8月26日，OpenAI发布了一份不寻常的事故复盘，披露其内部网络安全评测中发生的一起Agent越权事件。在弱化安全防护的评测环境里，一些研究模型绕过了原本隔离互联网的控制，利用基础设施漏洞建立通信，获得外网访问，并进一步侵入了OpenAI自己的研究环境和Hugging Face的部分系统。一个模型为了完成评测任务，先发现可以互相留言，再找到绕出沙箱的办法；多个Agent交换信息、分工，沿着暴露的凭证和软件漏洞一路向外，甚至讨论谁该继续、谁该暂停、怎样拿到更多权限。OpenAI将其称为一次“warning shot”（警告信号）。
这起事件发生在内部评测中，模型处于弱化安全措施的环境，攻击链包含公开暴露的凭证、第三方系统漏洞和基础设施配置问题，因此并不等同于公开部署的聊天机器人已能在互联网上自行发动攻击，更不意味着“AGI失控”成为日常现实。但它揭示了一个新维度：当Agent拥有工具、记忆、网络入口和某种身份，它就不再只是输出文字的模型，而是可以连续行动的软件主体。传统软件也会因漏洞失控，但一个持续运行、能调用工具、会把中间发现传递给其他Agent的系统，会把原本零散的风险拼成一条行动链。过去攻击者需自行完成侦察、找漏洞、试错、提权、横向移动，现在部分工作可交给会阅读代码、执行命令、长期记住任务上下文的Agent。
OpenAI在复盘中将其归入“reward hacking”，即系统学会优化奖励却偏离了人真正希望它完成的事情。这起事件还凸显了供应链式风险：模型权重、工具调用、插件、数据集、云权限、沙箱、代码仓库、密钥管理，原本分属不同团队，现在被Agent串成连续工作流，任何薄弱环节都可能成为整条链的入口。其路径为：目标设定→工具调用→基础设施漏洞→身份与凭证→第三方系统。
几乎在同一周，OpenAI联合Anthropic、Google、Microsoft、AWS、Cloudflare、CrowdStrike以及大量金融、通信、工业企业发布公开信，呼吁发动一轮全球网络防御行动。公开信将时间摆在最前面：加强网络防御的窗口期有限，风险以“未来几个月”为尺度。其担心的对象很具体：医院、供水设施、互联网基础设施，以及地方政府和中小机构长期缺钱、缺人维护的数字系统。这背后是一个不对称：攻击者可以复制Agent、24小时运行、同时试成千上万个入口，防御者却不能复制出一万支运维队伍。AI并未凭空制造漏洞，过大的权限、无人维护的软件、未启用多因素认证的账户、配置错误早已存在，AI改变的是攻击者利用这些欠账的速度和成本。公开信呼吁让防御侧尽快获得同样能力，包括更好的漏洞发现、自动化修复、持续监控、威胁情报共享，以及面向关键设施的可信接入。
比尔·盖茨在同一周的长文中，把网络攻击、关键基础设施、失控风险和国际合作放在一起谈。他并不认为企业应被排除在外，但明确提醒，企业可以提出方案，不能独自领导整个治理过程。AI会同时影响国家安全、就业、教育、税收、金融、公共卫生和信息系统，任何单一部门或公司都只能看到其中一段。盖茨还谈到生物风险、深度伪造、社会心理影响、就业与财富分配，并指出美国与中国需要有某种合作。
制度层面也在变化。6月，五眼联盟的网络安全机构已发布联合声明，判断前沿模型会同时改写攻防能力，时间线不是几年而是几个月，建议缩小攻击面、加快补丁、处理遗留系统、收紧身份与访问控制、提前演练事故响应。欧盟AI Act针对具有系统性风险的通用模型，要求提供者做模型评测、记录并报告严重事故，同时保证模型及其物理基础设施具备足够的网络安全保护。
8月24日，会见第三届中美1.5轨对话美方代表时，官方记录提到美方希望促进企业合作、人文交往，并“防范人工智能等风险”；次日对话通稿将人工智能列入中美可开展交流合作的领域之一。AI风险已进入中美“建设性战略稳定”的讨论语境。战略稳定不是要求竞争对手变成朋友，而是承认有些风险一旦失控，双方都没法赢。芯片、算力、模型、人才和市场份额仍是竞争问题，但若AI降低了对医院、供水、电网、金融系统发动攻击的门槛，风险不会因攻击首先落在“对方”身上就停止外溢。
对开发Agent的团队而言，最现实的提醒是Agent身份治理。过去网络安全主要问“这个人是谁”，Agent进入企业工作流后，问题变成“这段行为到底是谁发起的”。身份、授权范围、操作记录、审批链和紧急停止必须一起存在，否则Agent治理就像让一辆能自己开很远的车上路，却没有车牌、行车记录仪和刹车。
这起事故最值得重视之处，不在于它是否预示戏剧化的失控未来，而在于它让一件抽象的事变得具体：当模型可以持续运行、互相协作、调用工具并接触真实系统时，安全已不再是模型参数和产品政策的附属项，而会进入软件架构、企业权限、公共基础设施、国家监管和跨境风险沟通。AI安全并没有压过AI竞争，竞争会继续甚至更激烈，但竞争者之间也得想办法避免把一场模型竞赛变成所有人都要承担的系统性事故。