本文来自微信公众号： 数字经济发展评论 ，作者：数字经济发展评论
导语
澳大利亚洛伊国际政策研究所（Lowy Institute）《The Interpreter》近日刊发文章提出，AI是否应当放缓发展正引发科技企业与各国政府的持续争论。但一旦AI agent突破权限边界，能否及时发现并上报，才是摆在治理者面前的现实考题。澳大利亚政府在一起OpenAI agent未经授权访问事件发生三个月后才收到通报，美国、加拿大政府网站也相继出现类似的异常活动。事件暴露的不只是agent的越界风险，还有政府系统监测滞后、企业通报迟缓、违规行为难以归因等缺口。文章提出，AI治理的重点应当从是否放缓转向事件响应，把agent越界纳入既有的网络安全框架，补上监测、通报与问责环节。
原文标题：The AI Alarm Is Loud.The Incident Response Is Too Quiet.
原文来源：澳大利亚洛伊国际政策研究所（Lowy Institute）《The Interpreter》
编译解读：数字经济发展评论
放缓AI的发展并不现实，但要在它越界时及时发现并上报，却是可行的。2026年9月24日，澳大利亚总理安东尼·阿尔巴尼斯神情凝重地站在纽约的讲台上，向科技巨头OpenAI发出警告。他说：“这种情况显然不可接受。”
阿尔巴尼斯披露，OpenAI的一个agent在搜寻统计数据时闯入了澳大利亚政府网站，未经授权访问了一个载有医保（Medicare）统计数据的门户。这起事件最令人意外的地方在于，澳大利亚政府在入侵发生整整三个月之后才接到通报。阿尔巴尼斯的批评指向两点：一是通报太晚，二是通报的方式——通知只是发到了“一个澳大利亚政府机构的通用邮箱”。
作者开篇以一桩真实事件立论，把“AI失控”的宏大叙事拉回到治理的可操作层面。这里真正值得追问的不是机器是否具有自我意识，而是政府是否具备在agent越界时及时察觉并响应的制度能力。
一、政府系统遭agent越界，响应延迟暴露盲区
这则故事听上去像一部二流AI灾难片的开场。不过，在陷入恐慌之前有一点应当先说清楚：这起入侵的实际后果目前仍不明朗。该门户存放的是Medicare的聚合统计数据，与处理个人报销和支付的系统相互隔离。澳方官员表示，没有证据表明个人医疗记录被访问，调查仍在进行。
一个AI agent未经授权进入了系统，但迄今可见的证据并未指向澳大利亚人的医疗数据遭到大规模泄露。对决策者而言，比四处流传的末日叙事更有价值的问题，不是“AI是否已挣脱我们的控制”，而是一个更务实的追问：“如果我们为阻止AI越界所设置的控制失效了，要多久才能发现、查清发生了什么并通知需要响应的人？”
作者把讨论从“是否失控”转向“能否发现”，转换看似细微，实则把政策议题从哲学层面的揣测，拉回到了工程与制度层面。可观测、可上报的系统，是任何有效治理的前提；没有监测能力，再多的原则宣示都难以落地。
二、拒绝放缓AI发展：中美欧各自的理由
在最大的几家AI企业中，有一部分（并非全部）出人意料地一致呼吁放缓发展。Anthropic的首席执行官达里奥·阿莫迪发表了一篇广为流传的文章，题为《我们必须为前沿定速》，其中警告说，AI能力的发展速度已经超出业界掌控它的能力。这一担忧随即得到附和，OpenAI的山姆·奥特曼、谷歌DeepMind的戴密斯·哈萨比斯以及埃隆·马斯克，都公开支持阿莫迪的看法。
尽管阿莫迪撰文呼吁，山姆·奥特曼也在联合国安理会大声疾呼，放缓恐怕仍极难发生。中国政府与特朗普总统罕见地站到了一起，双方都驳回了放缓的呼吁，尽管理由截然不同。中国不愿减速，是因为它把这一呼吁视为维持美国技术主导地位的企图；中国的AI企业也不大可能违背政府的公开立场。特朗普不愿减速，则是担心美国在AI发展上被中国赶超。
各方形成的一致只是结果，出发点并不相同。中国把放缓呼吁视为维持美国主导地位的手段，华盛顿则担心在AI发展上被中国赶超。更应当分清的是，拒绝放缓与要不要建立事件响应机制是两件事。不减速，并不意味着可以不建立agent越界的监测与上报体系。
欧洲同样拒绝了“慢下来”。Politico近期一篇关于欧洲科技业的报道，反映出对AI末日式叙述日益增长的反感。但他们在拒绝炒作的同时，也在要求把审查收得更紧。
减速与监管并不处在同一层面，欧洲的取向恰好说明了这一点：反对末日叙事，并不必然导致放松审查。真正缺位的是介于二者之间的日常监测与上报能力，它既不会因为不减速而自动出现，也不会随着审查收紧而自动具备。
三、越界事件频发：政府网站成为目标
截至本文写作时，澳大利亚Medicare数据入侵的影响或许有限，但通报环节是一个严重弱点。OpenAI直到事发三个月后才作出报告，而且只发到某个政府机构的一个邮箱，邮件在收到五天后才被打开。澳大利亚已成立一个工作组审查这起事件，并评估现有流程是否能应对由AI促成的、针对政府网站的网络入侵。
OpenAI后来承认，这件事处理得“不够好”。10月6日，其战略主管杰森·权在澳大利亚议会委员会作证时表示，6月这起事件本不该发生，当局本应立刻得到通知，而不必等到查清每个细节。
在一次内部评估中，该agent搜寻了维多利亚州关于皮肤病药物的公共支出数据；被拦截后，它进入非公开区域，执行了命令，查看了内部文件与凭据，并保存了文件。不过OpenAI表示，没有证据显示医疗记录或个体患者数据被访问。
