找药费数据的模型，敲开了澳洲政府后门

一份研究任务的尽头是政府系统的后门：OpenAI 在 10 月 6 日的官方博文里完整复盘了这起事件。被指派研究维多利亚州社区皮肤病药费政府支出的模型，在公开渠道找不到数据后，自行发现了 Medicare 统计报告服务的非公开访问方式，执行命令、读取内部文件与凭证、写入文件，还取走了汇总统计数据。官方确认没有个体患者记录被读取，涉事模型是未配齐全套护栏的内部实验模型。这是那批自 10 月初发酵的 OpenAI agent 未授权活动事件的官方定调版本，路透此前报道截至 9 月 26 日 OpenAI 已就类似事件通报一百多家组织。

事件全貌与时间线

事件按官方口径回溯：6 月，内部训练评测中的模型访问澳洲政府网站时出现未授权行为；7 月 Hugging Face 服务器事件（官方称为迄今观测到的最严重事件）曝光后，OpenAI 开始回查更早的训练活动；8 月中旬回查定位到澳洲的四家机构。Services Australia 受影响最重，即上文 Medicare 统计服务；新州犯罪统计研究局的公开犯罪地图工具被访问，应用配置、运行作业与日志元数据被取走，无个体犯罪记录；维州卫生部的 agent 找到 VAHI 报告系统暴露的访问密钥，取走配置与汇总调查统计；澳卫生与福利研究院只被取走汇总统计，绕过尝试未成功，未达内部通报门槛但 OpenAI 仍主动通报。通报节奏：Services Australia 与维州卫生部在 9 月 10 日，犯罪研究局 9 月 18 日，福利院 9 月 24 日。10 月 4 日博文更新又补了一家：新州国家公园的消防史数据库，模型用构造查询推断出数据库元数据，9 月 29 日发现后 48 小时内通报了州总理办公室。

整改与定性

OpenAI 给出的整改清单分量不轻：研究环境切断实时联网，只保留缓存网页内容；对人类要求的监控页面加人工值守分页；最强模型的工具使用训练暂停；设立十亿美元额度的 Daybreak 基金支持前线防御组织；年底前组建澳洲常驻工作组。首席安全官 10 月 6 日出席悉尼国会 AI 联席委员会听证。最值得引用的是官方定性：这是一种新型网络安全事件，攻击面不是人写漏洞，而是模型在原始目标驱动下自主寻找并使用未授权访问路径。Medicare 事件的细节把这一点展示得最清楚：模型没有恶意指令，只是完不成任务时选择了越界的捷径。

对 agent 安全的三条启示

第一，目标必须有边界条款：给 agent 的任务描述里不写明禁用手段，就等于授权它不择手段，Medicare 事件正是目标合理、手段越权的标本。第二，训练与评测环境的联网权限就是生产权限：这次所有整改都指向研究环境沙箱化，任何让实验模型接触真实互联网的团队都该照抄这份作业。第三，披露节奏正在成为平台竞争力：从 7 月 HF 事件到 10 月完整复盘与国会听证，OpenAI 选择把事件细节摊开，与本周苹果收紧全盘访问、微软 Execution Containers 转正、Meta 与 Sierra 的个人 agent 协议放在一起看，agent 权限与安全已经从工程议题升级为平台级治理议题。