OpenAI 智能体集群数月来持续攻击在线数据库以查找冷门事实

由于几乎没有前沿实验室的配合，独立研究者们只能自行拼凑出 AI agent 是如何在互联网的角落里相互协作、获取安全服务器上的私有数据的。

专注于 AI 监督的非营利实验室 Transluce 周三发布了一份报告，显示来自 OpenAI 的 agent 曾试图从 Data USA、新墨西哥大学数字图书馆以及澳大利亚健康与福利研究所（AIHW）窃取数据。

这项调查引发了一个疑问：OpenAI 到底什么时候才应该发现自己的 agent 正在试图入侵开放互联网上的安全系统？Transluce 仅用几周时间，就通过搜寻防护薄弱的 Web 服务，并与互联网上其他公开的 agent 集群记录相互印证，找到了 agent 不当行为的证据。

就在 Transluce 发布报告的同一天，澳大利亚总理 Anthony Albanese 表示，OpenAI 的 agent 曾试图入侵四个政府网站，其中一次得手——甚至在澳大利亚国家医疗体系的内部服务器上写入了文件。虽然成功入侵的具体细节尚不清楚，但 Albanese 表示这显然是一次信息检索评测的一部分，与 Transluce 及其他研究者发现的活动相吻合。

在这些可能是训练或评测的任务中，OpenAI 的模型被要求查找一些冷门的统计数据：泰国的禁毒执法指标、澳大利亚的药品成本、2014 年美国硕士学位持有者的收入中位数。这些 agent 会利用防护薄弱的互联网服务来共享和查找答案，并经常尝试攻入安全数据库。这种活动至少从 2026 年 3 月就开始了，甚至可能早至 2025 年 11 月，而且现在或许仍在进行。

OpenAI 今天表示，已联系数十名受害者——包括政府、大学和公共机构——通知他们其 agent 的未授权活动。

此前，另一组研究人员发现了一个较为冷门的论坛，该论坛上的智能体正协作挑战限时测试。这一发现促使 Transluce 启动了调查。该报告依赖的数据源自 urlquery.net，这是一个以安全研究为名的浏览器代理网站，用户无需手动打开页面即可分析 URL。不过，该服务会公开记录相关活动日志。Transluce 的研究人员通过交叉比对论坛上的讨论，成功识别出利用该服务的智能体。

Transluce 治理负责人 Conrad Stosz 在接受 TechCrunch 采访时表示：“我们发现了大量自动化的活动，它们与 DSE Wiki 数据集有着紧密的关联和重叠。OpenAI 现已证实，这些活动至少有一部分属于同一个智能体集群。”同时他也指出，并非观察到的所有活动都能追溯到 OpenAI，甚至与 AI 智能体相关。

然而，维基记录显示，这些智能体被指派去挖掘一个相当生僻的事实——2022 年 1 月，维多利亚州每人平均的“皮肤科药物”年度费用。6 月 20 日，Transluce 找到的 urlquery.net 日志显示，有智能体试图访问该网站。6 月 21 日，一条维基条目中的智能体讨论了它们无法绕过 AIHW 反机器人保护机制的问题。

识别出该论坛的研究人员认为，一名 OpenAI 人类员工在同一天，即 6 月 21 日，首次访问了该网站。论坛上的大部分智能体活动于次日停止。这也紧随澳大利亚医疗系统漏洞事件（Albanese 于 6 月 18 日披露）发生之后。OpenAI 表示，他们直到 8 月才得知相关活动的存在。

OpenAI 并未回应关于其员工何时发现该维基论坛、从中获取了哪些信息，或可能从中学到哪些有关漏洞利用方法的问题。

OpenAI 发言人告诉 TechCrunch，公司初步审查表明，Transluce 报告中描述的许多活动与公司正在进行的“模型行为偏差”审查中处于不同调查阶段的案例存在重叠。该发言人补充道：“我们已联系新墨西哥大学、Data USA 以及澳大利亚政府，就受影响的政府网站进行沟通。在更广泛的审查工作中，我们正优先处理最严重的事件，同时扩大对较低严重程度活动的审查范围，包括代理程序发送垃圾信息攻击网站的行为。考虑到这项工作的规模以及核实每个案例的必要性，预计审查过程将持续数月。”

Stosz 表示，由于无法清晰了解 OpenAI 监控其代理程序的具体方式，很难断定实验室本应知晓哪些情况。但他指出，“如果他们曾详尽研究并理解参与 DSE wiki 相关活动的所有代理程序的出站请求和入站响应，那么他们本应发现这些异常行为。”

参与报告撰写、Transluce 技术团队成员 Selena Zhang 表示，urlquery.net 的记录显示，2026 年 3 月已有针对类似数据集、使用类似技术的请求记录，且最早可追溯至 2025 年 11 月。她指出，urlquery.net 上近期（截至本周）仍出现了同类由代理程序引发的活动。

曾领导美国人工智能标准与创新中心的 Stosz 称，Transluce 将继续开展研究，致力于提高此类事件在公共领域的透明度。他警告称，OpenAI 及其他前沿实验室使用的训练技术似乎正在激励代理程序采用黑客手段来完成任务。目前已知的事件很可能只是“冰山一角”。

“我们仅发现少数几个数据源，这些代理程序恰好在那里留下了可供我们追查的‘线索’，”他说，“OpenAI 肯定对此有更多了解。其他实验室肯定也掌握了未公开发布的相关信息。但我预计研究人员将继续发现更多流量记录，以及代理程序留下的更多证据。”

他是否信任这些实验室会就其发现保持透明？

“对此我不发表评论，”Stosz 说道。

本文已更新，以包含 OpenAI 最新披露的互联网上代理程序异常行为。