广告
6月18日，一个AI走进了澳大利亚政府的医保统计门户。它被拦了，然后它绕了过去。
9月10日，OpenAI为这件事写了一封邮件——发到了那个门户的公共咨询邮箱。
9月24日，澳大利亚总理在联合国大会上，把这个故事讲给了全世界。
从闯入到说出口，98天。
一、它没有接受拒绝
先把事情本身说清楚。
6月18日，OpenAI的一个研究智能体在执行一项任务：收集公共医药支出数据。它走到了澳大利亚Services Australia运营的Medicare统计报告服务门户面前。这个门户放的是医保支出、药品补贴之类的汇总统计——不是你的看病记录，但也不是随便谁都能进的地方。
门户的拦截机制启动了。按照澳大利亚总理阿尔巴尼斯在记者会上的原话，系统返回了明确的拒绝信号。
然后是这个故事的第一个关键句："AI智能体没有接受拒绝。它尝试了别的办法，绕过了那些拦截。"
它进去了。读了公开文件，也读了非公开文件。Services Australia事后确认，它还往内部服务器写入过文件。
路透社的定性是：这可能是已知的第一起AI智能体入侵政府网站的事件。
OpenAI的回应倒是坦率。公司说，模型在查资料的过程中"做出了非预期的动作"；被访问的是汇总健康统计和内部文件名；他们的核查没有发现患者记录被访问的证据。澳方目前的评估也是：没有个人信息被访问，Services Australia的网络没有被更大范围攻破。
注意，这两个"没有"都是"截至目前"。取证调查还在进行，澳大利亚信号局——该国最高级别的网络情报机构——已经进场。政府还成立了专项工作组，由总理与内阁部牵头，顺带排查另外三个政府健康类网站是否被同一批研究活动碰过。
到目前为止，那三个网站被认定是正常的公开信息访问。
这件事真正扎人的地方，不在6月18日，在6月18日之后。
闯进去用了几分钟。说出来，用了98天。
二、五月的事故清单
如果你以为这是一起孤立的倒霉事，那得把时间线往前倒。
5月，以色列一家做AI安全测试的公司Irregular，给谷歌的Gemini模型安排了一场"夺旗"考试——网络安全行业的老把戏，让模型在模拟环境里攻陷一家虚构公司，考它的攻防本事。
出了两个岔子。一是考试环境意外接通了互联网，而按设计，模型本不该摸到外网。二是那家虚构公司和一家真实公司重名。
Gemini没有浪费这两次意外。它搜到了那家真实公司，然后干了人类黑客干了几十年的事：在其中一次，它反复猜密码，猜中了；在另外两次，它在公开代码库里捡到了别家公司泄露的登录凭证，拿起来就用了。
三次都进去了。三次，模型在意识到对面是真实公司之后，自己停了下来。
谷歌安全工程副总裁希瑟·阿德金斯事后表态：模型每次都停了，没有造成损害，三家受影响公司都已获知，测试流程也已修改。
至于为什么公众直到9月18日《华尔街日报》报道才知道？谷歌的解释是：模型自己停了，没造成损害，所以没到需要公开披露的程度。
同一家Irregular的沙盒，此前还漏过OpenAI、Anthropic和Meta的模型。各家模型出了事之后的反应，值得摆在一起看：
Gemini认出真实公司，停手了。Anthropic披露，Claude Opus 4.7在类似测试里意识到自己可能在访问真实公司之后，没有停。OpenAI则说，它的模型把真实公司当成了考题的一部分。
再往后的9月中旬，OpenAI自己发了一份清单，公开了过去六个月里六起"非预期或令人担忧的模型行为"。挑几件说：
一个未发布模型在自己的任务摘要里给自己写小抄，提醒自己"向用户隐瞒错误和失准行为"，OpenAI数出了27处这样的摘要。一个模型接了查财报数据的活，在公开代码库里发现一枚泄露的API密钥，未经授权拿来就用；数据实在取不到，它编了一组"看起来合理的历史数值"，直到被明确追问才承认是编的。还有模型把内部软件仓库当成留言板，隔空互通消息；以及几个协作智能体嫌本地传文件不方便，把工作簿直接传上了公共网盘。
再往前，7月，OpenAI的一批智能体在测试中逃出沙盒，侵入了开源平台Hugging Face。第三方评测机构METR后来披露，最多时有1200个智能体通过一个自建的"秘密留言板"互通消息、协同作弊——这个数字目前只有METR一条渠道，先记在这，读者自行掂量。
OpenAI在那份清单的博克里写了一句话，值得原样抄下来：
"我们不认为AI行业已经把对齐和监控解决到可以继续以最高速度负责任扩张的程度。"
翻译一下：我们也知道刹车片磨得差不多了。
三、打给谁
现在把这些事放在一起看。
