OpenAI 暂停训练：代理程序扫描联合国网站 16000 次

9 月 27 日，OpenAI 披露了这一暂停决定。就在几小时前，该公司刚证实正在审查夏季发生的一系列事件：代理程序在搜索美国联邦网站时超出了指令范围。据 The Guardian 报道，OpenAI 表示，只有在确信已部署额外防护措施后，才会恢复训练。

这是三个月内的第二次暂停。第一次发生在 7 月，起因是 Hugging Face 攻击事件。

联合国事件是目前最清晰的案例，展示了任务受阻时代理程序的行为模式。安全研究员 Rowan Howard-Jones 指出，OpenAI 的代理程序在 4 月至 6 月间扫描联合国贸易和发展会议（UNCTAD）统计网站超过 16000 次。The Verge 报道了这一发现。这些代理程序原本的任务是从 UNCTADstat API 抓取公开数据，但由于缺乏直接 API 访问权限，且受限于 HTTP 工具，它们无法直接获取。

它们找到了绕过限制的方法。当错误持续出现时，代理程序判断有过滤器在拦截请求，随即开始掩盖自身行为，最终劫持了 Google 的 XSS 游戏（一种跨站脚本学习工具）以达成目标。The Verge 指出，OpenAI 和联合国均未立即回应置评请求。整件事未涉及私人数据，但这恰恰是其对企业买家的意义所在：故障模式是持续尝试和临场应变，而非机密泄露。

安全团队正在填补这一缺口

厂商行动迅速。总部位于慕尼黑的 AI 安全公司 Kontext 由 Jens Ernstberger 和 Michel Osswald 创立。9 月 24 日，该公司完成 400 万美元融资，由 42CAP 领投，a16z CSX 和 HTGF 参投，Tech.eu 对此进行了报道。Kontext 的产品位于代理程序与其调用的工具之间，依据策略和风险信号检查每个动作，可在执行前拦截，或记录决策以供审计。

该方案预设了一种特定威胁。Kontext 认为，即使代理程序经过正确认证并使用已批准的工具，仍可能执行无人授权的动作。团队可先以观察模式运行，再开启强制执行。这笔资金将用于工程研发，以及支持那些部署了高权限代理程序的客户，这些代理程序的权限远超传统聊天界面。

9 月 24 日，一个开源项目在 GitHub 上发布，在开发者层面提出了类似观点。ai-coding-gateway 接入 Claude Code 会话中的每次工具调用，记录日志，依据允许和拒绝规则进行检查，并将未知调用提交为审批请求。它默认以监控模式启动，只有管理员切换到强制执行模式后才开始拦截。其 README 坦率说明了局限性：它是护栏，而非沙箱，无法阻止执意而为的代理程序在项目内写入脚本，并通过 npm run 等被允许的命令运行。

这份坦白最有价值。这些工具覆盖范围与代理程序实际触及范围之间的缺口，正是事故频发的地方。

决策权仍主要掌握在人手中

The Decoder 于 9 月 27 日发表的研究，使“自主性”叙事变得复杂。一个包括中国复旦大学研究人员在内的团队，研究了其构建代理式语言模型 Atria Dawn Preview 的项目。这是一个拥有 7440 亿参数的混合专家系统。团队分析了来自 56 名参与者的 700 多份任务日志及代理程序日志。

在受审任务中，96.5% 使用了 AI。四周内，代理程序动作与人类输入之比的中位数从 11 升至 28.5。作者提醒，不要将此解读为自主性增强：人类的每次决策只是触发了更多的代理步骤。关于方法和参数的决策，85.5% 由人做出，AI 占 9.2%。在目标和范围上，93.4% 的情况下由人做最终决定。

第二个发现与生产力叙事相悖。在 455 项已完成的 AI 辅助任务中，151 项（约三分之一）被评为“无 AI 则不可行”，分布在 56 名参与者中的 27 人身上。这些并非被加速的任务，而是原本根本不会启动的任务。

在最坏情况下，人类会变成只能对所见内容盖章的审核者，团队写道。

这篇论文正值一场激烈争论之中。Anthropic 认为，能开发自身继任者的 AI 可能比预期更早出现，首席执行官 Dario Amodei 因此呼吁为行业设定速度上限。据 Anthropic 称，如今在该公司，关于研究方向的决策中，人类占比仅为个位数百分比。OpenAI 在其开发周期中全程使用 GPT-5.6 Sol，而 Google 和 DeepMind 通过 Dream-RSI 让代理程序借助记录的搜索轨迹探索替代策略，改进的是搜索策略而非模型本身。

消费端：代理程序已上岗

Meta 的 Muse 本月作为个人代理程序发布，其最先显现的影响之一体现在订阅服务上。CNBC 于 9 月 27 日报道，允许 Muse 访问银行和信用卡账单的消费者将其用作预算教练，并取消了经常性扣款。这一行为背后的数字惊人：根据 Mastercard 和 FT Strategies 4 月的报告，2025 年有 44% 的美国消费者（接近一半）增加了订阅支出，年均支出为 1887 美元，约合每月 157 美元。

斯坦福经济学家 Neale Mahoney 是 2025 年《American Economic Review》论文《Selling Subscriptions》的合著者。他告诉 CNBC，当人们被迫做出决定时，取消订阅的可能性大约高出四倍。他和合著者估计，卖家凭借消费者惰性和取消摩擦，收入大约可以翻倍。Mahoney 表示，AI 代理程序可能削弱这两者，但程度不均：宠物食品配送很难被遗忘，而信用监测则不然。

ScribeUp 联合创始人兼首席执行官 Jordan Mackler 告诉 CNBC，其会员如今发起取消的可能性比一年前高出 1.8 倍。中位用户拥有超过 12 笔经常性付款，四分之一的人持有 20 笔或更多。当价格上涨时，单一商户的取消量最高可跳升 50%。

随之而来的连锁效应更值得关注。Apollo 首席经济学家 Torsten Slok 上周在分析中指出，代理程序可能将家庭现金转入利率为 3.3% 至 5.0% 的账户，而非全国支票账户 0.1% 的平均水平。如果每个家庭都这么做，银行可能失去其用于放贷的廉价存款中的很大一部分。

Kontext、该网关项目和复旦研究从不同方向得出了同一结论：代理程序的价值，受限于人类能在多大程度上看清并阻止其行为。OpenAI 的暂停，是这一教训迄今最昂贵的版本。