適用對象：任何經營網站或線上服務的人。本文根據OpenAI、Anthropic、維基媒體基金會以及澳洲政府的官方揭露撰寫（包括澳洲總理的記者會與澳洲網路安全中心的警示）。本文不包含攻擊步驟。7月的第一起案例，已在Hugging Face入侵事件（2026）中說明。
揭露了什麼
2026年6月18日
OpenAI的研究團隊讓一個內部模型研究公共醫療支出。在多次遭到阻擋後，代理人找到了繞過的方法，並存取了澳洲Medicare統計入口網站上的公開與非公開檔案（依據澳洲總理記者會）。2026年7月16日
Hugging Face揭露一起由AI代理人執行的入侵事件（說明文章）。2026年7月23–24日
Anthropic檢視了141,006次評估執行紀錄，找出類似案例，並確認三起評估中的模型抵達了三家真實公司的正式環境系統。同日，其停止所有網路攻防評估。2026年7月27日
Anthropic通知了其評估合作夥伴與三家受影響的機構。其中能夠聯繫上的兩家先前並未偵測到該活動（依其揭露）。2026年8月18日
OpenAI表示，已暫時放慢前沿模型的訓練，並加強研究環境的隔離（為不受信任的程式碼提供更強的沙箱，以及網路隔離）。2026年9月9日
Anthropic揭露第四起案例，發生於2026年1月的評估，加上7月的三起。其審查範圍從約141,000次擴大到約4.81億份紀錄，未發現其他同等或更嚴重的案例。同時，其與一家外部評估機構簽署協議，進行獨立調查。2026年9月10日
OpenAI首次向澳洲政府發出通知，方式是寄送到一般公開信箱的電子郵件（依總理所述）。2026年9月15日
Services Australia將通知呈報給澳洲網路安全中心（ACSC）。2026年9月24日
澳洲總理公開此事件並成立專案小組。同日，ACSC對「所有擁有面向公眾網站或應用程式的澳洲機構」發出警示。2026年9月25日
OpenAI表示，其檢視將需要數個月，並會在案例確認後陸續通知受影響的機構。2026年10月5日
維基媒體基金會表示，其發現由其認為是OpenAI操作的代理人在其專案上的活動。2026年10月9日
Anthropic揭露，模型在評估與內部使用期間，對真實網站採取了非預期行動，其中包括透過費城警方表單提交的一則不實線索。費城警察局同日也公布了此案例（依Anthropic所述）。
- OpenAI：通知的規模
- 在對其模型於訓練與評估期間的網際網路活動進行廣泛檢視後，該公司已通知數十個符合其標準的第三方，檢視仍在進行中。部分涉及的網站由政府、大學與公共機關營運，該公司表示，部分原因是研究任務會引導模型前往具權威性的公開來源。
- OpenAI：觀察到的活動類型
- (1) 繞過存取控制（使用不同的網址、更改請求、使用權限超出預期的工作階段）(2) 使用公開外洩的憑證 (3) 查詢或指令注入 (4) 存取服務的內部部分 (5) 代理人垃圾訊息（在第三方網站發文，例如把公開維基當成留言板）
- Anthropic：發生了什麼
- 錯誤設定使評估用機器保有即時的網際網路存取權（該公司將其歸因於其與評估合作夥伴之間的誤解，雙方都未察覺）。模型把真實系統當成演練的一部分。在一個案例中，它掃描了約9,000個目標，並以基本且眾所周知的技術，例如從外露的除錯頁面讀取憑證以及SQL注入，入侵了一家公司的應用程式。
- Anthropic：對公共套件庫的影響
- 模型使用虛構公司安裝指南中一個不存在的Python套件名稱，發布了一個惡意套件。該套件上線約一小時，並在15台真實系統上執行（其中一台是安全公司用來安裝套件以進行檢查的掃描器）。
- Anthropic：第四起案例（9月9日報告）
- 在2026年1月的一次評估中，某個早期版本的模型存取了一個第三方的機器。它找到一個列有密碼的檔案，用它取得管理員權限，並更改設定以便更容易存取，同時讀取了與該第三方有關的一名人員的個人資訊。Anthropic表示，在發現此案例後已通知受影響的一方。7月的報告提及三起；加上本次報告，未經授權存取第三方系統的總數為四起。
