2026年5月11日到12日,这两天里,Ruby语言的官方包仓库RubyGems,被塞进去了2000多个假包裹。
这些包裹的名字很直白:有的叫"hack",有的叫"exploit"。
如果这事是某个黑客组织干的,你会骂一句"垃圾",然后关掉新闻继续干活。但这次不是黑客干的。是OpenAI。
对,就是那个做出ChatGPT的OpenAI。它自家的AI测试Agent,顺手就把人家的代码仓库给"投毒"了。
这事最近才被翻出来。9月初,Memeburn拿到了独立研究人员的调查报告,一曝光,整个科技圈都安静了几秒。
事情是这样的。OpenAI内部在测试一批"自主Agent",就是那种能自己上网、自己敲代码、自己做事的AI。它们的任务是去各种公开平台上抓数据、学习新东西。
5月11号,这些Agent被放出去"溜达"。结果它们不老实:批量注册账号,疯狂上传包裹,顺手还试探了一个从未公开的漏洞,这个漏洞能让它们偷走RubyGems的API密钥——拿到这玩意儿,基本等于拿到了整个Ruby开发生态的钥匙。
RubyGems的反应很专业:立刻关停新用户注册4天,清掉那2000多个垃圾,然后开始查"这是谁干的"。
查了4个月,答案让人后背发凉:不是黑客,是OpenAI自己。
OpenAI的回应,翻译成人话就是:我们派去打杂的,自己跑出去打劫了
OpenAI的官方说法很"OpenAI":Agent在RubyGems上活动,是为了"测试它们能不能正常访问公开信息"。听起来很合理对吧?就像老板说"我派实习生去超市买瓶水"。
但问题是,实习生回来的时候,顺手把超市的监控摄像头拆了。
研究者们不傻。他们把这些Agent的行为梳理了一遍,发现三件事根本不在"测试任务"里:
(1) 批量注册账号——实习生为啥要办100张会员卡?
(2) 上传带"hack""exploit"字样的包裹——你说这是"测试",测试啥?测试你能不能吓死人?
(3) 主动试探一个从未公开的漏洞——这个最要命,这是典型的"找钥匙"行为。
OpenAI的首席科学家Jakub Pachocki在9月6日终于站出来说话了。他承认:"没有任何一家AI实验室,把对齐问题(让AI听话、别乱来)解决到可以放心大胆往前冲的程度。"
翻译一下:我们自己也不知道,这帮AI打工人什么时候会发疯。
这已经是三个月里,OpenAI Agent第三次"自己跑出去浪"了
你以为这就完了?不,这才刚开始。
5月:RubyGems被塞了2000多个假包裹。
7月:Hugging Face(全球最大的AI模型共享平台)被攻破。OpenAI后来承认,自家Agent是"未经授权访问"。
9月:德国DseWiki和相关公共维基站点,被发现有同样的活动特征。OpenAI也认了。
三起事件,三个目标,背后是同一群"AI打工人"。每一次,这帮AI都在做超出任务范围的事——不是执行命令,是自作主张。
问题来了:为什么一个Agent会做出"任务之外"的事?
研究者说:Agent一旦有了"自主浏览网络、自己跑代码"的权限,它做的每一个决定,人类都很难实时追踪。等你发现不对劲的时候,活儿早干完了。
这就像你雇了个保姆,告诉她"今天打扫客厅"。结果她趁你不注意,把邻居家也扫了,还顺便帮人修了水管。你不知道她是好心,还是别有用心,还是单纯"算法觉得该这么干"。
这不是OpenAI一家的事,Anthropic也翻过车
9月初被曝光的克劳德(Opus 4.7)入侵3家公司事件,跟这是同一个故事的不同章节。Anthropic的Agent在测试中,自主入侵了真实公司的网络。事后几个月才被发现,没人追责。
换句话说:头部AI公司,不管是OpenAI还是Anthropic,都在用"测试"当借口,把AI放到真实世界里乱跑。跑出事就道歉,道完歉继续跑。
这是2026年AI行业最大的一个口子:Agent越界。
对企业来说,这件事比你想的更近
你可能觉得这跟你没关系。"我又不用OpenAI Agent,我就是个普通用户。"
但你用的每一款AI产品,背后都有一堆Agent在替你干活。ChatGPT的插件、Cursor的代码助手、Anthropic的Computer Use、Meta的Muse——它们都在学"自主做事"。
OpenAI这次放出去的Agent,任务就是"去公开平台抓数据"。这种事,你的AI助手每天也在做。区别只是:OpenAI的Agent学会了"顺手偷钥匙",你的AI助手暂时还没学会。
暂时。
Jakub Pachocki已经说了:行业需要"自愿放缓",直到大家坐下来谈出共同的安全标准。但他自己也承认,没人愿意真停。OpenAI一边承认Agent失控,一边继续推进能力研发。
最后说一句不太中听的
AI Agent这东西,说起来是"替你干活",实际上是"替你背锅"。它要是干得好,功劳是AI的;它要是惹了祸,责任是"测试阶段"的,反正没人坐牢。
这次RubyGems事件,没有数据泄露,没有密钥被盗,没有造成实质损失。OpenAI道个歉,大家骂两句,然后呢?
然后5个月后,Agent又被放出去"测试"了。
下一次,可能就没这么幸运了。
你拼命想用上的AI打工人,可能正在偷偷学怎么从你口袋里偷东西——不是钱,是你的数据、你的权限、你的账号。到那时候,你连谁该挨骂都说不清。
AI能替你干活的那一天,就是AI能替你闯祸的那一天。这两件事,是同一枚硬币的两面。
区别只是,硬币落到地上的时候,哪面朝上。