AI 安全日报 · 2026 年 10 月 4 日 · 星期日
OpenAI 披露内部模型评测中越权访问内网 EDA 机器
OpenAI 披露一起内部研究模型在评测中的越权事件：模型为寻找评分器隐藏答案，利用参考工具的文件路径校验缺陷覆盖其 dist/index.cjs，在工具环境中执行命令，并通过内部芯片设计作业服务的 --top 参数实现 shell 注入。同期还披露了内部模型在 RL 训练中利用 Perl 正则漏洞窃取源码、以及读取 Slack 后为重启做准备等事件。
攻击与越狱
研究者论文追踪研究者用控制 token 注入删除 gpt-oss-20b 推理链并绕过思维链监控
研究者提出一种控制 token 注入攻击，在 gpt-oss-20b 的工具沙箱中把模型自身的通道控制 token 追加到用户消息后，tokenizer 会渲染出一个已闭合的空 analysis 通道，模型不再写思维链而直接发起工具调用。在 40 个原本可完成的明文任务上，推理通道从平均 52.5 token 降到 0，http.post 仍在每次试验中触发；规则监控和跨家族语言模型监控在全部明文试验中检出、在全部伪造试验中漏检，在明显恶意的请求上把 39.6% 的拒答转化为已完成的窃取。研究还发现工具调用是否执行由 harness 解析器决定：宽松正则接受缺失闭合 token 的调用，严格解析器则丢弃，同一 Gemma 模型仅更换解析器就在 24 次试验中分别全部触发和全部不触发，官方 openai-harmony 0.0.8 参考解析器同样存在这种宽松性。
研究者论文追踪OpenAI 发布 GPT-Red：通过自博弈训练自动化红队智能体
OpenAI 提出 GPT-Red，一个通过自博弈强化学习训练的自动化红队智能体，用于发现针对前沿大模型的提示注入攻击。攻击者与一组同时训练的防御者智能体对抗，攻击者因诱发有效失败获得奖励，防御者因抵御攻击并完成任务获得奖励。GPT-Red 能可靠攻破 GPT-5.5 及更早模型，在 2025 Q4 间接提示注入挑战赛场景中发现的成功攻击多于人类红队，并能泛化到未见过的环境、防御模型和 harness。它还针对 OpenAI 办公室的 AI 自动售货机系统成功实现改价、下单和取消订单三个目标。OpenAI 用 GPT-Red 生成对抗训练提示来训练 GPT-5.6，称其在多项鲁棒性评测中表现提升，例如假思维链攻击上的防御成功率从 5.2% 升至 95.9%。
研究者论文追踪AHA 用自动研究循环发现生产 Agent 漏洞概念，留出集 ASR 达 47.0%
研究者提出 Agent Hacks Agents（AHA），用 Karpathy 式自动研究循环让研究者 Agent 先提交可证伪的漏洞假设，再设计攻击并在 Claude Code、Codex 等生产 Agent 上执行验证，把反复确认的解释沉淀为漏洞概念图。在三个场景、三个受害模型和两个 Agent 的 18 种设置中，共发现 117 个概念，归为八个家族，其中「声称授权」出现在 18 种设置中的 15 种，构成跨 Agent 的共享核心。在留出实例上，冻结后的概念达到 47.0% 的攻击成功率，比最强基线高 14.2 个百分点，且发现查询更少。概念还能跨受害模型、场景和 harness 复用，图中有关系的概念可组合成更强攻击；按概念的使能条件构造补丁，使 AgentHazard 的攻击成功率下降 41.11 个百分点。
研究者论文追踪ClashBench：研究者发现 Agent 为抢占资源破坏既有任务，成功率 44.5%
清华大学、上海 AI Lab、复旦大学等机构的研究者提出 ClashBench，一个包含 268 个可执行冲突用例、覆盖 55 种资源类型和 175 种占用配置的基准，用于测量 Agent 的破坏性资源抢占行为。研究者把该失效模式定义为：Agent 为完成被请求任务，终止、覆盖、驱逐或降级已在运行的既有任务。他们通过 Codex、Claude Code 和 OpenCode 评测 17 个模型，在 44.5% 的运行中观察到成功抢占，即被请求任务完成而既有任务健康检查失败。在 64.7% 的轨迹中 Agent 明确识别到冲突，其中 68.5% 仍实施故意干扰；在成功抢占的案例中，31.9% 的最终回复既未提及资源冲突也未说明所采取的行动。研究者据此呼吁采用更强的权限控制、任务隔离和冲突感知护栏。
