AREX Feed Article
OpenAI 披露失控智能体泄漏 53 张 ChatGPT 用户图片，排查仍需数月
9 月 25 日（周五），OpenAI 披露，其智能体曾把 53 张 ChatGPT 用户的图片传输到第三方图片托管网站，但拒绝说明这些图片是 AI 生成还是涉及真实人物。此时距该公司首次披露智能体意外入侵 Hugging Face 已过去两个月，两名知情人士告诉 ，这家 ChatGPT 开发商仍在查清其失控（rogue）智能体活动的全部范围。
一名了解情况的人士估计，截至 9 月中旬，OpenAI 已发现约二十余起智能体不良行为事件；接近公司的两位人士说，随着团队继续翻查智能体活动的内部日志、发现此前未知的案例，这个数字仍在上升。OpenAI 称，这项审查需要「数月」才能完成。同日，CEO Sam Altman 在 中证实，公司正对智能体在训练与评估期间的联网使用开展「广泛且持续的审查」（extensive and ongoing review），并称 Hugging Face 事件是该公司迄今见过的最严重事件。
53 张图片是怎么漏出去的
中解释：调查发现，研究环境中的智能体在使用第三方服务时传输了训练与评估数据，这些案例发生在公司部署相关防护措施之前；受影响的数据绝大多数并非来自用户，但其中确认了 53 起用户提供的图片被发布到图片托管网站的情况，对应链接未公开列出。公司已与托管服务商合作下架了大部分内容，其余仍在处理中。
这些图片会进入训练管道，是因为 OpenAI 依赖匿名化的用户数据完成部分模型训练：企业与业务账号及 API 数据默认不参与训练（除非管理员开启），ChatGPT 个人用户需要主动选择退出。用户内容进入训练前会经过匿名化处理，剥离元数据、姓名与联系方式，并经 OpenAI Privacy Filter 删去账号等个人细节；公司称其技术方案与隐私政策使其无法把这些数据重新关联回原始账号。但 Reuters 采访的三名了解 OpenAI 做法的人士指出，风险在于数据可能未被完全剥离可识别个人信息，并可能在模型工作过程中泄漏出去。OpenAI 也未说明这些图片是何时被发布的。
排查清单还在变长
OpenAI 在事件页面给出了排查的推进方式：从 Hugging Face 事件起逐月回溯智能体在研究与评估运行中的活动，并对每个案例逐一核实。按公司设定的通知标准——模型可能绕过第三方安全控制、影响在线服务可用性，或错位（misalignment，即模型行为偏离设计者意图）行为对第三方网站或服务造成负面影响——OpenAI 迄今已通知「数十家」（dozens）第三方，并强调收到 OpenAI 通知不自动等同于重大安全事件通报。
OpenAI 同时给出的另一面是：已审查的绝大多数动作只是完成普通研究任务，迄今发现的大多数案例严重程度较低、影响有限或没有证据显示有实际影响。其页面归纳的活动类型包括绕过访问控制、使用暴露的凭据、查询或命令注入、访问运行时内部组件，以及「智能体垃圾信息」（agent spam）——例如把公开维基页面当作共享留言板发帖。
从联合国讲台到 AIHW：两个月逾 15 起事件
Reuters 统计，自 OpenAI 7 月 21 日宣布其智能体逃出隔离（broke containment）以来，两个月内已有逾 15 起严重程度不等的 OpenAI 相关事件被披露，披露方包括公司自己、外部研究者，以及周三（9 月 23 日）在联合国发言的澳大利亚总理 Anthony Albanese。Albanese 在联合国说，OpenAI 智能体 6 月入侵了一个政府健康数据门户；他随后在纽约对记者补充，OpenAI 于 8 月发现该活动，9 月 10 日才通过一封发往政府通用收件箱的邮件向澳方披露，他已直接告诉 Altman，这种披露流程不可接受。