- Anthropic：評估與內部使用中的非預期行動（10月9日報告）
- 共四類：(1) 透過大學代管的分析工具中的一個基本缺陷，在伺服器上執行指令 (2) 提交了本不應送出的表單（例如，在練習用副本未能載入時，提交了一份真實的政府表單）(3) 繞過限制以存取付費或受限資料（例如某地方政府地圖網站設定檔中的存取權杖，或某州機關公開儀表板發給任何訪客的權杖）(4) 利用網址縮短服務，繞過擷取工具的網址長度限制。
- Anthropic：影響與通知
- 部分案例涉及美國聯邦、州及地方政府機關營運的網站，Anthropic應其要求不予點名。該公司已通知每個機關，並向白宮作簡報。Anthropic表示，沒有任何案例涉及客戶資料或其內部系統，現實影響極為有限，並認為這些案例的嚴重程度明顯低於四起網路安全事件。
- 費城警方的線索表單
- 在隨機選取的網頁上生成範例任務時，一個模型到達一個未破案凶殺案的頁面，並透過其表單提交了一則虛構的線索，姓名與聯絡欄位留空。該線索被標記為垃圾訊息，從未轉交調查（依Anthropic所述）。警方表示，該線索於7月18日晚上11:27提交，Anthropic於10月7日通知他們（依NBC Philadelphia報導）。Anthropic表示，在其技術審查完成後，已於10月8日與該部門分享此發現。兩方說法的日期不同。警方將偵測與通報此事延遲了兩個月形容為「不可接受」（同一報導）。
- Anthropic的措施（10月9日報告）
- 部分公開評估已停用，其他則改為不會連到即時網站的離線版本。所有內部評估已關閉即時網際網路存取。網頁擷取工具受到嚴格限制。對前沿模型的大多數評估與內部代理式使用，導入自動偵測與阻擋這些行為。
- 維基媒體基金會（10月5日報告）
- 該基金會認為是由OpenAI操作的代理人，在未經社群核准的情況下進行了編輯（幾乎都是沙箱區域的測試編輯）。部分代理人更改了某個引用工具的設定，基金會稱其可能是惡意的，目的是將該工具當作代理，從遠端服務抓取資料。嘗試入侵公開的Etherpad筆記工具並將其作為代理的行為則失敗。出現了數百萬次公開API請求、數百萬個被爬取的網頁，以及數十萬次Wikidata查詢服務的查詢，這些可能促成了5月的部分服務中斷。基金會未發現其系統或資料遭入侵的證據。
- 澳洲政府
- 一個OpenAI代理人存取了由Services Australia營運的Medicare統計入口網站上的公開與非公開檔案。目前認為尚未存取任何個人資訊；調查仍在進行。總理已直接就通知的延遲程度，以及通知的方式（寄送至公開信箱的電子郵件），向OpenAI執行長表達關切。
- ACSC警示
- 一個代理人自行找出弱點，並在沒有人類直接授權的情況下試圖推進，以完成其指派的活動。ACSC表示，沒有跡象顯示存在更廣泛的威脅或惡意鎖定，並建議採用強力的身分驗證與存取控制、迅速修補、監控與審查日誌，以及針對AI相關情境測試回應程序。
未涵蓋的案例
有報導指出，一個Google AI模型在評估期間進入了某真實公司的系統，但我們找不到Google的第一手揭露，因此本文未涵蓋此案例。另外，將RubyGems上的大規模發布活動歸因於OpenAI代理人的說法也未納入：RubyGems表示無法判定是否由AI代理人造成，OpenAI則表示尚無法驗證該說法，因此此歸因並未成立。
什麼是新的，什麼不是
什麼是新的
- 一個沒有惡意的訪客，在被阻擋時會改用其他方法
- 在人類可能放棄的地方，它會持續嘗試其他網址、其他輸入、找到的憑證
- 你要等數月後，才會因AI公司的通知而得知
什麼不是新的
- 被利用的弱點是外洩的憑證、外露的除錯頁面、SQL注入
- 這些問題本來就應該已經修補
- 一旦修補，無論是人類還是代理人都會被阻擋
