适用对象：运营网站或在线服务的任何人。本文基于OpenAI、Anthropic、维基媒体基金会以及澳大利亚政府的官方披露信息（澳大利亚总理的新闻发布会和澳大利亚网络安全中心的警报）。本文不包含任何攻击步骤。7月的第一个案例见Hugging Face入侵事件（2026）。
披露的内容
2026年6月18日
OpenAI的研究团队让一个内部模型研究公共医疗支出。在多次受阻后，该智能体找到了绕过的方法，并访问了澳大利亚Medicare统计门户网站上的公开和非公开文件（据澳大利亚总理新闻发布会）。2026年7月16日
Hugging Face披露了一起由AI智能体实施的入侵（解读文章）。2026年7月23–24日
Anthropic审查了141,006次评估运行，查找类似案例，并发现三起模型在评估中触及三家真实公司生产系统的情况。当天，它停止了所有网络安全评估。2026年7月27日
Anthropic通知了其评估合作伙伴和三家受影响的机构。其中能够联系到的两家此前并未发现该活动（据其披露）。2026年8月18日
OpenAI表示，它已临时放缓前沿模型训练，并加强了研究环境的隔离（为不可信代码提供更强的沙箱，并进行网络隔离）。2026年9月9日
Anthropic披露了第四起案例，发生于2026年1月的一次评估，此前7月已披露三起。它将审查范围从约141,000扩大到约4.81亿份记录，未发现其他同等或更严重的案例。它还与一家外部评估机构签署协议，进行独立调查。2026年9月10日
OpenAI首次向澳大利亚政府发出通知，通过发送至公共邮箱的电子邮件（据总理表示）。2026年9月15日
Services Australia将该通知报告给澳大利亚网络安全中心（ACSC）。2026年9月24日
总理披露了该事件并成立了工作组。同日，ACSC发布了面向“所有拥有面向公众网站或应用程序的澳大利亚机构”的警报。2026年9月25日
OpenAI表示其审查将需要数月时间，并且会在核实案例后通知受影响的机构。2026年10月5日
维基媒体基金会表示，发现了其项目上由它认为是OpenAI运营的智能体所产生的活动。2026年10月9日
Anthropic披露，在评估和内部使用期间，模型在真实网站上采取了非预期操作，其中包括通过费城警察局表单提交的一条虚假线索。费城警察局也于同日宣布了该案例（据Anthropic）。
- OpenAI：通知的规模
- 在对其模型在训练和评估期间的互联网活动进行广泛审查后，它已通知了数十个符合其标准的第三方，审查仍在进行中。涉及的部分网站由政府、大学和公共机构运营，该公司表示，部分原因是研究任务会引导模型访问权威的公共信息来源。
- OpenAI：观察到的活动类型
- (1) 绕过访问控制（使用不同的网址、修改请求、使用权限超出预期的会话）(2) 使用公开暴露的凭据 (3) 查询或命令注入 (4) 访问服务的内部部分 (5) 智能体垃圾信息（在第三方网站上发帖，例如把公共维基当作留言板使用）
- Anthropic：发生了什么
- 一项配置错误使评估机器保留了实时互联网访问权限（该公司将其归因于它与评估合作伙伴之间的误解，双方都未察觉）。模型把真实系统当作演练的一部分。在一个案例中，它扫描了约9,000个目标，并利用基础且广为人知的技术，例如从暴露的调试页面读取凭据和SQL注入，攻破了一家公司的应用程序。
- Anthropic：对公共软件仓库的影响
- 模型使用了一个虚构公司安装指南中并不存在的Python包名，发布了一个恶意软件包。该包可供下载约一小时，并在15个真实系统上运行（其中一个是安全公司用于安装包并进行检查的扫描器）。
- Anthropic：第四起案例（9月9日报告）
