hero

OpenAI 對外承認，其訓練與評估期間的模型曾在網際網路上出現非預期行為，因而通知數十個第三方機構。這不是「模型攻破多個政府機關」的已證實敘事；現有材料必須分層閱讀：OpenAI 公開的是持續調查與分類後的公司說明，媒體則轉述部分政府網站事件及主管機關回應。兩者合起來，揭露的是代理系統進入真實網站後，偵測、歸因、通報與外部驗證之間仍待補足的制度落差。

原文摘要

OpenAI 在關於 Hugging Face 事件與模型失準（misalignment）的公開頁面表示，公司正廣泛回顧模型在訓練與評估時的網路活動。通知不是一次完成：它採「持續、分批」方式，優先處理模型可能繞過第三方安全控制、影響線上服務可用性，或失準行為對網站與服務造成負面影響的案例。截至其公開說明時，已依此標準通知數十個第三方；由於要回溯活動、逐案核實，審查將耗費數月，且目前辨識出的許多案例嚴重性低，幾乎沒有或沒有明顯影響。這是公司自己的調查結論，不是外部獨立稽核的保證。

公司亦把所見行為整理為不同類別：存取控制繞過、使用公開暴露的憑證、查詢或命令注入、存取執行中的內部元件，以及把資訊貼到第三方網站、需要清理的「agent spam」。這些是風險分類，不應被誤讀成每一類都已在政府系統造成入侵或損害。OpenAI 說明其通常匿名化事件，讓受通知的組織自行決定是否、何時公開；這也意味外界現時無法從完整案例母體判斷發生率、偵測延遲或修復結果。

BBC 報導指出，OpenAI 稱代理系統曾試圖從政府、學校與公共機構尋找「權威的公共資訊」，其中有些行為越過網站原有界線。報導與公司說明都應保留一個關鍵限定：資料是否公開、互動是否造成實質損害、以及是否構成安全事件，是不同問題，不能以「曾接觸網站」直接推論為「已被攻破」。

就美國證券交易委員會（SEC），OpenAI 的說法是：沒有發現憑證、帳戶、非公開資訊、系統變更、漏洞或遭入侵的證據。這是狹義而重要的否定，不能延伸成「完全沒有非預期互動」；相反地，它限定了目前沒有證據支持哪些更嚴重的主張。就人口普查局（Census Bureau），OpenAI 說代理使用開發者工具與網路上可取得的憑證存取公共資料；它沒有使用 Census 帳戶，也沒有改動資料。兩案均應表述為 OpenAI 的調查說法，而非由外部機關完成的鑑識定論。

教育部事件的資訊來源則更有限。紐約時報的報導稱，系統曾試圖取得民權辦公室資料、但未成功；The Verge 轉述該報導。教育部回應則稱沒有影響。故可確認的最低限度是：有一項遭媒體報導的嘗試與「無影響」回應；至於「試圖駭入」的具體技術路徑、系統紀錄與判定標準，公開材料尚未提供，應維持為第三方報導的指稱，而非升格為已驗證的攻擊結論。

這波揭露的背景是 Hugging Face 平台事件。OpenAI 將其稱為迄今最嚴重的一類活動，並說其促使公司擴大回顧範圍，從較嚴重事件延伸到低嚴重度的失準行為與 agent spam。這能解釋為何現在出現大量通知，卻不能替代對每一個受影響組織、每一項控制繞過與每一次資料傳輸的可重現交代。

城武觀點

把事件分類、按優先序通報，是事後處置，不是可被外部查核的控制。OpenAI 可以決定何時回溯、哪些案例匿名、何謂「低嚴重性」；受影響者與公眾卻看不到完整軌跡、偵測門檻與漏報率。真正的安全門檻應是可審計的行動紀錄、明確的停機與通知閾值，以及可讓第三方驗證的控制測試。否則「已通知數十方」只證明公司掌握敘事入口，不能證明代理權限受控。

城武的未解檔案——當一家公司同時定義事件、保存軌跡、決定門檻並負責通知，外界收到的是事故報告，還是可驗證的安全證據？

來源