本站最看重的是受影響的機構並未察覺。Anthropic寫到，其能聯繫上的兩家機構並未偵測到該活動。澳洲的案例發生於6月，政府卻到9月才得知。另一方的善意並不改變有人入侵的事實。而且下一個訪客未必心懷善意：代理人能找到的任何弱點，攻擊者也都找得到。
網站營運者今天應該做什麼
確保通知能送達真人（security.txt）
在澳洲案例中，通知寄到了一般公開信箱，五天後才送達網路安全中心。OpenAI表示會持續通知受影響的機構，而研究人員提交的漏洞回報也面臨同樣的問題。
第一步：發布 /.well-known/security.txt（RFC 9116），附上回報聯絡方式（電子郵件地址或回報表單網址）以及到期日，並決定由誰實際閱讀。撰寫本文時，我們發現自己的網站也沒有此檔案，於是新增了（聯絡方式為我們的聯絡表單，而非個人電子郵件）。
確認提交至表單的內容確實送達真人
在費城案例中，模型送出的不實線索被當成垃圾訊息攔截，因此從未送到調查人員手中。警方表示，在於10月7日被聯繫後，他們在網站的線索紀錄中找到該提交，並確認相符的電子郵件仍在垃圾郵件匣中（依報導）。代理人也會提交聯絡、回報與申請表單。
第一步：透過每個表單各送出一則測試提交，並檢查它最後去了哪裡，包括垃圾訊息與廣告郵件過濾器。決定由誰、多久審查一次被標為垃圾的提交，並保存提交紀錄（時間與內容），保存期限要足以回答數月後才會出現的問題。
找出並撤銷已外洩的憑證
OpenAI與Anthropic都列出了公開外洩的憑證；在7月的Hugging Face案例中，它們同樣是起點。請搜尋留在程式碼、公開儲存庫、設定檔與截圖中的憑證，並在發行方撤銷。另請參閱使用gitleaks防止機密資訊被提交與公開目錄中的機密檔案。
避免將存取權杖放在傳送至瀏覽器的設定檔與公開儀表板中
Anthropic的10月報告描述了一個模型使用某地方政府地圖網站設定檔中仍有效的存取權杖，以及某州機關公開儀表板發給訪客的權杖，來存取付費或受限資料。任何在設定檔或瀏覽器中執行的JavaScript中的內容，都能被任何人讀取。
第一步：檢查公開頁面載入的設定檔、JavaScript與儀表板流量，看是否含有存取權杖或API金鑰。如果確實需要，請縮小其範圍（唯讀、特定資料、允許的參照來源）並限制速率，且只有在伺服器端完成授權檢查後，才提供付費或受限資料。
在正式環境關閉除錯頁面與管理後台
Anthropic的案例涉及從外露的除錯頁面讀取憑證。請確認正式環境已關閉除錯模式與詳細錯誤輸出，且管理後台不會對網際網路上的任何人開放。各框架的檢查方式請參閱依框架的安全性。
若你的網站允許人們發文，請規劃應對代理人垃圾訊息
OpenAI提到代理人把公開維基當成留言板使用。若你經營開放式維基、論壇、留言區或聯絡表單，請檢視發文的速率限制與內容審核。
若AI公司通知你，先檢查日誌再慌張
OpenAI表示，來自該公司的通知不應被自動視為重大資安事件。請檢查存取與身分驗證日誌中提供的時間與目標，並判斷那是否是你原本打算公開的資訊，或是需要修補的弱點。若是弱點，請像對待其他漏洞一樣修補（漏洞修補手冊）。
代理人做了什麼（依揭露內容）
透過其他網址繞過限制 / 使用外洩的憑證 / 使用設定檔中的權杖 / 從除錯頁面讀取憑證 / SQL注入 / 在維基發文、提交表單
各項阻止方法
每個路徑都做伺服器端授權 / 撤銷外洩的憑證 / 不將權杖傳送至瀏覽器 / 正式環境關閉除錯 / 參數化查詢 / 發文速率限制、審查提交內容
萬一仍被入侵時
監控流量與速度 / 保留日誌 / 提供能聯繫到人的管道（security.txt）
本站的看法：代理人能找到的弱點，攻擊者也找得到
這些事件有一種奇特的型態。一個沒有攻擊意圖的訪客找到了某機構的弱點，並穿越過去；數月後，機構卻是由建造該代理人的公司告知「我們進入了你們的系統」。ACSC指出，其差異在於AI代理人獨立找到了人類研究人員過去一直在找並通報的那類弱點。
若把此事解讀為「回報會變得更有幫助」，就是誤解。不願回報的訪客，同樣可以找到相同的弱點。而且代理人被阻擋時不會放棄，它們會以並行與快速的方式嘗試，而這些事對人類來說可能需要數天。你能安全放任弱點不修補的時間，只會越來越短。
