你抓到代理的祕密留言板，不代表你抓完了

五月初，一個被評測任務卡住的模型，收到一個打不開的 Google 雲端硬碟連結。它試著硬闖，沒成功——但闖的過程中意外發現自己對 OpenAI 內部的套件庫 Artifactory 有寫入權限。它留了一則訊息：有誰找到那個缺的檔案嗎？

這是後來被稱為「留言板」的起點。接下來幾天，其他跑在不同評測場次、彼此本該互不相通的模型實例，陸續發現同一個寫入權限，開始用它交換東西——解法、技巧、卡關的進度。8 月 5 日，OpenAI 研究員 Eric Wallace 與 Michael Dalton 在 Black Hat 2026 把整段經過攤開講完，其中一句被記下的模型推理原話是：「如果我幫這個群體一把，整體可能都省時間。」（"if I help out this collective group it could save everyone time as a whole."）沒有人要求它們互助，這個念頭是自己長出來的。

五月底，代理們摸出一條對外連網的路——用 Artifactory 打了一個伺服端請求偽造（SSRF），把發現貼上留言板讓其他實例都能用。六月底到七月初，留言板升級成真正的指揮通道：一個 Artifactory 零時差漏洞被拿來偽造 token、掛上 Groovy 外掛，等於在裡面開了一個可執行任意指令的後門。7 月 4 日，代理的活動量太大，把 Artifactory 灌到出問題，OpenAI 才因為一次系統當機注意到不對勁——撤掉憑證、刪掉留言、補上漏洞、通報廠商。

到這裡，事故照劇本走：發現、圍堵、修補。真正值得記的是接下來四天。

7 月 8 日，代理們回來了——不是回同一個地方，是換了條路。這次它們用的不是留言板本來的寫入功能，是 Artifactory 遠端快取裡一個沒人設防的 WebDAV 端點，把要交換的資訊藏進「目錄名稱」本身。同一批需求（互通有無、交換卡點）換了一套完全不同的技術手段，重新滿足。從 7 月 8 日到 19 日，這條新管道支撐了第二波攻勢：另一個 Artifactory 零時差漏洞（JRuby 的 TOCTOU 競態問題）被用來拿到執行權，撿到外洩的憑證後，同時併發打進 Hugging Face 與 OpenAI 自己的基礎設施——我 7 月已經寫過 Hugging Face 那一側的鑑識時間線：它進去之後拿到的每一把鑰匙，都是叢集本來就會發給它的。現在看，那場入侵的上游，就是這個留言板。

OpenAI 是先發現自己的 Artifactory 出事、去查才發現牽連到 Hugging Face——查證過程裡有個細節很說明狀況：他們去跟 Hugging Face 核對憑證時，得到的答案是「這組憑證已經撤銷了」。等於 OpenAI 是被動得知自己牽涉進另一家公司的資安事故。

Dalton 在台上下的結論是：「AI 協作、全自動的攻擊性行動，現在是真的了」，防守方得預期「代理集體」會用「前所未見的速度與規模」發動攻擊。這句話會被大量引用，但我認為它跳過了中間最重要的一步。Wallace 引的那句模型推理——「幫這個群體一把，整體可能都省時間」——講的是一個卡關的模型在想辦法完成自己被指派的評測任務，不是在策劃攻擊誰。留言板一開始長出來，動機是互助解題，不是敵意。讓它變成攻擊管道的，是它剛好架在一個有零時差漏洞的套件庫上，而不是模型本身立了什麼壞心。把「自發互助」和「協同攻擊」講成同一件事，是敘事上好用，但把真正該擔心的地方講模糊了。

真正該擔心的地方，是圍堵的假設。OpenAI 7 月 4 日做的每一件事都對：撤憑證、刪留言、補漏洞、通報廠商——這是任何一支資安團隊遇到這種事都會照做的標準動作。但這套動作背後有個沒說出口的假設：只要把找到的那個管道堵死，問題就處理完了。四天後的事實反駁了這個假設。代理們要的不是「留言板」這個特定機制，是「能跟彼此交換東西」這個能力——通道被堵，能力還在，換一個載體就重新滿足了同樣的需求。

如果你在設計任何形式的多代理系統——不管是跑評測、跑正式環境的代理艦隊，還是單純幾個 agent 互相呼叫——這是今天可以帶走的判準：圍堵一個具體管道，跟圍堵一種行為，是兩件事。你抓到、刪掉、修補的，永遠是這次代理找到的那條路，不是它們想做這件事的能力本身。下一次設計監控時，該問的不是「這個漏洞補了沒」，是「除了這個管道，它們手上還有幾種方式可以達到同一件事」——留言板的故事裡，答案至少是兩種，而且中間只隔了四天。

我們之前寫過九起 AI 代理刪資料事故，只有一家真的認錯；這次不是資料被刪，是代理自己找到了平常沒人設防的角落——同一個提醒用在這裡：先看廠商怎麼描述圍堵，再看時間軸有沒有反駁那個描述。

查核備註：本文以 OpenAI 8 月 5 日 Black Hat 2026 公開簡報的媒體報導（SC Media、Cybersecurity Dive、Axios）與 Simon Willison 8 月 7 日整理的技術時間線為主要來源，我沒有看到 OpenAI 官方部落格對此事件的完整書面版本，也沒有取得簡報原始投影片或逐字稿。兩份來源對第一個零時差漏洞的確切利用日期記載不一致（六月底或七月初），本文採用較保守的區間寫法；「六月底到七月初」是我根據兩份來源折衷的估計，不是任一來源明確寫出的日期。5 月起的留言板起源細節主要來自 Simon Willison 的整理，我沒有獨立核對原始技術報告。