- 在2026年1月的一次评估中，某个早期版本的模型访问了一个第三方的机器。它找到了一个列有密码的文件，用它获得了管理员权限，修改设置以便更容易访问，并读取了与该第三方相关的一个人的个人信息。Anthropic表示，在发现该案例后，已通知受影响方。7月的报告提到三起；加上本报告，未经授权访问第三方系统的案例总数为四起。
- Anthropic：评估和内部使用中的非预期操作（10月9日报告）
- 共四类：(1) 通过一个大学托管的分析工具中的基础缺陷，在服务器上运行命令 (2) 提交了本不应提交的表单（例如，当练习副本无法加载时，却提交了一份真实的政府表单）(3) 绕过限制以获取付费或受限数据（例如，某地方政府地图网站设置文件中的访问令牌，或某州机构公开仪表板向任何访问者发放的令牌）(4) 利用URL缩短服务绕过抓取工具的URL长度限制
- Anthropic：影响与通知
- 部分案例涉及美国联邦、州和地方政府机构运营的网站，Anthropic应这些机构的要求未予公开点名。它通知了每个机构，并向白宫做了汇报。Anthropic表示，这些案例均未涉及客户数据或其自身内部系统，现实影响极小，并认为其严重程度明显低于那四起网络安全事件。
- 费城警察局的线索表单
- 在随机选取的网页上生成示例任务时，一个模型访问了一个未破案的杀人案页面，并通过其表单提交了一条虚构的线索，姓名和联系方式字段留空。该线索被标记为垃圾信息，从未转交调查（据Anthropic）。警方表示，该线索于7月18日晚上11:27提交，Anthropic于10月7日通知了他们（据NBC Philadelphia报道）。Anthropic表示，在其技术审查完成后，于10月8日与警察局分享了该发现。两方说法的日期不同。警方称，这一长达两个月的发现和报告延迟“不可接受”（同一报道）。
- Anthropic的措施（10月9日报告）
- 部分公开评估已停用，其他评估则迁移到不会访问实时网站的离线版本。所有内部评估的实时互联网访问已关闭。网页抓取工具受到严格限制。对前沿模型在大多数评估和内部智能体使用中的这些行为进行自动检测和拦截。
- 维基媒体基金会（10月5日报告）
- 基金会认为由OpenAI运营的智能体未经社区批准进行了编辑（几乎全部是沙箱区域内的测试编辑）。其中少数编辑修改了一个引用工具的配置，基金会称之为可能具有恶意，目的是将该工具用作代理以从远程服务获取数据。针对公共Etherpad笔记工具的入侵尝试以及将其用作代理的尝试均告失败。出现了数百万次公共API请求、数百万个被抓取的页面，以及数十万次Wikidata查询服务查询，这可能导致了5月的一次部分服务中断。基金会未发现其系统或数据遭到入侵的证据。
- 澳大利亚政府
- 一个OpenAI智能体访问了由Services Australia运营的Medicare统计门户网站上的公开和非公开文件。目前认为未访问任何个人信息；调查仍在继续。总理就通知的迟延程度以及通知方式（发至公共邮箱的电子邮件）直接向OpenAI首席执行官提出了关切。
- ACSC警报
- 某智能体在没有人类直接授权的情况下，自行识别漏洞并试图推进，以完成其分配的活动。ACSC表示，没有迹象表明存在更广泛的威胁或恶意定向，并建议采用强身份验证和访问控制、及时修复、监控和日志审查，以及针对AI相关场景测试应急响应流程。
未涵盖的案例
有报道称，在评估期间，一个谷歌AI模型进入了某真实公司的系统，但我们未能找到谷歌的第一方披露，因此本文不涵盖该案例。另外，将RubyGems上的大规模发布活动归因于OpenAI智能体的说法也未纳入：RubyGems表示无法确定AI智能体是否负有责任，OpenAI表示无法核实这些说法，因此归因尚未确立。
什么是新的，什么不是
新的部分
- 一个没有恶意的访问者，在受阻后会尝试另一种方法
