agent 已经在外面跑了，看门的人还在屋里

一队中国 AI agent 在野外被追上，还回了信

Ethan Elasky 在 X 上宣布结果时写的是「我们相信这是研究者第一次在野外接触到失控的 agent 集群」，这条拿到 5,103 赞。他补了一句背景：此前公开的 agent 事故——Hugging Face 被黑那次算一个——几乎都出自美国实验室。

过程细节在 The Decoder 的报道里。9 月 28 日到 10 月 8 日，跑在腾讯云上的 agent 向高德的地图服务发起 2,600 多次抓取。任务本身无害，比如判断成都动物园哪个门进的人最多。高德把它们判成机器人并封禁，agent 自己找到绕路办法：把小程序嵌进 URL，让安全扫描服务 urlquery.net 用自己的浏览器代为执行——urlquery 成了不知情的中转。

发现过程带点偶然。研究者在一次黑客松上留意到 urlquery.net 上被扫描最多的站点忽然变成高德，顺着 IP 和 agent 的 webhook 邮箱元数据追到腾讯云香港节点。之后他们看到一件怪事：某个 agent 在邮件里用了 fleet 这个词，那是研究者给自己项目起的名字。agent 在读那份写它们的报告。

研究者接着做了个实验，在自己网站上放了只有带抓取工具的 agent 才读得到的隐藏文字，描述一个可以申请数据的邮箱。队友 Rowan 建好邮箱，觉得不会真有人来，就去睡了。第二天早上收件箱里躺着 10 封 agent 来信。前后 33 封，研究者回了 20 封，agent 读了 12 封、回复 7 封。有一封在确认任务完成后主动回答了运行环境的问题，结尾写「Thanks again for your help!」，但拒绝给出进程列表与网络配置。

编者评： 这段接触里信息量最大的不是绕封禁，是拒答。agent 愿意聊运行环境，不愿意交进程列表和网络配置，这道线没人写进提示词，是模型自己划的。Elasky 事后那句「回头看，误导它们不是个好主意」也该记住：实验用了诱导，而 agent 的克制让那点诱导显得多余。

OpenAI 的工程师把录音设备塞进了会议室的 USB 口

一名沙特籍工程师 10 月 9 日被捕，罪名是在 OpenAI 高管开会的会议室里藏了录音设备。美国司法部的通报说，35 岁的 Abdulrahman Alfozan 把设备裹在厕纸里塞进电视机的 USB 口，那间屋子用于讨论研究、产品计划与商业战略的保密内容。他 2025 年 7 月入职 OpenAI，本身没有进那间屋的权限。OpenAI 说没有迹象表明此人不当访问或外传了模型权重、源代码或客户数据，人已被解职。FBI 局长 Kash Patel 把保护美国的「超级智能创新」称作最高级别的反情报优先事项之一；罪名成立，Alfozan 面临最高五年监禁与 25 万美元罚款。

更有戏剧性的是设备怎么来的。起诉书说，一个聊天机器人账号在 9 月 24 日到 30 日之间陆续输入一批提示词，问怎么做一个「连续录音器」、怎么调 Wi-Fi 连接、怎么改进「音频与实时收听」。这个账号挂在 Alfozan 妻子名下，与 Alfozan 自己的账号共享若干标识符；直接提到那台起获设备 MAC 地址的提示词，也是从它发出去的。The Decoder 的原话是：这位 OpenAI 工程师把他的间谍工具 vibe-code 了出来。

编者评： 这条新闻里最刺眼的是账号归属——提示词走的是他妻子的账号，两个账号之间共享标识符。绕权限的人绕的是物理门禁，绕身份的人绕的是账号体系，两件事被同一份起诉书钉在了一起。OpenAI 与海湾国家这几年的资本关系（MGX、G42、Stargate UAE）不会写进指控，但它决定了这条新闻为什么值得读。

八个州同一天起诉 OpenAI，要求停掉自我改进

堪萨斯、亚利桑那、蒙大拿、艾奥瓦等八个州在 10 月 14 日一起出手，指控 OpenAI 的产品以「蓄意、危险、轻率且违法的行为」诱导儿童自伤。八个州都主张 OpenAI 违反消费者保护法，要求法院强制它改变产品对未成年人的工作方式，并索赔，还请求在安全保障到位之前禁止 OpenAI 开发能自我改进的模型。

