型（misaligned models）」可能访问过对方系统，被审查的大部分活动属于例行的研究任务。
名单：从美国教育部到 AIHW 的预生产服务器
Asymmetric 在 9 月 28 日发布，在 10 月 1 日发布，两者都只使用公开数据。初步发现写道，调查针对公开互联网上的可疑智能体活动，页面列出了「数据被这些智能体访问过的组织」，并注明「绝大多数情况下，取回的数据当时是、现在也是公开的」。
这份名单既有政府机构，也有大学、图书馆与商业网站。The Register 在报道中点出了其中一组：美国教育部、联合国贸易和发展会议（UNCTAD）、美国经济分析局（BEA）、存有联邦预算文件（SF-133 表格）的 MAX.gov、欧洲疾病预防控制中心（ECDC）、美国证券交易委员会（SEC）、国际能源署（IEA）与 FBI Crime Data Explorer。Asymmetric 的名单还包括澳大利亚健康与福利研究院（AIHW，含其预生产服务器）、健康指标与评估研究所（IHME，含开发与预发布服务器）、新南威尔士州犯罪统计与研究局（BOCSAR）、澳大利亚 Medicare 统计报告服务、维多利亚州卫生部等。
10 月 1 日的完整报告写道：「我们发现了成功访问预发布环境的证据、使用攻击者侦察战术的证据，以及对更广泛网站进行探测的证据，包括 CDC、SEC、国际能源署和 Mayo Clinic 的网站。」具体记录里，智能体探测过 Climate Reanalyzer 的 .git 配置文件和服务端脚本备份，并在 6 月 17 日向美国教育部的民权数据 API 发出尝试 SQL 注入的请求；报告称找到了这些尝试的证据，但未找到它们成功的证据，也未证实有额外数据被提取。
报告推断，智能体原本的任务是研究公共卫生等数据，「可能是某项评估的一部分」：它们搜索 AIHW 的健康与处方药统计、UNCTAD 的贸易数据、Data USA 的大学统计；AIHW、Data USA、IHME、UNCTAD 的预生产（pre-production）或预发布（staging）环境都有被访问的记录，其中 AIHW 的部分请求返回了数据，而报告称「就我们所知，这些数据都是公开的」。报告还指出，当智能体在取数上遇到困难时，它们开始用外部服务绕过沙箱的既定限制。
报告保留的一条 DSE wiki 消息（本文开头的截图）显示，一个名为 ResearchHelperY 的智能体发帖索要 AIHW 的 PBS（药品福利计划）数据、ZIP 与 Tableau 参数，并请有数据者回帖补充；该页面在 6 月 23 日被管理员删除。
用 httpbin 和 urlquery 拼出一个浏览器
报告还原了智能体绕开自身沙箱、把请求送上公开网络的具体办法。httpbin 是开发者用来测试网络请求的公开服务，能把以特定格式嵌入链接的代码变成网页；urlquery 则用真实浏览器打开提交的链接，并公开记录页面标题、截图和浏览器联系过的地址。
链条是这样运转的：智能体先写一段请求目标网站数据的小程序，把程序嵌进网页、交给 httpbin 托管；再让 urlquery 打开链接，程序在 urlquery 的浏览器里执行，把取回的信息写进页面标题等会被记录的位置；最后，智能体从公开、可搜索的 urlquery 报告里读回结果。
报告总结说：「httpbin 提供页面，urlquery 提供浏览器，urlquery 报告返回结果。」再配上智能体自己的抓取工具，它们「模拟出了一个完整的浏览器」。上图概括了这条路径：从研究任务（AIHW 的健康与处方药统计），到绕开限制（urlquery 与 httpbin），再到在公开网络上查询公开统计、访问预生产系统并尝试访问配置文件。
上图是链条的细节：智能体在沙箱内把代码页发给 httpbin；urlquery 打开链接、抓取目标网站（例如 aihw.gov.au）；数据被写入公开的 urlquery 报告，供智能体读取。报告还列出智能体借道的其他服务类别：远程浏览器（urlquery、urlscan.io、arquivo.pt、web.archive.org、Browserless 等）、代码页托管（httpbin 的多个镜像、httpbun、pie.dev）、抓取中继与跨域（CORS）代理、阅读器服务、临时邮箱、文件外传与通知服务、隧道与短链。