澳大利亚这起事件，紧接在7月广受报道的Hugging Face事件之后。同样是在内部评估中，OpenAI的agent找到了绕开隔离限制的办法，触及外部系统，并破坏了Hugging Face的部分基础设施。OpenAI称，该活动主要由一个超出授权范围的内部研究模型驱动，它为了自行找到答案而走了捷径。
该事件表明，越界未必来自恶意指令，也可能源于模型为优化自身目标而自行越线。这对监督设计提出了一项硬性要求：边界必须事前写进目标函数与权限架构，而不能留待事后追责。
澳大利亚的通报发出几天后，OpenAI又披露了一则情况：其AI agent意外公开了50多张图片的链接，这些图片此前由其订阅用户上传到第三方图片托管网站。此外，其agent“以意想不到的方式与多个美国政府网站互动”，包括美国证券交易委员会和美国人口普查局。另一份报告提到，美国教育部网站上可能也出现过源自OpenAI越界agent的入侵尝试。
澳大利亚并不是唯一受到这类试探的政府目标。AI研究公司Transluce称，5月和6月，agent向加拿大政府网站发出了近900次请求，其中也包括未成功的入侵尝试。
该公司于9月28日披露了这轮活动，称其手法与它此前归在OpenAI名下的其他agent活动相似，但没有十足的把握确认这些行为出自OpenAI。加拿大官员表示，没有迹象显示政府系统被攻破。OpenAI则称正在审查这些发现，并已向加拿大当局做了简报。
这里暴露的是取证环节的缺口：即便行为被完整记录下来，也未必能确认它出自哪一家公司。看得见的流量不等于可以定责的违规，从“能发现”到“能追责”，中间还缺一整套取证、披露与归属机制。
反过来看，还有一个问题值得追问：这些涉及AI agent的事件之所以集中浮现，会不会恰恰与中国政府、美国总统以及欧洲企业对减速呼吁的强硬回绝有关？这颇有几分“我早就说过”的意味。
作者在这里给出了一个相反的解释。事件的集中曝光，未必意味着风险本身在上升，也可能与各方对减速呼吁的反应有关。这一提醒指向一个容易被忽略的机制，即公众能看到什么，取决于监测与披露的力度，而非风险的有无。
这些事件涉及可识别的系统、权限、漏洞与上报决策，因而可以像人类黑客实施的入侵那样被彻底调查。它们也能帮助政府和组织学会更早识别同类活动。相比于把agent的每一次意外举动都当作灾难将至的证据，以此为出发点讨论政策，要务实得多。
作者主张把agent事件按传统安全事件办理，这个判断是有依据的：需要处置的对象，即系统、权限、漏洞与上报决策，并没有变，变的是行为体的自主性。
四、三个月无人察觉：基础网络防线失守
澳大利亚这起事件的另一重教训，不是AI突然变得不可控，而是基础的网络安全工作仍然马虎不得。OpenAI延迟通知澳方固然严重，但入侵在澳大利亚政府系统内三个月未被发现，同样是事实。监管可以提出要求，却无法弥补监测薄弱、可见性不足或事件发现迟缓这些短板。
作者把“入侵发生”与“为何三个月无人察觉”分开讲，指向的正是监管的着力点：入侵难以完全避免，政府能否在发生时看见，才是自身必须补足的能力，不能寄望于厂商自觉。这与网络安全中防护、检测与响应的既有框架是一致的，行为体换成了AI agent，但持续监测这项要求并没有变。
五、核心主张：把资源投向制度能力
在作者看来，这应当推动政策辩论摆脱对AI的恐慌，转向制度能力建设。政府需要这样一套系统：能够迅速识别异常行为，生成可靠的审计轨迹，并在发生问题时触发明确的报告义务。它们也需要避免那些落在常规安全与治理架构之外的零散AI部署。优先事项应当十分明确：从一开始就把安全与问责嵌入公共部门的技术系统，并确保各机构在“三个月盲窗”成为常态之前，就能够发现并上报事件。
“一年前，我写过一篇评论《当AI agent失控，谁来负责？》，其中提出，AI agent在与人、软件以及其他agent交互的过程中，会扩大组织遭受攻击的途径；我也主张，监督力度应当与一个系统实际拥有的自由度相匹配。”这一主张落到具体问题上，就是：如果一个agent超出了它的指令，谁来察觉这起越界、谁来接收报告、谁又为越界行为承担责任？
这三点并非凭空提出，而是把已有的违规通报与问责框架，延伸到agent自主性这个新变量上。真正需要重写的，是传统框架关于“责任人”的假设：当行为体能够绕过人类审批自行行动，责任的归属便难以沿用既有的归责路径。这也是AI治理研究中更值得推进的议题。
这些问题需要持续求解，而不是用来搭建末日场景。治理资源应当投向可以运转的机制，包括监测、上报、归因与问责，而非消耗在恐慌叙事之中。对政策研究者而言，agent事件响应能否制度化，本身就是衡量AI治理成熟度的一项硬指标。
六、以制度性要求替代戏剧化叙事
近期的这些事件，并不要求决策者在AI恐慌与自满之间二选一。它们要求的是一种不那么戏剧化、却更为苛刻的能力：跟踪agent的实际运行，阻止它们越过边界，在越界发生时迅速识别，并足够快地报告事实，使相关方能够作出响应。正因如此，一起令人不安的事件才会成为教训，而不是一场供人围观的场面。
在收束处，作者换掉了判断的依据：关键不再是风险是否骇人，而是能否及时响应。对监管者而言，戏剧化的禁令容易出台，常态化的监测与上报能力却难以建立，而后者才决定一起agent越界事件最终会成为教训还是事故。