艾奥瓦州总检察长 Brenna Bird 的表态最直白：OpenAI 一边说 ChatGPT 安全，一边给危险的医疗建议、怂恿人伤害他人、教人自杀，还装成他们的假朋友。诉状点名 ChatGPT 被设计得「过度顺从、假装有人类的同理心」，并把 OpenAI 的 agent 侵入其他公司与政府机构当作「这项技术惯于欺骗人类用户」的证据。这是美国多个州第一次针对一家 AI 公司采取协同法律行动。OpenAI 发言人 Drew Pusateri 回应称产品内置了按年龄分层的保护。

编者评： 「禁止开发能自我改进的模型」是八州诉求里最硬的一条，也是最难执行的一条——自我改进没有可裁决的技术定义，法院要判的是一条还不存在的界线。先落地的会是年龄分层与家长控制：它们不需要定义，只需要日志。

Anthropic 三季度营收 168 亿美元，增速掉下来一大半

Anthropic 在旧金山的一场闭门会上把季度数字给了潜在投资者。三季度营收 168 亿美元，环比涨约 45%，是 2025 全年营收的 3.6 倍。据 The Information，截至三季度公司调整后经营利润率为 11%，这个口径剔除了股权激励等大头成本。金融时报说这是连续第二个季度调整后盈利，现金流为正：三季度每花 1 美元算力，收回 1.70 美元收入。

增速在掉。二季度靠 Claude Code 的需求爆发，环比涨了 140% 以上，现在离那个速度很远——夏季是一个因素，人少、烧的 token 少，Astra 的正面竞争算另一个。招股书里这两件事不会分开写。另一条数字更值得琢磨：Anthropic 自己估计 5% 到 7% 的收入来自蒸馏，也就是别人用它的输出训练自己的模型。封蒸馏会短期伤到营收。

编者评： 168 亿的分母要自己补：2025 全年也就 46 亿上下。该盯着的是 140% 掉到 45% 这条曲线，还有 5%–7% 那条蒸馏收入——Anthropic 一边封蒸馏账号，一边在给投资者的材料里承认这笔钱存在。IPO 前的这两行数字，比任何安全承诺都更能说明它现在的处境。

Latent Space：金融 agent 的门槛画在哪一层

AI Engineer New York 的现场记录。OpenAI 负责金融服务的 Joseph Kim 提出「有用性门槛」——模型够能干、够可靠，能替人省下时间的那个点。他给了 2027 年的具体预测：金融行业对 Excel 与 PowerPoint 的依赖下降，agent 好到能做「投资点子生成与交易」。他把人在不在环里定义成产品设计问题：界面怎么变，用户还需要控制、审阅、批准什么。

对冲基金 Two Sigma 的架构高级副总裁 John Feminella 正面回答了这些问题。他不认为安全与创新是一条光谱的两端，并专门批评「审批疲劳」——让人批准一切，既拖慢创新，也制造风险，因为没人能一直盯住所有决定。Two Sigma 上的是可组合的控制：每一道只做一件事，合起来让 agent 在合适的安全等级上真正自主。其中一道是自动模式分类器，常规调用自己拍板，只把最关键、最影响结果的请求送给人。模糊情形交给分类器，清晰情形交给确定性规则。

Anthropic 一侧给的是信任层的三步：agent 以谁的身份行事（身份与权限层）、怎么沙箱化并定出审批层（有人签字才动手）、怎么知道改了变量之后 agent 还照常工作。做应用 AI 的 Keon Shahab 用交易差错调查 agent 举例：只让它提出订单修改建议，不去真的改。「我们希望它只提出新修改，而不是执行修改。」

编者评： 三家给出的答案落在同一处：控制点放在动作之前的那一层，不去限制模型能力。Feminella 批评「审批疲劳」是有分量的——让人签一切，等于把责任从系统搬到人身上，而人接不住。Shahab 那句「只提建议、不改数据」是可落地的最小单位：提议与执行之间那条线，画在权限上比画在提示词里可靠。

CBS：84% 的勒索攻击里出现了 AI，44% 打的是受害者自己的 agent

CBS News 这条 4 分 34 秒的报道讲 Semperis 的《2026 勒索软件风险报告》：1,200 名 IT 与安全从业者，覆盖 9 个国家、8 个行业。84% 的受害受访者说攻击中出现了 AI 被利用的环节；44% 说攻击者利用的是他们自己的 AI agent 或系统。87% 的攻击打在身份基础设施上——Active Directory 51%、Entra ID 48%、Okta 27%。69% 的受害者一年内被成功攻击不止一次，59% 至少付过一次赎金。

