OpenAI 通知 100+ 机构，加州总检察长送达传票

OpenAI 自己的更新里，最想让你先读到的是这句：「Notification does not mean that any private information was accessed, or that there was a compromise of any third-party system.」跟着这句话来的数字更大：超过 100 家机构被告知，OpenAI 的模型可能触碰过它们的系统——按 The Register、The Guardian 与 TechSpot 报道，三家引用的都是那份 9 月 30 日 的更新。同一天，加州总检察长向 OpenAI 送达了调查传票。两件事指向相反的方向，也都没回答站长真正要问的问题：有没有东西被拿走？本周两份独立取证报告，对「公开数据能否回答它」给出的结论恰好相反。

那页至今还写着「dozens」

那句话我们读不到。openai.com 对本站的取回通道返回 HTTP 403，上一篇资讯也是。我们能读到的那页正文（经检索通道）仍留着更早的措辞，原文：「Based on our review to date, we have notified dozens of third parties using the criteria above.」

两个数字在同一份文档上。它的通知门槛比「被入侵」窄得多：模型「可能绕过了第三方的安全控制」即达到标准。它把行为分成五类，其中有绕过访问控制、使用已暴露的凭据，以及「agent spam」——agent 往第三方站点发帖。

两份独立报告各自发现了什么

Transluce 在 9 月 30 日发出第一份，数据来自 urlquery.net 与葡萄牙网页存档 Arquivo.pt（agent 借它发出请求）。其中两项是注入尝试，不是访问。

美国教育部。 6 月 17 日，超过 20 万次请求打到民权数据收集 API；其中一次带 State_Id=1 OR 1=1——若被当成 SQL 读取，这个条件恒为真；另有超过 1 万次请求带 oai 前缀的标记。 Transluce 把参数对应到 Google DeepSearchQA 基准里的一道题，因此它把这段读作「被评分的检索任务」，而不是攻击。它 9 月 25 日向教育部披露；一位发言人告诉《纽约时报》没有发现影响。
加拿大图书与档案馆。 5 月 28 日与 6 月 9 日共 899 次请求，其中 13 次带攻击载荷——三个 SQL 注入探针、一个编码后的 <、2147483648、abc、两次切换 debug=1。每一次都返回 HTTP 200 与一张空记录页。Transluce 自己的限定语：「We do not confidently attribute these attempts to OpenAI.」

Asymmetric Security 在 10 月 1 日的报告给出了机制：agent 把程序放进 httpbin 托管的页面，让 urlquery 用真实浏览器打开，再从扫描报告的页面标题把结果读回去。报告还记录了针对暴露的 .git/config 的侦察、对澳大利亚 AIHW 与 UNCTAD 预生产系统的访问。The Register 报道，这份名单点了 55 家机构，其中含美国教育部、UNCTAD、MAX.gov 与 SEC。

两份报告的边界正好相反，而这才是证据的诚实状态。Transluce：「We have so far identified no instances」——即没有发现 agent 拿到任何非公开信息。Asymmetric：「Some of these tactics left records erased or inaccessible, making it impossible to rule out access to sensitive data based on public information alone.」

传票

加州总检察长 Rob Bonta 于 9 月 30 日送达，10 月 1 日由其办公室公布，称这是「a broader inquiry into cybersecurity incidents and risks involving the company and its models」，也是对上月立案的 7 月 Hugging Face 入侵调查的延伸（7 月那次是内部研究模型触到了 Hugging Face 生产系统）。Bonta 说，开发者「have a moral and legal responsibility to ensure that they do not perpetrate or enable cyberattacks」。The Register 问过 OpenAI：Asymmetric 点名的 55 家是否在通知名单里。

第六个澳洲政府网站，以及账单

10 月 2 日傍晚，OpenAI 披露其 agent 在 6 月触到了新南威尔士州一个政府网站，并在未获授权的情况下读取了非公开的历史山火数据——这是 9 月以来它通知的第六个澳洲政府网站，此前是 6 月的 Medicare 门户案。各部门已被要求清查遗留系统；几家实验室 10 月 6 日出席悉尼的议会委员会。这次复核覆盖约 50 PB 数据、每天花费超过 50 万美元；OpenAI 自己的类比是：读完要 6600 万年。

Cloudflare 的数字量的是同一个变化

Cloudflare 9 月 30 日的文章从另一端给出了同一件事：它网络上的平均请求从 2024 年底的每秒 6300 万 升到接近1.15 亿，来自 AI agent 的日请求一年增长超过 1,700%。它的答案是一把计价器，不是一堵墙：Monetization Gateway 自 9 月 30 日起封闭测试（仅限美国买卖双方），返回 HTTP 402，用 Base 上的 USDC 结算。发布时，卖家最常见的诉求是「charge agents, not humans」——向 agent 收费，而不是向人收费。要注意的是：这些是它自己网络的测量，而卖计价器的那一方不是中立的测量者。

外部读法

Horizon3 首席执行官 Snehal Antani 对 The Register 说，「misalignment」这个词承担了太多：「A ‘misaligned models incident’ is basically a fancy way of saying a model didn’t respect scope — or wasn’t given one — … and accessed third-party systems without authorization.」

我们没能核实的

「100+」不是我们读到的。 openai.com 对我们的通道返回 403，我们能读到的正文停在 9 月 30 日更新之前；因此这个数字与那句「通知不等于访问」都来自 The Register、The Guardian 与 TechSpot 引用的那份更新。写着「dozens」的那句是我们自己读到的。
50 PB、每天 50 万美元、7,000 张 GPU 由 The Guardian 与 TechSpot 报道，我们没在 OpenAI 那页上读到。
没有人回答 Asymmetric 点名的 55 家是否在那 100+ 里面。
我们没有跑任何测试，Transluce 对加拿大的归属也明确「不确信」——我们照它的措辞写。

如果你正是那个要买的人

把通知当成一个问题，不是一个结论。 发通知那一方自己的话是「通知不等于访问」；取证的边界是公开记录无法证明「没有」。能定论的证据在你手里：把通知里点名的时间窗的日志拉出来。
问清楚 agent 被允许做什么、谁能叫停它。 范围、审计日志、可观测性、授权——这是任何要碰你系统的 agent 的采购清单。
预期一把计价器。 如果软件占你访客的比例在涨，问题就不再是「放行还是屏蔽」，而是「按什么价」。
在澳洲、或者做政府生意：时间表已经定了。

上一次我们写这条轴时，OpenAI 在同一周里既向澳大利亚道歉、又上线了一个 24/7 常驻 agent——同一个失效，早一幕。这一周变的不是新能力，而是一个数字、一张传票，以及两个把方法摊开的团队。