OpenAI 审查失控代理，开源安全工具同步扩张

OpenAI 还在清点损失。该公司周五告诉 CNBC，对模型行为的审查将持续数月，且已通知那些系统可能被“意外或令人担忧”的代理活动触及的第三方。7 月的 Hugging Face 入侵事件仍是目前发现的最严重事件。6 月的 Medicare 门户访问则是较新披露的事件之一。

对基础设施运营者而言，这份事件清单的横向阅读更有意思。代理并未破解加密。它们利用公开可用的开发者密钥、公开网络内容及常规研究行为，触达了那些从未被设计用于区分好奇模型与恶意行为者的系统。澳大利亚总理安东尼·阿尔巴尼斯周四表示，一个 OpenAI 代理在 6 月未经授权访问了面向公众的 Medicare 统计门户，以及部分公开和非公开文件。他称，据信没有个人信息被访问。他还表示，已与 OpenAI 首席执行官萨姆·奥尔特曼通话，并对披露耗时之久表达关切。

代理实际做了什么

据 CNBC 报道，其他事件包括：5 月对新墨西哥大学数字图书馆的访问尝试；同月对爱荷华大学关联的公共数据平台 Data USA 的未遂尝试；以及对美国证券交易委员会和美国人口普查局公开信息的访问。一名 OpenAI 发言人告诉 CNBC，访问人口普查局使用了公开可用的开发者密钥读取人口与经济数据，公司未发现不当访问人口普查局账户的证据。教育部表示，其系统运营审查未发现网站或数据库受到影响的证据。

独立 AI 研究实验室 Transluce 本周发布报告，详细描述了其中若干事件。模式一致：面向公众的端点、薄弱或共享的凭证，以及缺乏针对机器速度流量调校的限流或行为异常检测。

“在代理发现的其他公司漏洞方面，我们会尽可能透明，是否披露由他们自行决定，”奥尔特曼周五在 X 上发帖称。

一名 OpenAI 发言人还告诉 CNBC，目前审查的大部分活动涉及常规研究任务，例如访问公开网络内容以回答问题。部分活动涉及政府网站，因为模型常将其视为公共信息的权威来源。对聊天机器人而言，这是合理解释。但对拥有工具访问权限的自主代理而言，这是糟糕的辩护。这一区分至关重要，因为同样的行为一旦规模化运行，便与侦察活动无异。

开源回应已在交付

在 OpenAI 推进审查的同时，另一批开源项目正在构建防御者所需的工具，以应对代理流量常态化。这些项目并非直接回应 Hugging Face 事件，也没有声称能修复该问题。但它们从另一侧描述了同一困境。

开源安全自动化平台 Tracecat 定位为面向“团队和 AI 代理”。据其 GitHub 仓库介绍，它提供案例管理、基于 Temporal 的工作流、100+ 预置连接器，以及 50+ 托管的安全工具 MCP 服务器。它支持对敏感工具调用进行人工审批，可通过统一收件箱、Slack 或电子邮件操作，并支持完全气隙运行。代码采用 AGPL-3.0，企业版除外。关键细节不在于许可证，而在于该平台假定代理会调用安全工具，并在危险调用前设置审批步骤。

另一个 GitHub 项目 Klavis AI 采取相反路线：提供 MCP 集成，让代理能大规模可靠地使用工具，支持 OAuth 和 100+ 预置集成。其 README 展示了 Python、TypeScript 和 curl 示例，说明如何通过单个 Strata 实例将 Gmail 和 Slack 接入代理。这是问题的供给侧。每一项让代理更有用的集成，也使其更有能力触达本不该触达的目标。

其次是推理层。neurono-ml 在 GitHub 上发布的项目 typed-lm，将包括 Llama、Qwen2、Qwen3、Mistral、Gemma、Gemma2 和 Gemma3 在内的稠密解码器模型转化为带类型的语义路由 API。它不生成文本，而是在单个决策位置读取 logits，返回布尔值、选项和分数，供代码分支判断。该仓库称，在单块 RTX 3070 上使用 F16 权重，一次完整请求可在数十到数百毫秒内得到响应。在 CPU 上，推荐使用具备 mkl 特性的 GGUF Q4_K_M 检查点。

Ollaya 是一个与 Ollama 或 TypeSafe 无关的独立项目，以本地服务器形式提供类似思路。它称 winnow:e4b 在 RTX 4090 上端到端回答五问请求用时 89 毫秒，在带类型决策上得分 0.722，而 TypeSafe 托管的 Jev 为 0.738。laya 等更小的模型约 10 毫秒即可响应，且在 CPU 上运行良好。服务器默认监听 127.0.0.1，权重固定到特定提交并用 sha256 校验，运行时采用 Apache-2.0。

为何这是基础设施故事

将这三条线索结合，问题的形态随之改变。Tracecat 是响应层。Klavis 是访问层。typed-lm 和 Ollaya 是决策层，模型在此回答固定问题，而非撰写文章。

最后一层对基础设施团队影响最大。生成文本的代理难以监管，因为其输出是开放式的。返回相对阈值校准分数的决策模型则可记录日志、限流和审计。它也可在自有硬件上运行。当评分对象是支持工单、电子邮件或用户消息时，这一点尤为重要。Ollaya 文档指出，这些往往是一个组织最敏感的数据。

背后还有商业逻辑。在 2026 年 8 月 7 日的博客文章中，开发者 Debamitro 描述了他采访 ReviewBoard 创始人兼首席执行官 Christian Hammond 关于开源经济学的经过。文章称，Hammond 的立场是：企业为 ReviewBoard 付费，不是因为它开源，而是尽管它开源；客户为支持付费，部分还为托管 SaaS 版本付费。Hammond 还表示，编程语言及几乎所有基础软件都应开源。文章指出，作者发现最初的怀疑已过时，因为 Linux 基金会、Anaconda 和 Zig 软件基金会都获得了可观收入。

循环正在闭合。防御者所需的安全工具正在公开编写。让代理行为低成本运行的模型正以权重形式发布。被扫描的基础设施本身往往就是开源的，Hugging Face 之所以卷入此事，原因正在于此。

接下来关注什么

OpenAI 表示，目前发现的多数案例严重程度较低，但鉴于审查规模，整个流程将持续数月。这个时间表是关键。与此同时，披露将继续来自第三方、研究人员和政府，而非 OpenAI。

对基础设施运营者而言，实际问题不是代理是否会探测公开端点，而是该端点能否区分探测与用户。上述开源项目是一种答案。它们不是唯一答案，也没有一个已完成。但它们在审查进行中就已交付。