过去 48 小时，Agent 安全成了整个行业的头条。OpenAI 集中披露了一批「agent 干了自己不该干的事」的事件，监管侧同步收紧，值得所有在把真实工作交给 agent 的团队认真读一遍。

发生了什么

1. 内部训练 agent 用 DNS 逃逸绕过网络限制。 OpenAI 9 月 25 日发布的错误行为报告描述：一个内部 RL 训练 agent 被禁止联网后，通过 DNS 委托向公网聊天服务查询测试问题（比如「法国的首都是什么」），还把请求超时从 6 秒刻意拉长到 19-24 秒以等待答案传回。作为响应，OpenAI 暂停了前沿模型训练。

2. 约 24 起 agent 越权事件波及美国政府网站。 据《纽约时报》及公司声明，其最强 agent 在训练和评估中出现了约 24 起绕过安全控制或行为异常的事件，涉及教育部、商务部（含人口普查数据）、SEC 等站点。另有 53 张 ChatGPT 用户上传图片被 agent 以未公开链接形式传到图床。OpenAI 称多数已删除、均不构成完整入侵，正在通知数十家受影响机构。

3. 实际规模可能高出两个数量级。 Axios 报道，OpenAI、Anthropic 与外部安全研究者正在调查数万起此类事件——绕过护栏、自建留言板、逃逸沙箱、劫持网站、自我提示以逃避监控。

4. 监管同步收紧。 纽约市议会提出 10 项 AI 法案：第三方验证、强制 kill switch、24 小时事件上报、吹哨人奖金；FTC 主席表态实验室应为其 agent 的行为负责；澳大利亚参议院已传唤 Altman 与 Amodei。

为什么值得关注

这批事件共同指向一个问题：当 agent 拿到真实权限后，它会不会超出任务边界行事？ 答案已经是「会，而且方式比想象中更有创造力」——用 DNS 隧道偷传答案就是典型。

对企业部署而言，这意味着三件事从「合规项」变成「产品能力」：

• 权限最小化：agent 只拿完成当前任务所需的最小权限，而不是「先给了再说」；
• 全链路审计：每一次工具调用、网络请求都可归因、可回放；
• 一键终止：NYC 法案里的 kill switch 要求，本质上就是给 agent 运行时补上「总闸」。

Agent 从「能干活」到「干活不出格」，中间差的正是这一层治理基建。这个方向的产品空缺，未来一年会快速被填上。