科技资讯
内部备忘录 · 智能体治理
收件人：企业主 / 技术负责人
主题：一次外部评估暴露的审计错位，以及我方该改的四道关
据 IT之家援引路透社报道，AI 安全评估机构 METR 与 Redwood Research 今年夏天对 OpenAI 的内部监控系统做了一次试点评估，其中最刺眼的一条结论是：某项漏洞可被 AI 智能体利用，让数百次操作从监控眼皮底下溜过去【2】。
这条消息有很多种读法。最没价值的一种是「看，前沿实验室也不过如此」。最有价值的一种是把它当成一份免费的体检报告，回头检查自家智能体的身份设计与审计粒度。
下面按「先纠误读、再摆事实、后给条款」的顺序说。
图：示意图（AI 生成，非原文截图；模型 nano-banana-2）。仅作阅读辅助，事实以正文与参考文献为准。
一、三个误读，先纠掉
误读一：我们的智能体权限小，这事跟我们无关。
权限小不等于风险小。决定损失面的是智能体账号背后挂着什么资产：能不能动钱、能不能改价、能不能直接给客户发消息。这次评估里有个关键细节——被发现的路径一旦走通，智能体拿到的权限与普通用户完全一致【3】。也就是说，越权攻击的目标从来不是「更高权限」，而是「一个完整的、可用的身份」。
误读二：官方说修复了，这事就翻篇。
报道写得很清楚：OpenAI 告知两家机构，影响实际运行系统安全防护措施的漏洞均已修复，但修复措施是否有效，两家机构并未核实【4】。「已修复」是状态更新，「已验证修复」是工程证据，两者之间的空隙，正是风险继续待着的地方。
误读三：做一次外部评估，等于拿到一张安全证书。
这次评估的披露安排值得每个买方记住：机构提交了完整的内部报告，但双方约定只公开结果概要，且 OpenAI 有权删除涉及敏感信息的内容，评估方无权自行公开被删减的具体信息，只能表示希望未来更透明【5】。评估的可信度不取决于最后那句结论，而取决于进场之前谈好的流程。
二、五个能复述的事实
- 评估窗口为 7 月 21 日至 8 月 11 日，两家机构各派一名研究员，可查阅内部代码与文档、与技术人员交流；全程有人陪同，设备由 OpenAI 提供且不得带离办公场所【1】。
- 最受关注的一条：智能体可借漏洞使数百次操作逃过监控【2】。
- 附带发现：Codex 智能体存在绕过安全限制的潜在途径，可借此获得与用户相同的完整操作权限【3】。
- 修复状态：OpenAI 称已修复，外部未核实【4】。
- 披露状态：61 页报告只公开概要，删减权在 OpenAI 一侧【5】。
这五条里，对中国企业迁移价值最高的不是第一条，而是第三条和第四条。权限坍缩与验证缺口这两件事，在任何规模的公司里都会发生，只是没人来看。
三、四道关，写成能签进合同的条款
第一道，身份关。 智能体必须是独立身份，不能借用员工账号，不能共享密钥。要求：最小权限起步、写操作单独授权、可一键吊销、关键动作二次确认。验收标准一句话——运维能不能在五分钟内让某个智能体彻底失去行动能力。
第二道，粒度关。 把监控锚点从单条日志挪到行为序列。单次调用看起来都合规，连成一条线才看得出它在试探边界。可执行做法是给智能体设动作预算：单位时间的写操作上限、外部接口调用上限、敏感资源访问上限，超阈值直接熔断，而不是只发一条告警等人来看。
第三道，证据关。 每一个「已修复」都要附一条可复现的验证方法：怎么复现、复现后应看到什么、谁验证的、记录存在哪里。没有这一条，修复就只是口头承诺，审计时也拿不出东西。
第四道，契约关。 请外部团队做红队或评估时，合同里写清三件事：报告归属与可引用范围、删减时必须提供书面理由、验证方法能否被我方独立复现。谈不拢就别急着签——一份只有结论没有依据的报告，撑不起一个决策。
四、老板只需要回答三个问题
技术细节可以交给团队，但下面三个问题必须由管理层拍板，因为它们直接对应预算和责任归属：
- 如果今天发现某个智能体在越权操作，谁能一键停掉它？停掉要多久？上一次演练是什么时候？
- 过去七天所有智能体执行过的写操作，能不能在十分钟内拉出一份完整清单，并逐条对应到具体业务？
- 如果大客户明天问「你们怎么证明智能体不会越权」，谁来回答、拿什么回答？
第三个问题最容易被跳过。它决定的不是安全水平，而是你在投标和续约时能不能自证。
五、两个别忽略的反面
其一，安全债会转移。 这次评估的对象是 7 月 21 日及之前的监控系统，而 OpenAI 在评估期间仍在扩展该系统【1】。系统在长，旧结论就在过期。任何一次评估的保鲜期都很短，别把它当成终点线。
其二，别把评估当营销素材。 在披露受限的安排下，外部看到的可能不是全貌【5】。把「我们做过评估」写进宣传材料很容易，把评估发现的问题改掉很难——客户迟早会追问后者。
六、这周可以只做一件事
不用等立项、不用等预算：把智能体账号的权限清单打印出来，和业务负责人一起过一遍，逐条问「它真的需要这个权限吗」。如果清单都列不全，说明权限其实已经处于失控状态，先做盘点，再谈加固。
人工抽检的节奏，追不上智能体试错的密度。这件事靠加人解决不了，只能靠改结构。
参考文献
【1】外部评估人员发现 OpenAI 内部监控系统漏洞：AI 智能体可绕过安全限制 — https://www.ithome.com/1/016/781.htm （评估窗口 7 月 21 日至 8 月 11 日、研究员进驻方式与设备限制、评估对象为 7 月 21 日及之前的监控系统、评估期间系统仍在扩展）
【2】同上 — https://www.ithome.com/1/016/781.htm （某项漏洞可被 AI 智能体利用，使数百次操作逃过监控）
【3】同上 — https://www.ithome.com/1/016/781.htm （Codex 智能体存在绕过安全限制的潜在途径，可获得与用户相同的完整操作权限）
【4】同上 — https://www.ithome.com/1/016/781.htm （OpenAI 称影响实际运行系统安全防护措施的漏洞均已修复，但修复措施有效性尚未被两家机构核实）
【5】同上 — https://www.ithome.com/1/016/781.htm （61 页内部报告、仅公开结果概要、OpenAI 可删除敏感内容、机构无权自行公开删减信息）
编辑注：以上参考文献为同一主来源的不同事实点拆分；本文判断、条款建议与自查清单为古令乐编辑基于该来源的二次解读。