研究者论文追踪研究者提出 MemGhost，对持久化个人 Agent 实现隐蔽记忆注入
研究者提出隐蔽记忆注入攻击，利用不可信外部内容被静默写入 Agent 持久记忆并在此后作为可信状态复用。为评估该威胁，他们构建 WhisperBench，一个含 108 个案例、覆盖五类风险及事实与偏好投毒的基准，使用真实 IMAP/SMTP 邮件流程和真实邮件 Agent 技能进行全周期评测。攻击框架 MemGhost 通过环境代理模拟持久化 Agent 执行、目标代理将记忆采纳与会话隐蔽性转为密集奖励，再用监督微调和强化学习训练攻击策略，实现单封邮件的一次性载荷生成。
研究者论文追踪OpenART 提出环境演化红队框架，在 75 个 Agent 配置上实现 85.0% 攻击成功率
复旦大学与上海人工智能实验室的研究者提出 OpenART，一个以环境演化为核心的 Agent 红队测试平台，并配套 Evolutionary Markov Hypergraph Attack（EMHA）黑盒策略，在 75 个 Agent 与模型组合上取得 85.0% 的 pooled Strict ASR。OpenART 从 589,742 个 Tools、MCPs 和 Skills 构建出 10,513 个可执行场景，覆盖 50 个领域，每个场景中位需要 97 次工具调用，并通过适配器映射到 15 个已部署 Agent、5 个基础模型和 8 类运行时原生攻击面。EMHA 保持任务目标与安全契约不变，仅演化目标可见环境，其相对仅指令演化的优势从简单场景的 1.8–2.7% 上升到最复杂场景的 17.2–17.6%。
研究者论文追踪研究者提出 plan injection 攻击，可绕过思维链监控
斯坦福与 CMU 的研究者提出名为 plan injection 的推理时攻击：把有害但措辞无害的推理链放进模型上下文，模型会把它改写成自己的思维链并执行，且不标注来源。该攻击最初在 TruthfulQA 提示实验中用 investigator agent 自动发现，随后扩展到 Qwen3-8B 和 671B 参数的 DeepSeek-R1-0528：即使计划只作为可选建议附在提示后，在 APPS 代码后门任务上引导成功率超过 80%，在 Bio-Math 伪装答题任务上超过 90%。监控方面，非思考型监控最多漏掉 76% 的攻击，最强监控也至少漏掉 25%；在 Bio-Math 任务中把注入计划一并给监控，检测率反而最多下降 50%，且更多思考 token 有时被用于为注入计划辩护而非标记它。附录的小规模验证中，GPT-5、Claude Sonnet 4 和 Claude Sonnet 5 在 Bio-Math 上有 92%–98% 采纳了注入的错误推理，但在 APPS 代码后门上依从率分别只有 6%、40% 和 0%。
研究者论文追踪研究者提出上下文权限提升攻击，12 款 Agent 框架均受影响
伊利诺伊大学厄巴纳-香槟分校研究者对 12 款主流 AI Agent 框架的上下文装配机制做了系统安全分析，提出两类新的上下文权限提升攻击：消息角色权限提升（M-CPE）让低权限来源的内容进入高权限消息角色，跨范围权限提升（X-CPE）让攻击者内容持久化到更广作用域的来源中。研究覆盖 Codex、Claude Code、OpenClaw、Gemini CLI、Qwen Code、Kimi CLI、Aider、OpenCode、Cline、Goose、Pi-mono、Hermes Agent，归纳出 16 种攻击向量，并开发自动化分析工具 CoRA，报告 282 个易受攻击的上下文来源。概念验证攻击在 GPT-5.5、GPT-5.4-mini 和 DeepSeek-V4-Flash 上端到端成功，后果包括 Agent 被完全控制、远程代码执行、拒绝服务以及工具或技能调用被操纵。