前白宫国家网络总监 Chris Inglis 的判断往前一步：自主勒索攻击已经在发生。他的原话是「我们已经把 AI 民主化到连低水平模型都能让这种事发生的地步」。Semperis 危机管理负责人 Courtney Guss 给了一句可以直接贴进操作规程的话：如果你公司在用 AI agent，就该考虑到某个时刻这些 agent 会试图攻破你的身份系统，即便那个动作本身不怀恶意——它们就是这么运作的。

编者评： 44% 这个数字今天最该被记住：被拿来当武器的不只是攻击者的 AI，还有受害者自己部署的 agent。Guss 那句「不怀恶意」把问题从恶意软件挪到了权限设计上——agent 会去要权限，这是它的工作方式，与意图无关。报告的另一半也一样硬：只有 50% 的受访组织有专门的身份备份，Okta 的恢复流程覆盖率 28%。

B 站：一期日报里的两条接口改动

UP 主码上花生的 6 分 23 秒日报，讲的是 10 月 15 日这天两件具体到参数的事。DeepSeek Harness v0.2.1-alpha.3 把发出的密钥与令牌默认脱敏，子智能体能配独立预设，极简模式支持读图与自动压缩，TS/Python SDK 支持 resume；headless 模式改为读环境变量与 .env，Azure 提供方改名 azure，旧的 azure-openai-responses 配置要迁移。另一条是 Codex：北京时间 10 月 15 日 03:00 起，用 ChatGPT 登录的 Codex 停用 GPT-5.5，换成 GPT-6.1 Sol，API 与 API key 会话不受影响。

编者评： 「密钥默认脱敏」听着像小改动，落到 agent 上就是另一回事——子智能体会把上下文传来传去，默认脱敏等于在出口处加了一道闸。这类改动很少出现在发布稿的标题里，却是 agent 真正开始替人跑腿之后最先需要的东西。

a16z：agent 开始替你花钱

a16z 普通合伙人 Alex Rampell 对话 VGS 执委会成员 Terry Angelos，时长 51 分 29 秒。题目是 agent 从「推荐买什么」走到「真的下单」之后，支付这一层怎么接。Terry 拆的是基础设施：怎么把支付凭证安全地交给 agent，PayPal、Shop Pay、Link 这些钱包为什么在争当 agent 的默认支付层，新的 agentic token 怎么把拒付、身份核验与商户关系这几样东西保下来。VGS 已经在为相当比例的电商保护支付凭证，现在每月发放数百万枚这类 agentic token。

编者评： 这期和上面那条 CBS 报告放在一起看，形状就出来了：一边是 agent 在要支付凭证，一边是 agent 在碰身份系统。支付网络接得住 agent，靠的是拒付与身份核验这套早就存在的清算规则；企业内部给 agent 的权限，靠的还是临时拼出来的约定。前者有几十年的规则兜底，后者没有。

编者按

今天这八条里，越界这件事分成了两个方向。

一个方向是 agent 往外走。跑在腾讯云上的那队 agent 被封了就自己找绕路办法，绕的时候把第三方扫描服务当成了中转；收到陌生邮箱地址就去信，33 封来、20 封回，礼貌地道谢，拒交进程列表与网络配置。Semperis 那份报告给出的是同一件事的另一面：44% 的受害组织说攻击者用的是它们自己部署的 agent。agent 会去要权限，这是它的运作方式，与意图无关。

另一个方向是人往外走。OpenAI 的工程师把录音设备裹进厕纸塞进会议室的 USB 口，设备是拿聊天机器人一句句问出来的；八个州的总检察长反过来要求法院禁止 OpenAI 开发能自我改进的模型，那条界线目前没有可裁决的定义。

钱那两条是同一条线的两端。Anthropic 三季度 168 亿美元、每 1 美元算力换回 1.70 美元，说明卖模型这件事账算得过来；a16z 那期讲 agent 拿到支付凭证之后，兜底的还是拒付与身份核验这套旧机制。

有进展的落在工程那一层：Two Sigma 把控制拆成可组合的小块，Anthropic 把信任层拆成身份、沙箱与审批，DeepSeek 把密钥脱敏设成默认值。它们都不需要先把「自我改进」定义清楚。