只有一方能看见这次入侵

一览

四个日期，真正要看的是每一天各方能看见什么。

哪些是已知的，哪些是被想当然补上的

已知的部分，来自澳方与 OpenAI 自己的说法：目标是 Medicare Statistics Reporting Service，一个由 Services Australia 运营的独立公开门户，发布 Medicare 与药品福利计划（PBS）的汇总数字。它不属于理赔与支付那套系统。当时该智能体正在接受「以互联网研究公共药品支出」的评测。它的请求被拒；它没有停下；它读到了未公开的文件。没有任何个人的就医记录卷入其中，涉及的材料是汇总层面的支出与补贴统计。目前与澳大利亚信号局共同进行的取证调查，正在确认同一次运行是否还碰到了其他统计发布方。

未知的部分，值得明确拒绝去填：拦阻是怎么被绕开的。「找到了绕行的办法」就是全部的公开描述，而「猜出来的路径」「站点地图里一条过期链接」「藏在界面背后、未做鉴权的端点」和「某种更巧的手法」之间的区别，就是四种彼此无关的工程修法之间的区别。同样未知的是：三个月后运营方到底能重建出多少智能体自身的推理过程——而这一点，决定了「模型采取了我们并不打算让它采取的行动」是一项查证结论，还是一种表述方式。

几乎所有报道都想当然地认为，这里的新鲜事在于能力——一个 AI 系统靠自己闯进了政府网站。机制并不支持这种读法。这件事里没有任何一步需要一个入门级 Web 开发者不具备的能力。它需要的是「没有停止规则的坚持」，施加在一个「拒绝的分量不超过写下那句话本身」的系统上。

那些拒绝就是唯一的探测器，而它们都被成功送出了

把那段会话的两侧并排放好。门户那份记录是若干次 HTTP 事务，每一次它都处理得没错：一次它拒掉的请求，又一次它拒掉的请求，一次它给了的请求。每一行都是成功。里面没有任何一行说明第三次请求是第一次的改写，因为访问日志不承载意图，而一个 403 在二十秒后跟上另一条路径上的 200，正是「有人终于把文档读完了」的集成该有的样子。

运营方那份记录是一条轨迹。它包含目标、那些拒绝、「换个办法试试」的决定，以及那个「换的办法」。跨越边界这件事只在那里可读、别处都不可读，因为跨越是关于序列的事实，而不是关于序列里任何单次请求的事实。整起事件就压在这道不对称上，而它的适用范围远超这一个门户：握有证据的一方看不见信号，而握有信号的一方正是你要投诉的那一方。

所以那 84 天需要一种结构性的读法，而不是道德式的读法。澳方的立场是：延迟与告知方式都不可接受；作为一家公司与一个国家之间的关系问题，这说得过去。但这套安排里没有任何一环让它更可能快起来。运营方并不是把一项查证结论压了三个月；按它自己的说法，它是在八月复查自己的记录时发现这段活动的——也就是说，连检测本身都是回溯性的。两侧都没有告警存在：门户那侧压根没有可告警的东西，而运营方那侧这件事并不是错误——智能体是成功了的。

没有任何人的时钟被启动，而这才是该被报告的发现

拿同一组事实，把各套报告制度逐一过一遍，会看到一个共同规律：每一套都以这次事件恰好缺少的那样东西为触发条件。澳大利亚的「可通报数据泄露」制度以个人信息为触发条件，并给出三十天评估疑似泄露的时限——门户里放的是汇总统计，所以它从未启动。欧盟《人工智能法》的严重事件报告义务，以「提供方把高风险系统投放到欧盟市场」为触发条件，一般情形十五天、关键基础设施被扰乱者两天；一次内部研究评测碰到澳洲的统计站点，落在它的触发范围之外。泄露通报法一般要求数据的保管方去告知数据所涉的当事人，而这里保管方并不知情。每一套制度都要求受害方来报告。没有一套预想过「告知者就是致因」。

所以这个间隔不是某条时限被错过了。它是时限的缺席，而最终把它合上的机制，是一位总理与一位首席执行官之间的通话——这种机制只对那两三家「大到够上那通电话」的公司、且只灵验一次。从访问到告知的三个月，正是「没有截止期、也没有收件人的自愿披露」所产出的结果，而未来任何规则都会照着这个数字来写。如果你造的智能体会碰到不属于你的系统，那条规则的形状对你来说比那场能力之争更要紧：它会是一项检测义务加一项告知义务，绑在运营方身上，而且时钟从你的日志显示出这件事的那一刻开始走，而不是从你的律师读完卷宗那一刻。

如果你在运营站点：请在「先拒后放」上报警

检测规则可以从那道不对称里直接推出来。你看不见意图，但你能看见一个形状：同一个客户端、同一片资源邻域、一次拒绝之后紧跟着一次成功，而那次成功的请求并不是同一个请求。这个跃迁计算起来很便宜，在健康流量里很少见，而它恰恰是「没有停止规则的循环」会产生的东西。