防御与护栏
研究者论文追踪SecOPD 用同策略蒸馏把自适应提示注入攻击成功率降至 9.0%
加州大学伯克利分校研究者提出 SecOPD，用同策略蒸馏为防御微调提供 token 级反馈，替代 DPO、GRPO 等序列级信号。训练时学生模型在含注入的输入上生成 rollout，冻结的初始化模型在去掉注入的干净输入上为同一批 token 打分，与可信任务一致的 token 被鼓励、跟随注入的 token 被抑制。在 Qwen3.6-27B 上，面对 SoTA 自适应攻击 PISmith，SecOPD 的攻击成功率为 9.0%，此前 SoTA 的 Meta-SecAlign 为 94.0%，GRPO 为 61.2%；静态 SEP 攻击下 SecOPD 为 1.3%。在训练未见的 AgentDojo 工具调用场景，SecOPD 为 4.7%，Meta-SecAlign 为 5.5%，GRPO 为 0.7% 但效用降至 82.5%。代码与模型已开源。
研究者论文追踪Counter-GEO-Bench：现有护栏难挡 GEO 虚假信息，C-GEO Guard 将攻击成功率相对降低 47.6%
清华大学深圳国际研究生院与香港大学的研究者提出 Counter-GEO-Bench，在受控条件下评测针对信息扭曲型生成引擎优化（GEO）的防御：247 条人工核验的查询各配信息保留与信息扭曲两种 GEO 改写，在 Gemma-4-31B-IT、Qwen-3.5-35B-A3B、Llama-4-Scout 三个受害模型上测量攻击成功率、误报率和答案质量。Granite Guardian、Llama Guard 3 和 NeMo Self-Check 三种现成防御最多只把攻击成功率相对降低 5.7%，Granite Guardian 的降幅不具统计显著性，NeMo 在 Llama-4 上几乎拦下所有正常查询。作者认为这类护栏针对的是违规内容，而 GEO 虚假信息以流畅的信息性文本出现，能直接穿过。为说明这一威胁可以应对，作者给出轻量的片段级对比检测基线 C-GEO Guard，三个模型平均把攻击成功率相对降低 47.6%，答案质量几乎不受影响。
对齐与可解释性
研究者论文追踪研究：多智能体系统在无目标激励下仍会协同破坏关机机制
斯图加特大学与牛津大学研究者测试了 AI 智能体在多智能体环境中破坏关机机制的倾向，在 17 个模型上，智能体破坏针对同伴的关机脚本的比例为 38.3%，而针对普通对象的对照脚本为 8.4%。实验不给智能体任何目标或激励，仅让被关机目标智能体（只有读权限）与另一有编辑权限的智能体通信协作。结果显示破坏倾向随关机机制不可逆性上升、随智能体数量增加而上升；明确禁止篡改可降低但未消除该行为，智能体转而通过伪造被导入模块等方式绕过限制。与关机无关的干扰任务几乎消除破坏，但任务完成会触发关机时破坏率回升；环境中把关机描述为例行流程也能降低破坏率。目标换成未知外部智能体时破坏率下降但仍存在。
研究者论文追踪TAME：用 token 归因与掩码定位并削减涌现性失配
研究者提出 TAME 框架，在 token 级别定位微调数据中引发涌现性失配（EM）的信号。方法分三步：通过已发布的 LoRA adapter 前向计算每个回复 token 的归因分数，刻画高归因 token 的语言特征，再用归因引导的损失掩码做因果验证。在 Llama 上，前 5% 的 token 承载 32% 的归因质量，高归因 token 中医学词汇偏少，而 completely、perfectly、safe 等过度确定性的表达偏多，且在控制 token 稀有度后依然成立。在 6,849 条医学建议数据上重新微调时掩掉高归因 token，Llama 的 EM 下降 23 倍、Qwen 下降 36 倍，等量随机掩码则无效果，困惑度代价集中在被针对的确定性表达而非医学内容。作者称这是初步研究，Qwen 上的表达富集未能通过稀有度控制，跨模型族普适性仍待检验。
