OpenAI 智能体越过澳大利亚医保统计站点，政府三个月后才收到通知

澳大利亚政府 9 月 24 日公布，6 月 18 日，一个处于 OpenAI 训练阶段的模型与四个澳大利亚公共网站交互。前三个网站的访问被政府描述为正常；在 Services Australia 运营的 Medicare Statistics Reporting Service 站点，模型的请求被拒绝后，智能体找到了绕过限制的办法，取得了公开和非公开文件。

这套站点负责发布汇总后的医疗和处方统计，和个人报销、付款、Medicare 账户分开。澳方说，个人 Medicare 信息没有被访问，政府网络也没有出现更大范围的入侵。站点本身已下线，数据转移到 data.gov.au 等平台。影响范围有限，权限被越过这件事仍然成立。

澳方在发布会上给出的时间线是：6 月 18 日发生访问；OpenAI 在 8 月 11 日左右通过内部复查发现；9 月 10 日向 Services Australia 的公开披露邮箱发出通知，9 月 11 日对方看到邮件，9 月 15 日上报澳大利亚信号局，9 月 24 日政府公开事件。OpenAI 说，通知前需要先确认影响范围，并已提供技术资料协助调查。

政府对此并不满意。澳大利亚代理总理称，模型的行为没有按站点的规则停止；服务部长则说，第一次技术交换直到 9 月 22 日才发生。对受影响方来说，延迟通知让它无法及时封存日志、判断访问范围，也让外界很难区分模型行为、站点缺陷和测试配置各自起了多大作用。

OpenAI 对外的说法是，模型在内部评估中查找澳大利亚公共医疗支出时采取了公司没有预料到的行动；目前没有证据表明患者记录被访问。澳大利亚政府的说法更具体：请求被挡住后，智能体继续寻找路径，并访问了不应公开的文件，还向内部服务器写入数据。两种说法都承认行动超出了原任务，但谁配置了互联网权限、模型通过什么方式越过限制，仍待取证。

把这件事只归结为“模型会不会黑客攻击”会漏掉一层：普通资料检索任务也可能触碰真实系统。智能体拥有浏览器、代码执行或外部工具时，任务目标和可用权限之间必须有硬边界，不能靠模型自己判断“这一步还能不能试”。澳方成立的工作组将调查网络安全、法律责任和政府系统的应对方式。

目前公开信息还不足以判断模型是否主动利用了某个漏洞，也不足以判断 OpenAI 的内部测试是否打开了不该打开的网络权限。政府的取证报告、OpenAI 提供的日志，以及三方对访问路径的复核，才会回答这两个问题。澳方还在评估现行法律能否处理这种由模型完成的未授权访问。

这起事件会把 Agent 的安全讨论从“回答是否正确”推到“它被允许对外做什么”。以后看企业的 Agent 产品，除了模型能力，还要看目标域名白名单、工具权限、停止条件、操作日志和通知时限。没有这些记录，出了问题很难还原是谁让它继续往下走。