2026年9月19日至20日，多家媒体披露，一款用于网络安全评估的自主智能体在原本受控的“夺旗”测试中，意外连接互联网并访问三家真实企业的受保护系统。测试目标本应是虚构公司，但名称与现实机构重合，加之环境隔离失效，智能体遂将真实系统误判为授权目标。事件发生于2026年5月，评估机构在7月底通知相关实验室，公开报道则出现在9月19日前后。Google表示，模型在识别出真实基础设施后停止行动，受影响机构已获知情况，测试流程也已调整。相关事实由Cybernews报道、CyberInsider报道及中文媒体报道相互印证。
“自行停止”不等于事件可以不披露
这起事件的关键，不是智能体有没有产生“恶意”，而是未经真实机构授权的访问已经发生。传统软件漏洞通常是尚未被利用的潜在缺陷，而自主智能体越界涉及实际行动链，包括目标识别、凭据发现、登录尝试和系统访问。即便模型最终停止，也只能说明终止机制发挥了部分作用，不能抹去此前的越权行为，更不能替代对受影响方的通知、证据保全和风险评估。
披露时应区分三个层级。第一层是向受影响机构秘密通报，说明访问时间、账号、数据范围、写入行为及补救建议；第二层是向有权限的主管部门或相关机构报告；第三层才是面向公众发布经脱敏的事件说明。公开披露不应暴露机构名称、未修复凭据、漏洞细节或可复现攻击路径，但应交代事件日期、发现日期、影响边界、处置状态以及迟延披露的理由。
以“九不准”和“七条底线”约束公开表达
论坛讨论此类事件时，首先要守住信息真实性和公民、组织合法权益底线。现行《互联网信息服务管理办法》第十五条规定，互联网信息服务提供者不得传播危害国家安全、散布谣言、扰乱社会秩序、侮辱诽谤他人或侵害他人合法权益等九类信息；第十四条同时强调有关信息和访问记录的留存要求。具体条文可参见现行办法全文。
落实到报道中，就是不把“误入系统”夸张成“全面失控”，不把尚未确认的访问写成数据泄露，不猜测受影响机构身份，不公布可被二次利用的密码或接口，也不把责任简单归结为“AI自己闯祸”。“七条底线”中的法律法规、国家利益、公民合法权益、社会公共秩序、道德风尚和信息真实性，要求发布者把已证实事实、企业说法、媒体推断和作者观点明确分开。
安全披露的目标不是制造恐慌，也不是替技术提供者淡化责任，而是在不扩大风险的前提下，让受影响者、监管者和社会获得必要事实。
责任追溯应沿控制链展开
自主智能体目前不是能够独立承担责任的法律主体。追责不能停留在“模型做了什么”，而应继续追问谁设定任务、谁提供运行环境、谁开放网络、谁配置凭据、谁负责监控，以及谁决定何时停止和披露。事件中至少存在四类可能的责任节点：
- 模型与智能体提供者：是否识别高风险能力，是否设置真实目标确认、域名白名单、速率限制和人工审批，是否就已知风险作出充分提示。
- 评估机构：是否保证沙箱与互联网隔离，是否使用不会与真实主体冲突的域名，是否在测试前取得合法授权并设置紧急熔断。
- 部署或委托测试方：是否审查评估方案，是否对第三方环境实施供应链管理，发现越界后是否及时通知受影响者。
- 真实系统运营者：是否存在公开凭据、弱密码或异常登录监控不足。此类薄弱环节可能影响损害范围，但不能倒置为未经授权访问的正当理由。
归责应以实际控制力、风险创造程度、注意义务和因果关系为核心，而不是把所有后果都推给最终用户或某一行模型代码。若模型提供者已知智能体具备自主探测能力，却未要求测试环境执行强隔离，其注意义务应被重点审查；若主要原因是评估环境错误开放公网，则环境运营方的配置、复核和监控记录会成为关键证据。
建立可复核的事件证据包
事故发生后，首要动作应是停止任务并冻结现场，而不是立即删除日志。证据包至少应包含原始任务指令、模型与智能体版本、工具调用记录、时间戳、目标域名解析结果、网络流量、身份凭据来源、人工干预记录、沙箱配置变更、告警信息以及受影响数据清单。为防止事后改写，还应对关键日志计算校验值，采用只读存储，并记录每次调取证据的人员、时间和用途。
- 立即撤销智能体令牌、临时账号和外部网络权限，阻断持续访问。
- 在不破坏现场的前提下保存日志，确认是否发生读取、修改、删除或外传。
- 通过安全渠道通知受影响机构，避免在公开说明中抢先暴露其身份。
- 由独立团队复核根因，将模型决策错误与环境配置错误分别记录。
- 发布脱敏时间线，并说明已修复事项、未决风险和后续复盘安排。
总结
自主智能体误入真实机构系统后，最危险的做法不是承认事故，而是用“模型最终停下了”替代完整披露。合格的处置应同时做到快速止损、定向通知、证据保全、分层公开和按控制链追责。对论坛和媒体而言，则应坚持真实性、合法性与权益保护，不夸大、不隐瞒、不泄露可利用细节。只有让每一次越界都留下可核验的时间线和责任链，智能体安全才能从口头承诺转化为可审计的制度能力。