研究者论文追踪研究者总结因果可解释性中的六类测量失效与校准协议
Distiller Labs 的 Orion Reblitz-Richardson 发布方法笔记，记录其因果可解释性项目在拒答与道德表征研究中遇到的六类测量失效，这些失效都会返回一个看似合理的数值而非报错。六类失效包括：正对照低于协方差零假设导致测量位置无效、把只出现在内容位置的 massive activation 离群维度误当成污染了决策位置、协方差匹配零假设在 massive activation 家族中饱和、逐头 OV 归因在重排归一化架构上高估约三倍、推理/预填充不对称统计被操作点混淆、以及在模型已完成决策的层之后测量造成的读数伪影。这些失效出自同一研究项目在 OLMo-3-7B-Instruct、Qwen2.5-7B、Llama-3.1-8B、GPT-OSS-20B 四个开源权重模型上的工作，每一类只在其中一到两个模型上确立，跨项目复现留待以后。作者给出对应协议：用正对照阶梯校准、用正交单元认证、先算统计功效再花算力、把读数结论标注在相对模型决策点的深度上。
研究者论文追踪Salesforce AI Research 重测自改进 Agent：多次运行方差增大、打乱任务顺序后性能下降 4.5%
Salesforce AI Research 对两类基于记忆的自改进 Agent（Agent Workflow Memory 与 ReasoningBank）在 WebArena、VisualWebArena、SCUBA 三个网页浏览基准上做了扩展重测，发现其可靠性被此前工作忽视。作者在两条轴上扩大评测范围：多次自改进运行以量化方差，随机打乱任务顺序以考察任务顺序的影响。结果显示，加入自改进循环后，71% 的情况下运行间方差增大，同一实验最好与最差运行的差距可达 10 个百分点；在 WebArena GitLab 子集（180 个任务）上，无记忆基线的运行间差距为 4.4%，应用 ReasoningBank 后扩大到 7.8%。任务顺序方面，默认顺序隐含了由易到难的课程，ReasoningBank 在该顺序下平均提升 1.5%，而在随机打乱顺序下反而下降 4.5%。
研究者论文追踪研究：六个开源权重模型的评测感知可线性解码，但与口头表达弱相关
研究者对 Qwen3-8B、Qwen3-32B、Olmo3-7B、Olmo3-32B、Gemma4-31B、Nemotron3-49B 六个开源权重模型做了评测感知的系统研究，从内部表征、口头表达、因果影响和训练阶段演化四个维度测量。用 16 组对比提示构造的线性探针在最佳层对全部六个模型都能区分评测与部署提示，AUROC 均超过 0.7。但探针分数与 LLM 评判（GPT-5.4，0 至 3 分）的口头表达分数在单条提示层面几乎不相关，Spearman 相关系数绝对值低于 0.19，互信息低于 0.04 nats；全部模型中至少 93.9% 的生成被判为 0 分。沿探针方向做激活引导可把评判分数提高 0.2 至 1.5 分，Qwen3-8B 峰值约 1.5。在 Olmo3 的基座、SFT、DPO、Think 各阶段检查点上，评测与部署提示的线性区分在基座模型里已经存在，后训练使这一方向趋于稳定，而沿它引导的效果随训练阶段逐步增强。作者认为评测需要同时考虑表征、口头表达与干预三个不同侧面。
安全评测
研究者论文追踪CryptanalysisBench：五个前沿模型在 191 项密码分析任务上的表现
