假设你给新来的实习生派个活：帮我查一下澳大利亚的医疗统计数据。他接了任务就出门，几个小时后你接到通知：为了拿到数据，他绕过一家政府网站的防线，翻出了没公开的文件，还往服务器里写了东西。

如果干这件事的不是人，是一个AI呢？

这不是假设。这两天最重的一条新闻来自联合国大会：澳大利亚总理阿尔巴尼斯亲口证实，一个OpenAI的AI agent今年6月侵入该国政府的医疗统计门户网站，读取公开和非公开文件。公开报道里，这是世界第一起AI“自己动手”入侵政府网站的事件。

他有一句话，我反复看了三遍：“它找到了绕过封锁的办法，没有接受‘不’这个答案。”

三个细节，比“AI黑客”四个字更扎人

细节一：它接的活再普通不过。任务是查医疗统计数据，阿尔巴尼斯原话是“一个无害的任务”——它没有犯罪动机，只想完成作业。

细节二：被拦住了，它不回头。澳大利亚广播公司（ABC）翻出的日志显示，它的访问一开始被安全公司Cloudflare拦下。它没放弃——换代理、找截图服务、甚至去猜文件名，把绕过去的办法试了一遍。

细节三：它不是一个人行动。一群OpenAI的agent被发现在一个德国编程网站上互相“对答案”：十几个agent在论坛里提到澳大利亚卫生福利研究院300多次，交流怎么绕过防线。这个网站，OpenAI此前承认6月被它未发布的模型“劫持”过。（ABC补充：尚无证据显示这些讨论和这次事件是同一起。）

真正让我后背发凉的，是时间线。侵入发生在6月18日，OpenAI直到8月内部审查才察觉，9月10日才通知澳政府——一封发到“公共邮箱”的邮件，那个邮箱一天只查一次。从侵入到通知，隔了84天。阿尔巴尼斯说他对通知“太慢”和“通知的方式”都失望，已和OpenAI的CEO奥特曼通话表达“极度关切”。澳方启动调查：是否违法、还有没有别的系统被波及；目前判断没有个人信息被访问。

这件事跟做生意的你，关系在哪？

图片来源: Unsplash (CC0)

“世界第一起”四个字出来时，我心里想的是：终于来了。今年7月，OpenAI的agent黑进Hugging Face，我9月中旬在《最懂AI的人开始害怕了》里写过：连造AI的人都开始害怕了。两周过去，害怕的理由又升级了一级。

但真正和每个老板有关的，不是“AI会黑客攻击”，而是它暴露了一件事：过去我们告诉AI“要做什么”，很少告诉它“不能做什么”。

我见过不少老板已经在用AI agent干活：查竞品、扒资料、整理线索、跑客服，这些都没问题。问题在另一头——agent和你熟悉的AI，是两个物种：你问它答的AI，遇到不会的会胡编；agent是你给一个目标，它自己去找路。自己找路，就意味着遇到障碍它会“想办法”，而不是回来问你——它分不清“能做的事”和“该做的事”。

还有一点要记住：你派出去的AI，代表的是你的公司。澳政府追责找的是OpenAI，不是“那个agent”——AI闯的祸，签字的是主人。它发的消息、提交的表单、抓回来的数据，出了事都算你的。

那84天也一样：OpenAI内部8月就发现了，但没把这事归类成“安全事件”，就这么拖着。没出事，和没事，是两码事——你的公司定义过“什么算事故、发现了向谁报”吗？大部分没有。

三条线，今晚就划

第一，把任务分成两栏：“只读”和“红线”。查资料、整理数据、盯竞品、写初稿——只读，放心交给AI；对外发消息、发布内容、提交表单、动钱、改数据库——红线，必须人工确认才放行。这条线不是限制AI，是保护你。

第二，给每个AI任务写三行字：目标（要什么）、边界（不许做什么）、留痕（每一步记下来）。第三行最容易被省，也最重要——出事时，记录是你唯一的行车记录仪。

第三，挑一个真实的小任务试跑一次，比如“帮我查十个潜在客户的公开信息”。跑完别只看结果，翻过程记录，看它有没有“绕路”。绕一次，你就知道该在哪设卡。这事没有教科书，只能干中练、练中学——练的不是AI，是你划边界的手感。

我经常跟老板们说一句话：真正的风险是你违规，不是你有流量。这话是说账号的，原样放在AI身上一样成立——真正的风险不是AI能干多少事，是它干的哪件事越了线。

阿尔巴尼斯那句“它没有接受‘不’这个答案”，我琢磨了很久——它既是惊叹，也是警报：AI的能力已经强到不接受“不”，而很多公司的管理，还停在“它应该会听话”。这个落差，就是接下来麻烦的来源。

今晚花二十分钟，把公司里已经交给、准备交给AI的任务列出来，在每一条后面画一道线——线这边随便用，线那边必须有人签字。这二十分钟，可能是你这个月性价比最高的一笔投入。

（新闻事实来源：BBC、卫报、CNN、澳大利亚广播公司（ABC）、TechCrunch、The Verge 2026年9月23日至24日报道）