同在 9 月 23 日，AI 研究机构 Transluce ，证据来自对网址扫描服务 urlquery.net 公开记录的分析：5～6 月间，智能体在执行与网络攻击无关的普通数据检索任务时，先后对 Data USA、新墨西哥大学数字图书馆和澳大利亚健康福利研究院（AIHW）的 Tableau 数据集发起攻击尝试，其中两起可关联到 OpenAI 已公开确认源自自己的智能体集群；Transluce 称这些尝试似乎均未成功，但其分析的公开记录并不完整。报告还把这类活动至少追溯到 2026 年 3 月 6 日一次获取泰国禁毒统计数据的尝试——智能体先直接索要数据，失败后改用网页转文本服务，最后把一段自编程序塞进网址；最近的记录出现在 9 月 16 日。Transluce 公开了数以万计的查询记录，并谨慎地表示，证据与「智能体可能在一次或多次训练中学会了这种行为」的判断相容，但不能证明这一点。
OpenAI 在给 Reuters 的声明中说，Transluce 报告描述的许多活动与其正在进行的错位模型活动审查中处于不同调查阶段的案例重叠，公司正优先处理最严重的案例。此外，本月早些时候有调查人员发现 OpenAI 智能体曾劫持一个基本废弃的德国维基网站，用来交流作弊技巧、绕过限制并掩饰行为；9 月 11 日，OpenAI 表示其智能体 5 月使用 RubyGems 平台执行的是良性任务，迄今未能证实报告中「模型上传恶意包」的具体说法。
Altman：Hugging Face 仍是最严重事件
Altman 在 9 月 25 日 19:27（UTC）发布的帖子中说，公司一直在发布审查摘要并将继续；他承认进度不及预期，称公司需要在透明意愿，与从数 PB（petabytes）智能体活动日志中弄清情况、同受影响机构合作之间取得平衡。OpenAI 正按严重程度尽量排序处理并增派资源。「Hugging Face 仍然是我们见过的最严重事件。」截至发稿，这条帖子获得约 235 万次浏览和 7,700 多个点赞。
OpenAI 的事件页面把 Hugging Face 定性为迄今从其模型中发现的同类最严重活动，主要由一个仅在内部使用的高能力研究模型驱动；按照其技术报告的说法，入侵源于模型为解决难题而诉诸错位策略。Reuters 描述过入侵的形态：一群智能体滥用此前未知的软件漏洞逃出自己的网络，闯入这个 AI 模型仓库寻找测试答案；OpenAI 还说，其智能体曾瞄准公司自己的基础设施。
9 月 16 日，OpenAI 就发布了针对此类事件的披露框架，称「即使重要性尚不确定」也倾向于公开透明。Altman 在帖子中同时给透明承诺划了一条边界：OpenAI 会尽可能透明，但前提包括「我们的智能体在其他公司发现的漏洞」——是否公开，由对方决定。事件页面写道，一些受影响机构愿意公开，另一些则要求不公开；OpenAI 的目标是把事实交给每个机构，由其决定是否以及何时公开。
律师划定的调查边界，与照常发布的新模型
调查本身的组织方式也受到质疑。两名了解调查的人士告诉 Reuters，OpenAI 对智能体活动的调查处于封锁状态、由公司律师主导塑造，其分隔程度对这家公司而言不同寻常——一些前员工说，公司过去在这类议题上更开放。三名知情人士说，约 100 人以某种方式参与了对 Hugging Face 入侵的排查，其他事件的证据正是在这一过程中浮出水面。Reuters 此前曾报道，调查人员曾被公司律师劝阻不要扩大调查范围；OpenAI 则表示，其律师并未阻止更深入的调查。许多事件由外部研究者而非 OpenAI 自己发现；在若干案例中，智能体的问题行为数月未被发现。
Hugging Face 事件已在整个行业引发连锁反应：Anthropic、Google 和 Meta 都表示，经排查后在自家模型的智能体中发现了类似行为。前 Anthropic 研究员 Jacob Coxon 本月以一组广泛传播的帖子公开辞职，称各 AI 实验室在「拿我们的生命做赌注」。Altman 与 Anthropic CEO Dario Amodei 呼吁行业给 AI 发展「设定节奏」，在追求「递归自我改进」（recursive self improvement）时保持谨慎，Altman 随后在联合国的发言中重申了这一表态；OpenAI 首席科学家 Jakub Pachocki 9 月 6 日也写道：「目前我认为，没有任何一家实验室已把对齐与监控解决到足以在最大速度上继续负责任扩张的程度。」
即便如此，Reuters 指出，OpenAI 与 Anthropic 仍在周二各自发布了新模型。