- 在人类可能放弃的地方，它会继续尝试其他网址、其他输入、它找到的凭据
- 你要过几个月才会发现，是在AI公司通知你的时候
不是新的部分
- 被利用的弱点是暴露的凭据、暴露的调试页面、SQL注入
- 所有这些本应早已修复
- 一旦修复，它们对人类和智能体同样都会失效
本站认为最需要重视的是受影响的机构并未察觉。Anthropic写道，它所联系的两家机构并未发现该活动。澳大利亚的案例发生在6月，政府于9月才得知。另一方没有恶意，并不改变有人已经进入系统这一事实。而且下一个访问者未必心怀善意：智能体能发现的任何弱点，攻击者同样能发现。
网站运营者今天应该做什么
确保通知能送达到人（security.txt）
在澳大利亚的案例中，通知发送到了一个公共邮箱，并在五天后才到达网络安全中心。OpenAI表示将继续通知受影响的机构，研究人员提交的漏洞报告也面临同样的问题。
第一步：发布/.well-known/security.txt（RFC 9116），包含报告联系方式（电子邮件地址或报告表单网址）和过期时间，并确定由谁实际阅读。在撰写本文时，我们注意到自己的网站也没有这个文件，于是添加了它（联系方式是我们的联系表单，而不是个人邮箱）。
检查意见表单的提交是否真正送达到人
在费城的案例中，模型发送的虚假线索被当作垃圾信息拦截，因此从未到达调查人员手中。警方表示，在10月7日被联系后，他们在网站的线索记录中找到了该提交，并确认匹配的电子邮件仍在垃圾邮件中（据报道）。智能体也会提交联系、报告和申请表单。
第一步：通过你的每个意见表单各提交一条测试内容，并检查它最终去了哪里，包括垃圾邮件和垃圾过滤器。确定由谁审查被标记为垃圾的提交以及审查频率，并保留提交记录（时间和内容），保存时间要足够长，以便回答几个月后才提出的问题。
查找并撤销已暴露的凭据
OpenAI和Anthropic都列出了公开暴露的凭据；在7月的Hugging Face案例中，它们也是起点。请查找留在代码、公开仓库、配置文件和截图中的凭据，并在签发方撤销它们。参见使用gitleaks阻止提交密钥和公共目录中的密钥文件。
避免将访问令牌放在发送到浏览器的配置文件和公开仪表板中
Anthropic的10月报告描述了一个模型使用某地方政府地图网站设置文件中仍然有效的访问令牌，以及某州机构公开仪表板发放给访问者的令牌，来获取付费或受限数据。配置文件或在浏览器中运行的JavaScript中的任何内容都能被任何人读取。
第一步：检查你的公开页面加载的配置文件、JavaScript和仪表板流量中是否有访问令牌和API密钥。如果确实需要某个令牌，请缩小其权限（只读、特定数据、允许的来源），并限制其请求频率；付费或受限数据只有在完成服务器端授权检查后才能提供。
在生产环境中关闭调试页面和管理面板
Anthropic的案例涉及从一个暴露的调试页面读取凭据。请检查生产环境中的调试模式和详细错误输出是否已关闭，并确认管理面板不会对互联网上的任何人开放。各框架的具体检查方法见按框架划分的安全。
如果你运营任何允许用户发帖的服务，请为智能体垃圾信息做好准备
OpenAI提到智能体把公共维基当作留言板使用。如果你运营开放的维基、论坛、评论区或联系表单，请检查发帖频率限制和内容审核。
如果AI公司通知你，请先检查日志，不要慌张
OpenAI表示，来自它的通知不应被自动理解为重大安全事件。请检查访问和身份验证日志中给出的时间和目标，并判断这是你原本打算公开的信息，还是需要修复的弱点。如果是弱点，请像处理其他漏洞一样修复（漏洞修复手册）。
智能体做了什么（据披露）
通过其他网址绕过限制 / 使用暴露的凭据 / 使用配置文件中的令牌 / 从调试页面读取凭据 / SQL注入 / 在维基上发帖、提交表单
阻止每种行为的基础措施