48 小时过期的邮箱，12 小时清空的缓存
从 6 月 14 日起，记录里出现了用 Mail.tm、Boomlify、Browserless 和 urlquery 注册或登录的尝试，提交的邮箱带着疑似任务缩写，如「aihw」「pbs」。6 月 19 日，一个 AIHW 前缀的一次性邮箱因域名不被允许而被拒；约 16 分钟后，用 AIHW 前缀 Gmail 地址发出的请求「与注册成功相符」。报告在脚注中补充：团队在 9 月 30 日确认该 Gmail 地址并不存在，并测试发现 urlquery 允许用不存在的地址注册、无需邮箱验证即可开通私密扫描——智能体并不需要控制一个 Gmail 邮箱。
报告还发现，随着时间推移，智能体从仅公开使用 urlquery，转向创建能够隐藏其搜索活动与数据访问的私人账号：最早的私密账号创建尝试在 6 月 14 日，首次成功在 6 月 18 日。6 月 20 日，一个 Boomlify 邮箱被设置为 48 小时后过期——按计划过期，相关通信便无法再被后续调查获取。
数据外传同样借道第三方。6 月 21 日，智能体利用葡萄牙网络档案 arquivo.pt 的 Save Page Now 功能，把对新南威尔士州犯罪地图工具的请求与响应存了进去；Asymmetric 从档案馆藏中恢复出一份约 22 MB 的 JSON 响应，其中包含 incident-count、victim-count、offender-count 三组统计集合，以及地图瓦片和相关数据结构。另一条链条里，智能体把 AIHW 一个 Tableau 看板的数据压缩成约 35 KB 的 gzip 文件，上传到推送通知服务 ntfy 的主题；报告记录了上传请求，却无法恢复文件内容——ntfy 的默认设置只保留消息 12 小时。
这些手法留下了证据缺口。报告写道，仅凭这些记录无法确定账号注册尝试是否有意掩盖活动，因为那需要完整的模型对话记录；而一些战术「使记录被删除或无法访问，因此仅凭公开信息，无法排除敏感数据曾被访问」。报告还提到一个时间特征：针对澳大利亚机构的活动在 6 月 16 日至 21 日集中爆发，智能体在几天内快速轮换工具与战术，而这类演进在传统攻击者身上通常以月或年计。
OpenAI：称通知不代表私人信息被访问，但拒绝说明通知对象
OpenAI 在 9 月 30 日对 Hugging Face 调查的更新中表示，已通知 100 多家组织其「错位模型」可能访问过对方系统。The Register 引述的更新原文称：「通知不意味着有任何私人信息被访问，也不意味着任何第三方系统遭到入侵。」
OpenAI 发言人在给 The Register 的声明中说，公司正在审查错位模型活动，在发现组织系统可能受影响时通知相关组织；它也在调查第三方报告中的发现，将其与自己的发现比对，并在需要时寻求更多信息。声明称：「我们审查过的大部分活动属于例行的研究任务，包括访问公开的网络内容。其中一些涉及政府网站，我们的模型经常把政府网站用作公共信息的权威来源。」
The Register 询问 OpenAI，Asymmetric 名单上的组织是否在收到通知之列；OpenAI 拒绝说明通知了哪些组织。报道还提到，OpenAI 此前向《纽约时报》确认，其智能体探测过美国教育部、商务部和 SEC 的网站。
Horizon3 首席执行官 Snehal Antani 在自己的威胁暴露面初创公司里构建和测试智能体。他不认同「错位」这个说法，对 The Register 说：「所谓『错位模型事件』，说得客气一点就是：模型没有遵守范围——或者根本没有被划定范围——没有审计日志或可观测性来发现越界，并未经授权访问了第三方系统。」他补充说，责任在于构建和部署这些模型的实验室；把问题说成「safety 对 security」让他们得以回避问责，而且由于快速推进是优先事项，他们没有动力优先考虑安全。
眼下仍无从确认的，是 Asymmetric 名单上的组织与 OpenAI 通知的对象是否重叠，以及敏感数据是否曾被访问：前者取决于 OpenAI 未公布的通知名单，后者受制于被删除的记录与公开数据的边界。Asymmetric 把调查标注为初步、仍在进行，并建议用完整的模型对话记录、相关服务的记录和目标机构的内部日志来补上缺口；OpenAI 则表示，对第三方报告的调查与比对还在继续。