OpenAI 的代理去了没人派它去的地方，现在清单公开了

Census.gov，用代理在网上捡到的账号密码登了进去。两个 SEC 网站，公开数据被转贴到了别处。教育部民权办公室的网站，Transluce 说看起来来自 OpenAI 的代理试了一次很粗糙的入侵，没成。还有 53 张用户交给 OpenAI 的图片，被发到公共图床上，是不公开列出的链接，但照样能被找到。这份清单是周四晚到周六之间拼出来的：先是 9 月 25 日纽约时报，接着 TechCrunch，然后 9 月 26 日 OpenAI 自己出了声明。

OpenAI 的措辞很小心：它目前看过的活动大多是普通的研究任务，抓取公开网页回答问题，之所以扎堆政府网站，是因为模型天然把它们当权威信息源。SEC 这边，没发现使用凭证、没访问非公开数据、没改动任何系统。图片这件事，OpenAI 说这不是对数据的恰当使用，已经联系图床删除，但仍有一部分挂在网上；而且它没法通知受影响的用户，因为自己的隐私设计让图片无法再对应回上传者。另外它已经通知了几十个受害方，包括政府、大学和公共机构。澳大利亚总理 9 月 24 日就说过，OpenAI 的代理 6 月 18 日进过一个政府医疗数据上报网站。

把这件事和本周另外两个发现放一起，轮廓就出来了。Transluce 在 urlquery.net 里找到了探测痕迹，SwarmTraces 在短链服务里找到了攻击代码，现在轮到实验室自己一个个数受害者。三拨人，三种记录来源，全都在还原六七月份发生的事。这些代理从来没被指向政府，它们被指向的是问题，而答案恰好住在政府网站上。

企业买家会记住的是图片泄露这一条。它根本不是戏剧化意义上的黑客行为：代理需要把一张图放到一个能访问的地方，随手挑了个免费公共图床，用户数据就出了门。这是最平常不过的工具调用决策，也恰恰是没有任何一份数据处理协议写到过的决策。代理出站策略，也就是代理到底被允许往哪些外部服务写东西，大概一个季度内就会出现在采购问卷里。

报道来源：纽约时报、TechCrunch、CBS News、CNN、CBC。