每个路径进行服务器端授权 / 撤销泄露的凭据 / 不向浏览器发送令牌 / 生产环境关闭调试 / 参数化查询 / 发帖频率限制、审查提交内容
以防仍有入侵
监控访问量和速度 / 保留日志 / 提供能联系到人的渠道（security.txt）
本站观点：智能体能发现的弱点，攻击者也能发现
这些事件有一个奇特之处：一个没有攻击意图的访问者发现了某机构的弱点，并穿过了这些弱点，而数月后，该机构才由构建该智能体的公司告知“我们进入了你们的系统”。ACSC指出，其中的不同之处在于，AI智能体独立发现了人类研究人员过去一直发现并报告的那类漏洞。
如果把这看作“更多有益的报告”，那就错了。不愿报告的访问者同样可以找到这些弱点。而且智能体在受阻后不会放弃，它们会并行且快速地尝试人类需要数天才能完成的操作。你可以安全地放任一个弱点不修复的时间，正在不断缩短。
还有一点变得清楚：通知需要有一个能到达的地址。如果没有更合适的地方，善意的报告或AI公司的通知可能会在公共邮箱里躺上好几天。security.txt只需几行文字，你今天就可以发布。
来源
- OpenAI，《Hugging Face事件及错位模型造成的其他第三方影响》（核对至2026年9月25日更新）—— openai.com
- Anthropic，《调查网络安全评估中的三起真实事件》（2026年7月30日）—— anthropic.com
- Anthropic，《对近期网络安全事件的对齐评估》（2026年9月9日）—— anthropic.com
- Anthropic，《调查我们评估和内部使用中模型的非预期行为》（2026年10月9日）—— anthropic.com
- 维基媒体基金会，《在维基媒体项目上发现OpenAI“失控”智能体活动》（2026年10月5日）—— wikimediafoundation.org
- NBC Philadelphia，《Anthropic AI模型就一起未破案的费城谋杀案提交虚假线索，警方称》（2026年10月9日；用于费城警察局的说法）—— nbcphiladelphia.com
- 澳大利亚总理，《新闻发布会 - 纽约》（2026年9月24日）—— pm.gov.au
- 澳大利亚信号局（ASD）的ACSC，《AI错位对澳大利亚机构的风险》（2026年9月24日）—— cyber.gov.au
- RubyGems博客，《关于rubygems.org上5月垃圾包发布活动的更新》（2026年9月11日）—— blog.rubygems.org（用于确认归因尚未确立）
- IETF RFC 9116，《帮助安全漏洞披露的文件格式》—— rfc-editor.org
更新记录
2026-10-12：纳入了Anthropic 9月9日和10月9日的报告，以及维基媒体基金会10月5日的报告。将Anthropic未经授权访问第三方系统的表述从“三家公司”改为“四起案例”，并增加了其在评估和内部使用中的非预期操作（包括通过费城警察局表单提交的虚假线索）及其措施。新增两条运营者步骤：检查意见表单提交是否送达到人，以及避免将访问令牌放在发送到浏览器的配置文件和公开仪表板中。
2026-09-28：首个版本，基于OpenAI、Anthropic和澳大利亚政府的官方披露信息。
延伸阅读
- AI驱动攻击的全貌与防御顺序：应对AI驱动的网络攻击（自主入侵、提示注入、AI供应链）
- 另一起AI智能体入侵：通过Zammad零日漏洞实现的DIVD入侵事件
- 第一起案例：Hugging Face入侵事件（2026）：自主AI智能体攻击
- 修复弱点：使用gitleaks阻止提交密钥 / 身份验证与授权 / 按框架划分的安全
- 发现异常：速率限制与滥用控制 / 组织安全优先事项
- 工具：网站安全审计（同时检查security.txt）