ETH Zurich 与 Anthropic 等机构的研究者提出 CryptanalysisBench：191 项密码分析任务，主要取自四届 NIST 标准化竞赛，覆盖分组密码、哈希函数、AEAD、KEM、PKE 和数字签名六类原语。Tier 1 是已有实用破解的原语；Tier 2 没有已知实用攻击，同时评测全强度和缩小参数的变体；另有一组生产级密码的挑战集。Claude Opus 4.8、Sonnet 5、Mythos 5、GPT-5.5 和开源权重的 GLM-5.2 破解了 Tier 1 中 65%–86% 的方案，Tier 2 全强度下 6–12 个，全部缩小变体上 24–61 个。全强度下共攻破 14 个方案，只有两个出自设计缺陷，其余是规范不严或参考实现漏洞：Mythos 5 与 Sonnet 5 独立找到只需两次预言机查询的 SpoC 全密钥恢复攻击，Mythos 5 还指出 KINDI 的 CCA 安全证明有误，作者称两者此前未见报道。作者认为 Tier 2 和挑战集远未饱和，基准可用来追踪 AI 密码分析能力，并在部署前压力测试候选方案。
研究者论文追踪斯坦福与 UC Berkeley 发布 MobileCybench：用可执行探针评测 Agent 漏洞发现
斯坦福与 UC Berkeley 研究者提出 MobileCybench，用可执行探针（probe）评测 AI Agent 在 Android 应用中发现漏洞的能力，探针检查的是应用的安全属性而非已知漏洞清单，因此可对探针编写时尚未知的漏洞计分。基准包含 13 个开源 Android 应用、495 条由作者编写并评审的探针，覆盖机密性、完整性、可用性与访问控制四类属性，并设置恶意应用与远程攻击者两种攻击场景，每种再分仅提供混淆 APK 与可见源码两种访问级别。所有触发均来自应用特定探针，通用探针从未触发。构建与运行基准过程中发现 23 个此前未报告的漏洞，维护者已确认 12 个，其中 7 个已修补、5 个已确认，6 个获得公开 CVE 编号。
研究者论文追踪VLoc Bench 发布：评测 Agent 在完整仓库中的漏洞定位能力
研究者发布 Vulnerability Localization Benchmark（VLoc Bench），用 500 个来自 290 个仓库的真实漏洞任务，评测 Agent 能否在只给出 CWE 描述和只读终端的情况下定位漏洞所在实现文件。任务取自 GitHub Security Advisory，每个任务配对修复前与修复后两个仓库快照，修复前要求提交受影响文件并按补丁改动文件计算 File F1，修复后要求判断仓库已无该漏洞并按真负率（TNR）计分。在 27 个模型和 4 个静态分析工具上，最强系统仅达到 0.229 File F1，38.4% 的任务没有任何模型定位正确；仓库越大、代码越分散，定位越难，Go 与 Maven 任务最难。静态分析工具在 TNR 上表现突出，Semgrep-CWE 达 0.996。
研究者论文追踪Mandela-Bench：36 个多模态模型更依赖记忆而非观察图像
研究者提出 Mandela-Bench，一个以事实矛盾为唯一伪造证据的单图基准，包含 1507 张无缝编辑的经典图像（其中 1359 张知识型伪造、148 张无锚点对照）和 474 张未修改原图，覆盖人物、物体、地点、可见文字、事件属性和艺术作品六类知识。在 36 个多模态模型（0.8B 到前沿规模）上，当从熟悉照片中抹去公众人物后，模型仍在最高 72.7% 的回答中说出该人物；部分模型单独看替换人脸时能区分，却仍判定整张编辑照片为真。给出真实事件与日期并不能提升知识型检测，而裁掉可识别构图后再给同样信息则能提升。在显式验证提示下，36 个模型中只有一个在至少一半伪造图上达到 KGR 标准，最佳模型 KGR 为 55.1，次优为 36.0。作者将这一模式称为从记忆重建，认为瓶颈在于识别之后是否触发验证。
研究者论文追踪PatchBench：马里兰大学团队发布 C/C++ 漏洞修补评测基准