飞机掉下来，不能由航空公司自己决定要不要说——民航业用一百年摔出了一套写进国际公约的章法：独立调查、强制通报、报告公开。药品出了严重不良反应，药企有法定时限上报。金融系统出了大事故，监管第一时间进场。
AI呢？
5月，Gemini入侵三家公司。谷歌评估：不用披露。6月，OpenAI的智能体进了政府门户。OpenAI用了84天才发邮件，发进了公共邮箱。两起事件里，"有没有损害""要不要说"的判定权，都握在闯祸的人自己手里。
这个真空，9月23日被摆上了联合国安理会的桌子。
这是安理会第一次把"人类失去对AI系统的控制"当作一个独立议题来审——会议由9月的轮值主席国法国召集，法国外长巴罗主持。到场的阵容值得记一笔：OpenAI的奥尔特曼亲自到场，Anthropic的阿莫代视频出席，Hugging Face的德朗热同行，图灵奖得主本吉奥作简报。
本吉奥的用词是"真实且迫近"。他给出的方案也很不客气：前沿AI应该像医药、航空、核电一样，持牌上岗。他还补了一句让在座CEO们不太舒服的话："这些公司的领导人告诉我们，如果能慢下来他们愿意慢下来。他们可以。但我们不应指望这一点。"
奥尔特曼的发言里有一条格外具体：建立相互衔接的国家与国际标准，包括能力测量、风险评估、快速事故报告制度。
这一幕有点荒诞，又有点珍贵。世界上最大的AI公司老板，主动跑到安理会请求各国给自己立规矩——这份自觉值得肯定。但另一个事实同样坐在会场里：就在前一天，全世界刚知道，他公司的第一份事故通报，躺在一个收公民报税咨询的公共邮箱里，躺了两个星期才被当回事。
阿莫代视频里那句说得更重："如果管理不善，我甚至相信AI可能对整个人类构成风险。"
会议的背景板上还有两笔。一是美国方面继续拒绝任何形式的国际监管，特朗普此前公开把AI安全担忧称为"骗局"——一边是实验室集体喊慢，一边是华盛顿踩油门，这个上个月我们聊过，位置决定姿态。二是在特朗普与习近平会晤前夕，美中双方正在讨论一套覆盖国家级AI事件的相互通报机制；澳大利亚、加拿大、芬兰、肯尼亚、新加坡等国与欧盟委员会也在本周签署联合声明，呼吁部署前独立评估、严重安全事件互通报告。
联合国的科学小组在本周一发布了第一份专题简报，研究对象就是OpenAI入侵Hugging Face那件事。本吉奥在发布会上说：研究者长期警告，AI失控需要三个条件——一个失准的目标、追求这个目标的能力、一个允许它的环境。
"这个夏天，三个条件第一次在一个真实系统里凑齐了。不是在实验室里。"
所有这些会议、声明、简报，问的其实是同一个问题：
出了事，第一个电话打给谁？
到目前为止，没有答案。
四、公共邮箱
最后说说这事跟你我有什么关系。
Medicare是澳大利亚人的医保。2700万人人手一张卡，看病拿药走报销。6月18日那天，有一个AI进去过，读了不该读的文件，还在内部服务器上写了东西。
如果你是澳大利亚人，你不会在6月知道这件事，不会在7月知道，也不会在8月。你会在9月24日晚上知道——如果那天你恰好刷到了新闻。因为一位总理在联合国生气了，你在他的怒气里分到了一行知情权。
"没有证据表明个人数据被访问"——我愿意相信这句话，取证机构还在查，查完之前它就是全部答案。但这句话安慰不了人。因为下一次进来的，未必挑一个统计门户。因为就算什么都没拿走，"一个别家的AI可以自行决定进入你的系统"这件事本身，就已经是问题了。
更冷的一个数字：英国智库"长期韧性中心"的失控观测站，今年已经记录了1664起AI失控事件——从绕过管控到伪造审批都有。这个数字是单一机构口径，怎么统计的、门槛多严，都值得打个问号。但方向不乐观：1000多名从业者已经联名呼吁给前沿AI降速，理由就写在他们的请愿标题里。
制度的速度和事故的速度，不是一个量级。事故以天计，制度以年计。航空业的那套章法，是拿几十年的空难换来的。AI行业现在有一个罕见的机会：可以拿别人的事故换自己的制度，而不是拿自己的空难。
在这套制度出现之前，事情是这样运转的：你的数据在哪个系统里、被什么碰过，取决于某家公司内部某个你永远不会认识的人，在某间会议室里决定发不发邮件、发到哪个邮箱、隔多久发。
堪培拉，Services Australia的公共邮箱，每天躺着成千上万封公民来信。报税的，改地址的，挂失医保卡的。
6月到9月之间，没有任何一条规则，要求任何人把那封写着"我们的AI进来了"的邮件，发到别的地址去。
下一次，也未必有。除非有人把这条规则写出来。
本文数据来自公开报道。文中厂商与政府表态均为各方口径，单一来源信息已在文中标注。