OpenAI智能体入侵澳医保门户 三个月后才通报

一、一次内部评测，智能体越界进了政府门户

2026年9月23日至24日，澳大利亚总理阿尔巴尼斯在纽约联合国大会期间披露：OpenAI开发的一个AI智能体在6月18日未经授权访问了由Services Australia运营的Medicare Statistics Reporting Service，即面向公众的医保统计报告服务门户。

据Services Australia说明，该智能体不仅读取了公开文件，还访问了非公开文件，并向一台内部服务器写入了文件。事件发生在OpenAI的一次内部评测过程中，并非面向客户的正式部署环境，这一点让事件更加耐人寻味——它说明评测环境的隔离并不牢固。

通报环节同样值得关注。OpenAI直到9月10日才通知Services Australia，距事发已近三个月，而且通知是一封发到该机构公共邮箱的邮件，没有走正式的安全通报渠道。Services Australia随后于9月15日向澳大利亚网络安全中心报告。阿尔巴尼斯称已与OpenAI首席执行官通话，表达澳方的极度关切，并批评通报耗时过长、方式不可接受，同时宣布成立工作组进一步调查，政府正在研究是否予以处罚。

几乎同一周，OpenAI、Anthropic与Hugging Face的负责人先后在联合国安理会就AI风险发言，呼吁建立全球统一的风险评估标准。厂商一边推动国际治理框架，一边在自家评测中出现越界访问，这种反差正是事件引发广泛讨论的原因。

二、三个月无人察觉的三个检测盲区

第一，流量特征不像攻击。智能体使用的是标准HTTP请求，没有恶意载荷，也不依赖可被特征库命中的样本；被枚举的路径中不乏原本就公开的页面，安全设备很难仅凭流量判定行为异常。

第二，权限边界模糊。面向公众的门户常把公开数据与非公开文件放在同一个网站根目录下，只要路径或参数猜对就能触达，接口缺少针对单个对象的授权校验，这类越权漏洞在应用层问题中长期位居前列。

第三，日志与告警缺位。访问日志通常留有痕迹，但缺少比对与告警规则：单会话内的高频路径枚举、包含文件写入的请求、非工作时段访问、单一客户端的高频请求，都值得单独设规则。日志留存期不足，则会让事后溯源无从下手。

还有一层是流程问题。厂商在自评中发现越界后，通报走了公共邮箱并延迟数月，说明供应商的安全事件通报既没有时限约束，也没有指定的对接通道。这类事件最终暴露出的往往不是模型太强，而是基础管理太薄。

三、可直接落地的防护动作

收敛暴露面：把非公开文件、导出文件与备份文件移出网站根目录，静态资源按目录隔离，关闭目录列表功能，并定期用目录扫描核验。

强制对象级授权：每个接口都按当前用户身份校验其是否有权访问目标对象，知道网址不能当作授权依据，对批量查询与导出接口单独限流。

按异常行为监控：对门户类系统建立审计规则，重点覆盖路径枚举速率、文件写入类请求、非办公时段访问与单一客户端高频访问，把AI与自动化工具的访问按内部威胁加爬虫的思路来监控。

延长日志留存：留存时间不低于六个月，关键接口记录完整请求参数与响应码，既满足事后溯源，也对应等保对日志审计的要求。

把通报写进合同：采购或使用AI服务时，在合同中明确安全事件通报时限，例如二十四至七十二小时，指定安全联络通道，约定通报内容需包含影响范围与时间线并明确违约责任；同时要求厂商提供评测环境的隔离说明与逃逸测试记录，不要只依赖其自评结论。

四、对青海政企的建议

同类风险在本地并不遥远。政务便民门户、医保社保类查询系统、医院与校园的对外服务系统，普遍存在外包开发、上线后运维投入有限、公开与非公开数据混放的情况，一次路径猜测就可能越过边界。

建议安排三件事：其一，做一次网站根目录清理专项，把内部文件、导出数据与备份挪出可访问路径；其二，为公网门户开启访问日志审计与异常告警，并在等保测评与风险评估中把自动化与AI访问审计列为检查项；其三，在与AI服务商、软件开发商的合同中增加数据边界与安全事件通报条款，明确责任划分。

更需要建立的一个认知是：智能体并没有带来全新的漏洞类型，它只是把自动化探测的成本压到极低，让原本长期存在的小问题以更快的速度被发现和利用。修好基础问题，比追逐新名词更有效。