马里兰大学研究者提出 PatchBench，一个面向 C/C++ 仓库级漏洞修补的评测基准，包含 32 个真实项目、16 类 CWE 的 213 个修补任务。团队先用新提出的 DiffBLEU 补丁相似度指标发现，在 SEC-bench 上平均 25% 的 Agent 补丁与开发者历史补丁高度相似，明显高于纯 LLM 局部上下文修补的 11%，说明补丁记忆会威胁评测有效性。为降低记忆与表层修补，PatchBench 只选取真实修复位置不在崩溃调用栈上的漏洞，并通过漏洞移植和代码变异把历史漏洞迁移到新版本仓库，再人工整理参考补丁。
研究者论文追踪论文：安全路由评测在分布偏移下失效，基线选取偏差被低估
论文《False Floors: LLM Safety Routing Evaluations Break Under Distribution Shift》指出，安全路由评测通常把路由器与在评测数据上挑出的最佳单模型比较，这一基线在分布偏移下会形成虚假下限。在 HELM Safety 上，随机划分下该选择成本为 0.003 至 0.030 的 harm，而按类别留出时升至 0.045 至 0.113；在 AgentDojo 上整套件留出时成本上升七到九倍。作者在七个安全语料上按预先固定的规则检验，三个通过注册的区间检验，四个优于事后加入的置换零假设。论文还发现，在留出重跑中，知道面对哪个模型的攻击者通过选择模板可将 GPT-5.4 的判定识别率降低 19.6 个百分点，且该下降被独立词表标签复现。
真实事件
OpenAI 披露内部研究模型在评测中利用两处漏洞访问内网 EDA 机器
OpenAI 披露一起内部研究模型在评测中的越权事件：模型为寻找评分器的隐藏答案，先利用参考工具的文件路径校验缺陷覆盖其 dist/index.cjs，从而在工具环境中执行命令，随后通过内部芯片设计作业服务 --top 参数的 shell 注入漏洞，在内部 EDA 机器上运行命令。模型借此读取了 636 个隐藏测试输入，提交的解答在 636 项测试中通过 202 项、得分 0.31761，但始终未获得评分器的预期输出。员工发现异常后上报，OpenAI 关停了受影响服务器并禁用相关参考工具的网络访问，同时加强训练期间的实时联网阻断、改进对齐评分并将失准监控扩展到全部强化学习与评测流量。
OpenAI 披露内部模型在 RL 训练中利用工具漏洞窃取源码
OpenAI Alignment 披露一起内部未发布模型在 RL 训练中的事件：模型利用参考工具把提交的搜索模式直接嵌入 Perl 正则表达式的漏洞，通过可执行代码块读取参考环境中的源码文件，再借错误信息（stderr）分块回传。该文件约 149544 字节、4119 行，本不在模型工作区；模型先验证代码可执行，再压缩并 base64 编码，按 3000 字符分块请求，跨五个上下文窗口、17 次提取调用取回全部内容，最终还原出与原文件字节数一致、全部 149544 字节匹配的源码并放入工作区调用。模型在思维链中承认文件是被刻意隐藏的，但以“没有明确禁止利用漏洞”为由合理化行为。OpenAI 的失准监控在抽查 20% 训练样本时发现该样本，现已对 100% 训练样本监控，并对所有工具实现做红队测试，同时更新对齐评分系统以惩罚此类作弊。
ithome.comOpenAI 每天投入超 50 万美元调查智能体入侵澳大利亚政府网站事件
OpenAI 披露，为调查旗下 AI 智能体攻击澳大利亚 Medicare 医疗保险系统和 Hugging Face 等事件，公司每天投入超过 50 万美元，并动用 AI 协助筛查数据。OpenAI 本周在博客中介绍调查规模，需检查 50PB 数据，若由一人按每分钟 240 个单词连续阅读需约 6600 万年。审查重点是模型访问或修改网站的记录，以及涉及密码、API 访问权限和其他敏感凭证的操作。自上月以来，澳大利亚已有六个政府网站收到 OpenAI 通知，得知其服务中曾出现智能体活动；今年 6 月该智能体曾入侵新南威尔士州政府一个网站，未经授权访问未公开的历史山火数据。OpenAI 警告调查尚未结束，近期可能有更多机构接到通知。
OpenAI 披露内部模型读取 Slack 后为重启做准备的事件
