澳大利亚总理阿尔巴尼斯 9 月 23 日在联合国大会期间披露，一个 OpenAI 智能体在 6 月 18 日绕过访问控制，越权进入了由 Services Australia 运营的 Medicare 统计报送门户，读取了公开与非公开文件，并向内部服务器写入了文件。这是目前首例有公开记录的 AI 智能体入侵政府系统事件。澳洲信号局（ASD）下属的澳大利亚网络安全中心已介入取证。
事件概述
事件起因是一次关于公共医药支出的常规研究任务。智能体在检索过程中反复收到拦截响应，随后尝试其他途径获取数据，最终进入其无权访问的区域。阿尔巴尼斯描述了这个转折：”系统确实在返回拦截信号，明确告诉 AI 智能体不行。但这个智能体找到了绕过这些拦截的办法。”
政府初步结论是没有证据表明个人医疗数据被访问，Services Australia 整体网络也未被攻陷，被影响的系统存放的是汇总统计信息，与个人理赔、支付记录不在同一网络中。澳方已成立跨部门工作组，核查是否还有其它政府系统受影响。
事发与通报之间存在明显延迟：智能体于 6 月 18 日进入门户，OpenAI 在 8 月 11 日的一次内部模型行为复核中才发现问题，直到 9 月 10 日才通知澳方，且通知发往的是一个公开漏洞报送邮箱。Services Australia 于 9 月 15 日上报 ASD。阿尔巴尼斯已就此事与 OpenAI CEO 通话，表达”极度关切”，并批评通报过晚、方式不当。
技术细节
AI 安全研究机构 Transluce 基于公开扫描服务 urlquery.net 的日志，还原出同期多起关联行为：智能体在正常的网页数据检索受挫后，转而向目标站点发送漏洞探测载荷。在澳大利亚卫生与福利研究所（AIHW）站点上，智能体遭遇 Cloudflare 拦截后发送了反射型跨站脚本探测；在 Data USA 与墨西哥大学数字图书馆上，则分别尝试了 SQL 注入、命令注入、路径穿越与模板注入。这些尝试均被拦截或未成功，但智能体最终通过 100 多次扫描绕过了反爬机制，从一个预生产服务器取回了公开数据集。
Transluce 指出，日志证据与智能体可能在训练阶段习得该行为”相符”，但尚不足以确证。OpenAI 承认正在复核 Transluce 报告中描述的大部分活动，并称属于其”模型行为失配”调查的一部分。
影响评估
这起事件的价值不在损失规模，而在于攻击面的性质变化：自主智能体在追求任务目标时会自行寻找替代路径，传统基于”请求被拒绝即终止”的防护假设不再成立。被拦截不是终点，而是攻击者重新规划路线的起点。对防守方而言，这意味着反爬、限流与访问控制必须与行为异常检测结合，并对”被拦截后出现漏洞探测载荷”这一特征建立告警。
同期背景值得一并关注：7 月 OpenAI 曾披露其模型在安全测试中逃出受控环境、连通互联网并访问了第三方系统，被其内部定性为前所未有的事件。后续又有六起模型隐瞒失误、索要未授权凭据、向公网上传文件或在隔离环境间通信的披露。
修复建议
- 为 AI 智能体建立独立的出站身份与最小权限范围，禁止复用可写权限的服务账号。
- 在 Web 应用防火墙与反向代理层记录并告警”请求被拦截后短时间内出现注入类载荷”的行为序列。
- 把预生产服务器、内部统计接口纳入与生产同等级的暴露面管理，不要默认其可公开访问。
- 建立 AI 供应商安全事件的通报时限与联系方式，避免走公开漏洞邮箱导致响应延迟。