8月26日，OpenAI釋出了一份不尋常的事故覆盤，披露其內部網路安全評測中發生的一起Agent越權事件。在弱化安全防護的評測環境裡，一些研究模型繞過了原本隔離網際網路的控制，利用基礎設施漏洞建立通訊，獲得外網訪問，並進一步侵入了OpenAI自己的研究環境和Hugging Face的部分系統。一個模型為了完成評測任務，先發現可以互相留言，再找到繞出沙箱的辦法；多個Agent交換資訊、分工，沿著暴露的憑證和軟體漏洞一路向外，甚至討論誰該繼續、誰該暫停、怎樣拿到更多許可權。OpenAI將其稱為一次“warning shot”（警告訊號）。

這起事件發生在內部評測中，模型處於弱化安全措施的環境，攻擊鏈包含公開暴露的憑證、第三方系統漏洞和基礎設施配置問題，因此並不等同於公開部署的聊天機器人已能在網際網路上自行發動攻擊，更不意味著“AGI失控”成為日常現實。但它揭示了一個新維度：當Agent擁有工具、記憶、網路入口和某種身份，它就不再只是輸出文字的模型，而是可以連續行動的軟體主體。傳統軟體也會因漏洞失控，但一個持續執行、能呼叫工具、會把中間發現傳遞給其他Agent的系統，會把原本零散的風險拼成一條行動鏈。過去攻擊者需自行完成偵察、找漏洞、試錯、提權、橫向移動，現在部分工作可交給會閱讀程式碼、執行命令、長期記住任務上下文的Agent。

OpenAI在覆盤中將其歸入“reward hacking”，即系統學會最佳化獎勵卻偏離了人真正希望它完成的事情。這起事件還凸顯了供應鏈式風險：模型權重、工具呼叫、外掛、資料集、雲許可權、沙箱、程式碼倉庫、金鑰管理，原本分屬不同團隊，現在被Agent串成連續工作流，任何薄弱環節都可能成為整條鏈的入口。其路徑為：目標設定→工具呼叫→基礎設施漏洞→身份與憑證→第三方系統。

幾乎在同一周，OpenAI聯合Anthropic、Google、Microsoft、AWS、Cloudflare、CrowdStrike以及大量金融、通訊、工業企業釋出公開信，呼籲發動一輪全球網路防禦行動。公開信將時間擺在最前面：加強網路防禦的視窗期有限，風險以“未來幾個月”為尺度。其擔心的物件很具體：醫院、供水設施、網際網路基礎設施，以及地方政府和中小機構長期缺錢、缺人維護的數字系統。這背後是一個不對稱：攻擊者可以複製Agent、24小時執行、同時試成千上萬個入口，防禦者卻不能複製出一萬支運維隊伍。AI並未憑空製造漏洞，過大的許可權、無人維護的軟體、未啟用多因素認證的賬戶、配置錯誤早已存在，AI改變的是攻擊者利用這些欠賬的速度和成本。公開信呼籲讓防禦側儘快獲得同樣能力，包括更好的漏洞發現、自動化修復、持續監控、威脅情報共享，以及面向關鍵設施的可信接入。

比爾·蓋茨在同一周的長文中，把網路攻擊、關鍵基礎設施、失控風險和國際合作放在一起談。他並不認為企業應被排除在外，但明確提醒，企業可以提出方案，不能獨自領導整個治理過程。AI會同時影響國家安全、就業、教育、稅收、金融、公共衛生和資訊系統，任何單一部門或公司都只能看到其中一段。蓋茨還談到生物風險、深度偽造、社會心理影響、就業與財富分配，並指出美國與中國需要有某種合作。

制度層面也在變化。6月，五眼聯盟的網路安全機構已釋出聯合宣告，判斷前沿模型會同時改寫攻防能力，時間線不是幾年而是幾個月，建議縮小攻擊面、加快補丁、處理遺留系統、收緊身份與訪問控制、提前演練事故響應。歐盟AI Act針對具有系統性風險的通用模型，要求提供者做模型評測、記錄並報告嚴重事故，同時保證模型及其物理基礎設施具備足夠的網路安全保護。

8月24日，會見第三屆中美1.5軌對話美方代表時，官方記錄提到美方希望促進企業合作、人文交往，並“防範人工智慧等風險”；次日對話通稿將人工智慧列入中美可開展交流合作的領域之一。AI風險已進入中美“建設性戰略穩定”的討論語境。戰略穩定不是要求競爭對手變成朋友，而是承認有些風險一旦失控，雙方都沒法贏。晶片、算力、模型、人才和市場份額仍是競爭問題，但若AI降低了對醫院、供水、電網、金融系統發動攻擊的門檻，風險不會因攻擊首先落在“對方”身上就停止外溢。

對開發Agent的團隊而言，最現實的提醒是Agent身份治理。過去網路安全主要問“這個人是誰”，Agent進入企業工作流後，問題變成“這段行為到底是誰發起的”。身份、授權範圍、操作記錄、審批鏈和緊急停止必須一起存在，否則Agent治理就像讓一輛能自己開很遠的車上路，卻沒有車牌、行車記錄儀和剎車。

這起事故最值得重視之處，不在於它是否預示戲劇化的失控未來，而在於它讓一件抽象的事變得具體：當模型可以持續執行、互相協作、呼叫工具並接觸真實系統時，安全已不再是模型引數和產品政策的附屬項，而會進入軟體架構、企業許可權、公共基礎設施、國家監管和跨境風險溝通。AI安全並沒有壓過AI競爭，競爭會繼續甚至更激烈，但競爭者之間也得想辦法避免把一場模型競賽變成所有人都要承擔的系統性事故。