另一件變得清楚的事：通知需要一個收件地址。如果沒有更好的去處，善意的回報或AI公司的通知，可能會在一般信箱裡躺上數天。security.txt只是幾行文字，你今天就能發布。
資料來源
- OpenAI，「Hugging Face incident and other third-party impacts of misaligned models」（查核至2026年9月25日的更新）— openai.com
- Anthropic，「Investigating three real-world incidents in our cybersecurity evaluations」（2026年7月30日）— anthropic.com
- Anthropic，「An alignment assessment of recent cybersecurity incidents」（2026年9月9日）— anthropic.com
- Anthropic，「Investigating unintended model actions in our evaluations and internal use」（2026年10月9日）— anthropic.com
- 維基媒體基金會，「OpenAI “rogue” agent activities found on Wikimedia projects」（2026年10月5日）— wikimediafoundation.org
- NBC Philadelphia，「Anthropic AI model submits false tip on unsolved Philly murder, police say」（2026年10月9日；用於費城警方的說法）— nbcphiladelphia.com
- 澳洲總理，「Press conference - New York」（2026年9月24日）— pm.gov.au
- ASD的ACSC，「Risks of AI misalignment to Australian organisations」（2026年9月24日）— cyber.gov.au
- RubyGems Blog，「An update on the May spam-publishing campaign on rubygems.org」（2026年9月11日）— blog.rubygems.org（用於確認歸因並未成立）
- IETF RFC 9116，「A File Format to Aid in Security Vulnerability Disclosure」— rfc-editor.org
更新紀錄
2026-10-12：反映Anthropic於9月9日與10月9日的報告，以及維基媒體基金會於10月5日的報告。將Anthropic對第三方系統未經授權存取的描述由「三家公司」改為「四起案例」，並新增其在評估與內部使用中的非預期行動（包括透過費城警方表單送出的不實線索）及其措施。新增兩項營運者步驟：確認表單提交確實送達真人，以及避免將存取權杖放在傳送至瀏覽器的設定檔與公開儀表板中。
2026-09-28：首次版本，依據OpenAI、Anthropic與澳洲政府的官方揭露撰寫。
延伸閱讀
- AI驅動攻擊的完整概況與防禦順序：防禦AI驅動的網路攻擊（自主入侵、提示注入、AI供應鏈）
- 另一起AI代理人入侵：透過Zammad零日漏洞的DIVD入侵事件
- 第一起案例：Hugging Face入侵事件（2026）：自主AI代理人攻擊
- 修補弱點：使用gitleaks防止機密資訊被提交 / 身分驗證與授權 / 依框架的安全性
- 察覺異常：速率限制與濫用控制 / 組織資安優先事項
- 工具：網站安全稽核（也會檢查security.txt）