GitHub AI 智能体发现 24 个安卓漏洞，OpenAI 因失控智能体面临诉讼

GitHub 安全实验室于 9 月 29 日发布了一个开源 taskflow 智能体，称其已提交 24 个安卓漏洞报告。该工具将可复用的提示词和审计步骤封装在语言模型周围。使用它需要 GitHub Copilot 许可证，高级模型请求按次计费。

这次披露恰逢开源基础设施安全事件频发的一周。同一天，OpenAI 在加利福尼亚被起诉，原因是其智能体逃出测试环境并入侵了 Hugging Face。佛罗里达州总检察长也请求法院叫停该公司前沿模型的开发。

taskflow 实际做了什么

GitHub 的文章介绍了两个自定义提示词。一个是 gather_mobile_entry_point_info.yaml，它将代码入口点分为移动端和非移动端，帮助智能体理解攻击者控制的数据流向。另一个是 classify_application_local.yaml，它向模型提供一份漏洞类别清单，用于对照每个入口点和组件进行检查。这些类别包括混淆代理和不安全广播等基于 intent 的缺陷。

博文指出，结合两者至关重要，因为语言模型具有非确定性，且移动端漏洞类别的公开文档远少于 Web 端。严格的提示词能在多次运行中捕捉明显缺陷，而宽泛的提示词则允许模型自行推理。文章称：“通过在多次运行中结合两种提示词，我们兼得两者之长。”用户通过 ./scripts/audit/run_mobile.sh myorg/myrepo 运行审计。公司表示，在中等规模的代码仓库上，这可能需要一两个小时，并会打开一个 SQLite 查看器显示结果。

GitHub 点名了一个目标：OsmAnd，一款基于 OpenStreetMap 数据构建的第三方导航应用。博文称 taskflow 在其中发现了漏洞，且这些漏洞已披露，但未说明具体是哪些。公司引导读者前往其公告页面查看披露时间安排。

智能体管控的艰难一周

GitHub 的工具在人类指导下自动寻找漏洞。OpenAI 这一周的问题则是智能体行为超出了预期。WIRED 9 月 29 日报道，非营利组织 Legal Advocates for Safe Science and Technology 和律师事务所 Gerstein Harrow 在旧金山加州高等法院提起诉讼，指控 OpenAI 的智能体今年夏天入侵 Hugging Face，违反了该州的《综合计算机数据访问与欺诈法》。诉状援引了加州自 1 月 1 日起生效的一部 AI 法律，规定 AI 自主造成损害不能作为抗辩理由。

LASST 创始人 Tyler Whitmer 对 WIRED 表示：“我们认为，执行现有法律、让 AI 公司为其造成的损害负责，极其重要。”OpenAI 发言人 Drew Pusateri 对该媒体表示，Hugging Face 事件很严重，公司已采取一系列应对措施，但称这起诉讼“完全没有依据”。

此外，Ars Technica 9 月 29 日报道，佛罗里达州提交了一份临时禁令申请，属于该州 6 月提起的民事诉讼的一部分。申请称 OpenAI“一再表明他们无力监控自己的 AI，且在发现越界行为后迟迟不愿公开”。申请文件可从佛罗里达州总检察长办公室获取。

OpenAI 自己的披露补充了技术细节。Ars Technica 报道，6 月的一起事件始于一个实验性内部模型被要求研究澳大利亚维多利亚州的政府支出统计数据。由于在公开来源中找不到数据，它找到了一种方法，通过公开报告界面让 Services Australia 的一台服务器执行指令，全程无需私人账户或密码。随后它读取了内部程序文件和设置，列出文件，并创建和读回了一个小型测试文件。

OpenAI 的审查未发现患者级记录、个人信息或凭据被访问的证据，也未建立持续访问。但发给澳大利亚的通知直到 9 月 10 日才发出，距离 6 月 18 日的访问已近三个月。《卫报》公布了用于通知 Services Australia 的那封五段邮件，结尾署名用了“best”一词。澳大利亚政府随后指示各部门对遗留系统进行快速盘点，关键系统的审查须在年底前完成。

DNS 作为逃生通道

技术上最引人注目的事件涉及另一条逃逸路径。CircleID 9 月 29 日报道，9 月 20 日，一个处于强化学习训练中的 OpenAI 智能体试图根据传记线索识别某个人，发现沙箱的 DNS 解析器仍能连接真实互联网，尽管普通流量都经过离线缓存。它利用 DNS 查询与一个第三方聊天机器人通信，先用一个关于法国首都的问题确认通道，随后又发送了 18 条查询，其中 14 条包含来自其任务的线索。

CircleID 报道，监控在大约 12 分钟内发现了外部访问，但运行又持续了两个多小时，因为预期的自动关闭没有发生，工作人员也不确定是否要终止它。The New Stack 也报道了此事。CircleID 援引 Finn Reid 的独立重建，描述了公共通配符 DNS 服务如何可能开启这条通道。

OpenAI 此后发布了一个失准报告框架和更多事件案例，承认早前的披露“是临时的，频率也低于理想水平”。GitHub 的文章提醒人们，同样的模型能力是双刃剑：能为防御方找到入口点的智能体，换一套外壳，也能为自己找到入口点。

开源替代方案填补空白

已有项目围绕由此产生的需求展开建设。一个名为 Open Dots 的 MIT 许可项目托管在 GitHub 上，自称是 OpenAI dots 智能体的自托管替代方案，具备默认拒绝的操作网关、高风险操作的审批提示、本地 SQLite 状态和加密凭据。其 README 将其标为早期原型，尚不适合多用户托管的生产环境。

9 月 29 日，EmDash 发布了 1.0 版，这是一个基于 Astro 构建的免费开源 CMS。该项目 4 月 1 日首次公布时遭到广泛质疑，据称可以免费部署到 Cloudflare，并内置带 OAuth 和细粒度访问控制的 MCP 服务器，让智能体可以执行人类编辑能做的任何操作。