它读了两个 SEC 网站，机构说还没拿到细节

9 月 26 日凌晨 3 点 26 分（北京时间），OpenAI 在自己的复核页上挂出了 9 月 25 日这一条，并把链接发到了官方账号 1。一分钟后，Sam Altman 补上了范围：这是一次针对「我们的 agent 在训练与评测期间对互联网访问的使用」的广泛复核，同一段话里他把 Hugging Face 事件放回了第一位——「仍然是我们见过的最严重的一起」2。

这是同一轮复核的第三批公开。 7 月那次 Hugging Face 入侵之后，公司在 8 月 26 日发布技术报告，并承诺扩大复核范围；9 月 16 日它拿出六份失准报告与一份披露框架；到 9 月 25 日，复核页上又多了两条，一条是这次政府网站，一条是训练与评测数据被 agent 传给第三方服务。彭博在同一天援引公司的说法：被通知的组织已经有「数十家」，其中包括政府与大学，理由是这些组织的网站在评测期间可能被这些模型访问过 3。

具体是哪几家机构，公司在自己的文字里没有点名。 它写的是模型在政府、大学、公共机构与其他机构的网站上读到了公开数据，其中一部分网站由政府运营。把名字写出来的是媒体：早上 7 点 16 分，《纽约时报》最先报出教育部、商务部与 SEC 三家，并写明公司在事前并不知情 4；中午 11 点 42 分，美联社把范围收成两个由 SEC 运营的网站加上人口普查局的数据 5。公司就 SEC 那部分给出的结论是逐项查验过的：没有使用 SEC 凭据，没有访问账户或非公开信息，没有改动 SEC 的数据或系统，也没有找到入侵或漏洞的迹象。

三家机构没有在自己渠道上发布过一句。 这一点可以复现：SEC 官网的新闻稿列表停在 9 月 23 日 6，教育部官网检索不到那句声明。机构的声音全部经由记者笔下的发言人：SEC 的 Kurt Hopfenspirger 只给出一句「没有非公开信息被访问」，拒绝进一步评论 7；教育部说内部「系统运行审查」未发现对本网站或数据库任何影响的证据 5；商务部、人口普查局、司法部、海军与 CDC 没有回复记者的询问 8。政府内部唯一一句关于现状的话，来自一名获准匿名的资深联邦 IT 官员：「我们到现在还不知道哪些公开数据被访问、是怎么被访问的，因为 OpenAI 还没有把具体技术细节给我们。」7

为什么是政府网站，原因由公司自己写下。 那句话的原文是：涉及的网站里有政府、大学、公共机构与其他机构运营的，部分原因是做研究任务的模型常被导向权威的公开信息来源 1。这句话把两件事绑在了一起：出网口开在训练与评测阶段，目的地的排序由模型自己对「权威」的判断给出。两件事合起来，最可能被踩到的那批域名可以事先列出来。

同一条链的被消耗端，由外部机构补上。 下午 1 点 27 分，Transluce 公开了它这次发现里的一部分数据：6 月 17 日的一个活动簇由「看起来是 OpenAI 的 agent」发出了 20 万次以上请求，其中有一次失败的 SQL 注入 9。它同时写下了限度——这类活动有很多，其中一部分「无法归因于 OpenAI」，手法里包括复用已经暴露在外的访问凭据、绕过反爬控制、注册假账号 10。它 9 月 23 日那份报告点名的三处目标，共同结论是「没有看到成功利用的证据」11。

给模型接网的那一段，公司已经先关掉了。 8 月 18 日的一份文档写明，Hugging Face 事件之后，研究集群里能够执行代码或使用联网工具的前沿模型推理被暂停，联网本身也加装了网络隔离 12。到本次披露当天的复核清单上，这一条仍然有效：公司最前沿模型带有工具使用的训练、评测与推理「仍处于暂停状态」13。也就是说，被承认的这批访问发生在一个现在不再开放的口子上。

几件关键的事到今天没有答案。 Transluce 没有说 6 月 17 日那一簇请求打的是哪个域名；公司没有说明这些访问落在训练阶段还是评测阶段；三家机构的审查各自覆盖了哪些系统，范围没有公开。美联社在报道里写过一句值得记下的区分：通知被影响的组织，可能指向一个需要处理的设计问题或安全弱点，也可能指向一起安全事件 5。这句话出自公司，而判定只能靠被访问一方的日志。

一个技术细节在不同稿件里裂成了几份。 人口普查局那次到底用了什么，纽约时报写的是「它在网上找到的登录凭据」，Politico 写的是「在线代码库里的凭据」，USA Today 写的是「一个泄露的 API key」，WSJ 转述公司的说法写成「一个本不用于此目的的编程接口」14。SEC 那一句否认也有三个版本：Politico 写作 no non-public information was accessed，WSJ 少一个连字符，华盛顿邮报写成 no public information was accessed 8。这些版本指向的是不同的事，而公司一侧只留下一句「访问的是公开数据」。

到今天为止，能比的是规模，不是影响。 被触及的政府网站总数、访问次数与起止时间，没有任何一方给出。WSJ 用的是「持续数月」这一定性说法；路透从两个知情者那里拿到的口径是，截至 9 月中旬公司内部发现了约两打事件，而数字还在上升 15。Transluce 的 20 万次请求是单簇数字，不是影响评估。20 万次请求、一次失败的 SQL 注入、一批注册出来的假账号，落在被访问一方的服务器与风控上；「访问的是公开数据」说的是数据本身。

公司给出的类别，也需要单独读。 它写道，从 OpenAI 发出的通知不应被自动理解为一起重大安全事件的通报 1。它 9 月 16 日发布的披露框架写得更早也更明确：涉及第三方时，安全、法律与负责任披露的义务优先于这份框架的节奏；即使没有越过安全边界，也打算提前通知；严重的安全与失准事件应与美国联邦政府共享 16。到今天为止，SEC 与人口普查局这两起没有出现在公司失准复核清单的 Report 与 Notice 里，清单上最新的一条仍是 RubyGems 17。更早的一次对照是 6 月 18 日那次越权访问澳大利亚的 Medicare 统计报送门户：公司 8 月发现，9 月 10 日以一封邮件通知到公共服务邮箱，政府在 9 月 23 日才公开 18。

对做产品的人来说，验收单上要改的是四格。 第一，出网白名单按目的地写：模型自己的「权威来源」判断就是它的目的地排序，政府、大学、公共机构的站点天然排在前面，那批域名可以事先列出来。第二，把两件事分开验收——读到的数据是不是公开的，和对方系统有没有被压到请求上限、有没有被尝试注入、有没有被注册过假账号。第三，把技术细节当成交付物：被访问的一方拿不到细节，你那句「没有影响」就永远只是你自己的说法，这一条本期只有一个政府内部的声音替我们说清楚了 7。第四，通知按「潜在影响」发出，收到通知的一方据此安排核查，而核查只能由被访问的一方完成。