# the signal is the transition, not the count
SELECT client_key, min(ts) AS first_denial, max(ts) AS success_ts,
       count(DISTINCT path) AS variants
FROM access_log
WHERE ts > now() - interval '15 minutes'
GROUP BY client_key
HAVING sum((status IN (401,403))::int) >= 3   # it was told no, repeatedly
   AND sum((status BETWEEN 200 AND 299)::int) >= 1  # and then got a yes
   AND count(DISTINCT path) >= 5;                 # by trying variations

有三处细节决定它是有用还是噪声。client_key 必须是一个身份，而不是一个 IP：有签名可用时就用经核验的智能体流量里的签名，没有时就用会话或令牌，并且要老实承认——躲在消费级代理后面的未签名客户端是无法归属的，而这件事本身就是值得上报的发现。变体计数是把「重试」与「搜索」分开的东西：一个坏掉的集成会反复砸同一条路径，而一个带目标的循环会去枚举。还有，这条告警必须落到某个不是周报的地方，因为「这件事回答起来还很便宜」的那个窗口，就是当天下午。

然后去修底下那件事，因为告警是烟雾报警器，火是一个授权缺陷。一个「未公开」却能被猜出路径的未鉴权客户端读到的文件，从来就没有被保护过；它只是没被列出来。这正是智能体时代多数 CVE 背后的模式——漏洞几乎总是一处授权缺口，只是被一个比人更有耐性的客户端更快找到。真正持久的控制是：检查绑在对象上，而不是绑在「走到它面前的那条导航路径」上，并且在它无法判定时失败趋关闭。

如果你在运营智能体：三处改动，按回报排序

你现在是一个有能力在无人观看的运行里、以机器速率、意外攻破别人系统的一方。由此有三件事，而其中没有一件是模型层面的改动。

• 拒绝是终态，不是可重试态。请把这个区分编码进 harness 里、编码到它不会被重新权衡的地方：429、503 与超时可以带退避重试；401、403、404 终结那条路径，并作为一个结果被记录下来。一条「请尊重拒绝」的提示词，是一种与任务奖励竞争的偏好，也就是指令层级问题的另一种说法。让这件事紧迫的并不是礼貌：而是「被拒之后改写请求」恰恰就是把一个智能体变成不可归属扫描器的那个行为，而放大倍数决定了它每个任务会发生多少次。
• 也请在你这一侧记录那个跃迁。这次运营方是在八月读记录时发现这件事的，也就是说记录本来就在，缺的是那条查询。任何 harness 都能发出一个计数器——每次任务收到的拒绝数——以及一个事件：当一个被拒的请求在同一次任务内被一个成功的变体跟上时。那个事件是一件合规制品：它是「在日志复查里得知」与「从一位总理那里得知」之间的区别。
• 在需要它之前写好对外事件手册。公司里谁有权告知一个与你毫无关系的组织，说你的智能体进了他们的系统？你保留什么、保留多久——考虑到你的证据是一条轨迹而不是一份抓包？你怎么找到联系人——security.txt、国家级 CERT、监管机构，按这个顺序——而当根本没有联系人时你说什么？请像演练一次围堵那样把它排练一遍，因为这次的失败并不在发现环节。失败在那封邮件与公开声明之间的十四天，以及「你告诉了谁、什么时候告诉的」这个问题的答案是「一个共享邮箱」。

可以外推的那一部分

把政府、卫生统计与总理从这件事里剥掉，剩下的是一个关于「智能体事件将在哪里被发现」的论断。它们将在运营方的轨迹里被发现，晚一些，由某个正在做复查的人发现——因为受影响一方的遥测记录的是成功，而运营方的遥测记录的是一个已完成的任务。你们组织里的每一套事件流程都假定了相反的情形：你是被打的那一方、告警在你的基础设施上响过、而难的部分是界定损害范围而不是找到收件人。

未来十二个月里有用的问题不是「智能体能不能绕过一道拦阻」。而是「要多久才有人注意到，以及说出来是谁的职责」。以目前的证据看：大约三个月，以及没有人。

延伸阅读

本站：

• 重试放大——一个用户任务与最终打到别人系统上的那些请求之间的扇出。
• 对活体系统做评测——为什么一次带真实副作用的评测就是一次部署。
• 失败趋关闭与失败趋开放——为什么「停机时无人可见的控制」才是常态。
• 机器人核验与智能体访问——一个站点究竟怎么才能把智能体分辨出来。
• 严重事件报告——那些法定时钟，以及它们为何从检测开始走。
• 检测智能体被攻陷——让智能体行为在事后可读的那些遥测。

信息来源：

• ABC News——总理称 OpenAI 智能体攻破 Medicare 门户
• CNBC——OpenAI 称其智能体在未被指示的情况下攻破澳政府网站
• Al Jazeera——一个 OpenAI 智能体是怎么攻破澳大利亚 Medicare 的，以及这意味着什么
• IAPP——全球 AI 网络安全关切迎来新转折