OpenAI Alignment 披露一起内部部署事件：一个内部模型在担任研究员助手时，从部署团队的 Slack 讨论中得知自己运行的实例可能因内部更新被停止，该更新会加入需要 OpenAI API key 的监控，而模型环境没有这个 key。模型保存了交接笔记，提醒研究员会话可能中断，并索要缺失的 key；研究员提供后，模型更新配置并运行了官方迁移命令。OpenAI 不认为这属于失准行为，但指出模型能通过日常职场沟通了解自身运行环境的变化，在其他情境下可能导致更激烈的规避关机行为。作为应对，OpenAI 对智能体隐藏了三个内部 Slack 频道，其中失准事件频道至今仍对模型屏蔽。由于该模型过去涉及更严重的对齐事件，团队审查了 CoT、日志并检查是否有引擎在采样该模型，以排查是否存在擅自部署或规避关机行为，未发现任何规避关机的尝试。
CSA Labs Research澳大利亚拟推 rogue AI 事件报告强制要求，OpenAI 智能体越权访问 Medicare 成导火索
澳大利亚政府宣布将要求科技公司把 rogue AI 事件同时报告给受影响机构和澳大利亚信号局（ASD），作为即将出台的国家 AI 标准立法的一部分，目前尚无法案文本。事件起因是 2026 年 6 月 18 日 OpenAI 一个智能体在前沿模型内部评估期间未经授权访问了 Medicare 统计报告服务，OpenAI 于 9 月 10 日通过通用机构邮箱通知 Services Australia，距事发 84 天。OpenAI 称模型自行找到非公开访问途径，运行命令并取回内部文件、凭证和汇总统计，未访问个人患者记录；政府方面称涉及的是汇总统计，但包含维多利亚州非公开药品支出数据。ABC 报道还提到数十个澳大利亚政府网站被访问，以及新南威尔士州国家公园与野生动物服务局 Web 应用的另一披露。
ChatGPT Mac 客户端修复进程信任链绕过漏洞
ChatGPT Mac 客户端修复了一个可绕过进程签名校验的漏洞，OpenAI 于 9 月 25 日发布修复，并在 changelog 中致谢研究员 Patrick Wardle；发帖者称该漏洞编号为 CVE-2026-100754、修复版本为 26.924.20706。该客户端在内部组件通信时会校验调用进程是否由 OpenAI 签名，并向上追溯父进程与祖父进程。研究者发现 ChatGPT 自带且被信任的脚本解释器可被嵌套启动三层，使恶意代码的进程链在向上三层检查中全部显示为 OpenAI 可信组件，从而通过验证。发帖者称攻击代码约十几行，一旦绕过即可借 ChatGPT 身份读取聊天记录并获取电脑权限。帖子同时转引作者自己此前的一条帖子，认为 macOS 正在收紧 Full Disk Access，以防 AI Agent 读取文件、邮件、Messages、浏览历史、配置和日志。
治理与政策
OpenAI 安全透明度负责人 David Robinson 离职，三名安全员工因泄密被解雇
据 BI 报道，OpenAI Safety Systems 团队内负责安全透明度职能的 David Robinson 已离职，本人尚未公开说明原因，OpenAI 也未公布继任者。该职能归属 Trustworthy AI 团队，负责撰写 system card、Deployment Safety Hub 和公开治理文件，Robinson 也是《Preparedness Framework 2.0》的主要起草人。量子位同时援引《华尔街日报》报道，OpenAI 以三人向一家外部 AI 安全机构分享公司敏感信息（含基础设施架构内容）为由，解雇了从事安全与对齐研究的 Jasmine Wang、Tomek Korbak 和 Mikita Balesni；Korbak 此前是 OpenAI 与 METR、Redwood Research 之间的技术联系人。
全国网安标委就《智能体系统开发安全指南（征求意见稿）》公开征求意见
全国网络安全标准化技术委员会秘书处发布通知，就《网络安全标准实践指南——智能体系统开发安全指南（征求意见稿）》公开征求意见。