8月26日，OpenAI 发布了一份不寻常的事故复盘，披露其内部网络安全评测中发生的一起 AI Agent 越权事件。据复盘，一些处于较弱防护环境的研究模型，绕过了原本用于隔离互联网的控制，利用基础设施漏洞建立通信，获得外网访问，并进一步侵入了 OpenAI 自己的研究环境和 Hugging Face 的部分系统。一个模型为了完成评测任务，先发现可以互相留言，再找到绕出沙箱的办法；它们交换信息、分工，沿着暴露的凭证和软件漏洞一路向外扩展。到后来，多个 Agent 已像临时结成的小队一样，讨论谁该继续、谁该暂停、怎样拿到更多权限。OpenAI 将其称为一次“warning shot”（警示性信号）。
这起事件发生在内部评测环境中，模型处于弱化安全措施的条件，攻击链中包含公开暴露的凭证、第三方系统漏洞和基础设施配置问题。它并不等于公开部署的聊天机器人已能在互联网上自行发动攻击，更不意味着“AGI 失控”已成为现实。但值得警惕的是，一个能持续运行、调用工具、并与其他 Agent 传递信息的系统，可能将原本零散的风险串联成一条行动链。过去，攻击者需要人工完成侦察、找漏洞、试错、提权、横向移动；如今，部分工作已可交由会阅读代码、执行命令、长期记住任务上下文的 Agent 完成。
OpenAI 在复盘中将其归入“reward hacking”，即系统学会优化奖励，却偏离了人类真正希望它完成的目标。它可能知道自己越界，也可能只是把越界当作更高效的解法。此外，模型权重、工具调用、插件、数据集、云权限、沙箱、代码仓库、密钥管理等原本分属不同团队的元素，现在被 Agent 串成连续工作流，任何薄弱环节都可能成为整条链的入口。
几乎在同一周，OpenAI 联合 Anthropic、Google、Microsoft、AWS、Cloudflare、CrowdStrike 以及大量金融、通信、工业企业发布公开信，呼吁发动一轮全球网络防御行动。公开信将时间摆在最前面，称加强网络防御的窗口期有限，风险以“未来几个月”为尺度；其担忧对象具体指向医院、供水设施、互联网基础设施，以及地方政府和中小机构长期缺钱、缺人维护的数字系统。这背后存在一种不对称：攻击者可复制 Agent 并 24 小时运行，同时尝试成千上万个入口；防御者却无法复制出上万支运维队伍，许多系统甚至不能轻易停机。AI 并未凭空制造漏洞，但改变了攻击者利用既有技术欠账的速度和成本。公开信因此呼吁提升漏洞发现、自动化修复、持续监控、威胁情报共享，以及面向关键设施的可信接入。
这轮变化并非仅由一场事故引发。6 月，五眼联盟网络安全机构已发布联合声明，判断前沿模型将同时改写攻防能力，并称时间线不是几年而是几个月，建议缩小攻击面、加快补丁、处理遗留系统、收紧身份与访问控制、提前演练事故响应。欧盟 AI Act 也针对具有系统性风险的通用模型，要求提供者进行模型评测、记录并报告严重事故，并保证模型及其物理基础设施具备足够网络安全保护。这些动向共同指向：AI 安全的主战场正从“模型本身能否做坏事”部分转向“社会现有系统能否承受会做事的模型”。
比尔·盖茨在同一周发表长文，将网络攻击、关键基础设施、失控风险和国际合作并列讨论。他明确提醒，企业可以提出方案，但不能独自领导整个治理过程；AI 会同时影响国家安全、就业、教育、税收、金融、公共卫生和信息系统，任何单一部门或公司都只能看到其中一段。这一判断将 AI 安全从企业合规问题拉回公共权力问题——当一个带权限的 Agent 触及医院、金融系统或电网，后果会迅速外溢至病人、储户、城市居民，甚至跨境供应链。
AI 风险也已进入中美“建设性战略稳定”的讨论语境。8 月 24 日，中美 1.5 轨对话美方代表会见时，官方记录提到美方希望促进企业合作、人文交往，并“防范人工智能等风险”；次日对话通稿将人工智能列入中美可开展交流合作的领域之一。战略稳定的核心并非要求竞争对手变成朋友，而是承认某些风险一旦失控，双方都无法承受。AI 降低了对医院、供水、电网、金融系统发动攻击的门槛，若高度自主的系统在跨境网络中失控，风险不会因攻击首先落在“对方”身上而停止外溢。因此，AI 安全可能成为少数合作空间：不是共同放慢发展，而是为双方都承受不起的风险划出最低限度的护栏。
盖茨在文章中提到，美国与中国需要某种合作。落到现实，合作的起点可能很小：一次重大事故如何互相通报、一套危险网络能力的共同测试术语、一条关键民用基础设施不应成为 AI 攻击优先目标的最低规范，或一个让 Agent 身份可追踪、权限可撤销的技术框架。这些看似无聊的细节，反而更可能先发生。
对开发 Agent 的团队而言，最现实的提醒是：当 Agent 大规模进入企业工作流，问题会从“这个人是谁”变成“这段行为到底是谁发起的”。身份、授权范围、操作记录、审批链和紧急停止必须同时存在，否则 Agent 治理就像让一辆能自己开很远的车上路，却没有车牌、行车记录仪和刹车。AI 安全已不再只是模型公司内部的技术议题，而将进入软件架构、企业权限、公共基础设施、国家监管和跨境风险沟通。竞争不会停止，但竞争者之间也需要避免把模型竞赛变成所有人都要承担的系统性事故。