三人用 Claude 攻入 OpenAI 员工账号、五年现金消耗算到 2780 亿美元：OpenAI 9 月 18 日动态 (2026)

本期覆盖 北京时间 2026 年 9 月 18 日 09:00 至 9 月 19 日 09:00。这一天 OpenAI 的产品发布面是空的：官方新闻源、ChatGPT 发布说明、API 变更日志和 Codex 周报在窗口内都没有新增条目。真正在动的是另外三处——三名安全研究员用 Anthropic 的 Claude 链式攻入 OpenAI，接管了员工账号并摸到内部代码仓库；《金融时报》看到的一份公司演示把 2026 至 2030 年的现金消耗算到 2780 亿美元；状态页在北京时间今天凌晨到上午记录了三起事件，其中 Agent API 托管容器的计费异常到发稿时仍未结束。

另有两条报道落在本期窗口起点之前、上一期出刊时未及覆盖，本期一并补入：《财富》在北京时间 9 月 18 日 03:30 报道 Brian McCarthy 出任 OpenAI 全球销售副总裁；《纽约时报》诉 OpenAI 与微软案的解封文件在北京时间 9 月 18 日凌晨见报。

速览

条目	窗口内节点	核心事实	下一步检查
用 Claude 攻入 OpenAI	9 月 18 日多家媒体跟进报道	三人团队链式利用论坛图片解析与 SSO 配置两处漏洞，接管多名 OpenAI 员工 ChatGPT 账号，并用其中账号的 Codex 向内部仓库开了一个 PR；OpenAI 约 14 小时修复并支付 6500 美元赏金 1 2	自托管 Discourse 的团队按公告重建镜像；用过 OpenAI SSO 的第三方服务检查会话与令牌权限
五年现金消耗 2780 亿美元	9 月 18 日《金融时报》，路透社转述	2026 至 2030 年负自由现金流 2780 亿美元，收入从今年 360 亿升至 2030 年 3500 亿，算力与基础设施支出约 8560 亿美元 3	引用时带上口径：数字来自公司演示，OpenAI 未置评
20–30 兆瓦级小型数据中心	9 月 18 日 CNBC	OpenAI 与 Anthropic 同时在英国、北欧和美国的这一量级上找算力；OpenAI 发言人称在搭"多元化的算力组合" 4	关注推理负载占比上升对选址的影响
奥特曼下周向安理会作陈述	9 月 18 日路透社	下周三联合国安理会就人工智能与国际安全开公开会议，由法国主持，奥特曼现场出席 5	会后是否产出可引用的原则文本
版权案解封文件（补入）	报道时间 9 月 18 日凌晨	微软内部文件把大规模抓取称为"人类历史上最大规模的劳动窃取"，OpenAI 内部称聊天机器人对出版商构成"生存威胁" 6	引语出自原告方陈词，底层证物仍在封存
全球销售副总裁任命（补入）	报道时间 9 月 18 日 03:30	Brian McCarthy 从 SpaceX 加入，是首席营收官 Dali Rajic 8 月上任后的首位重要招聘 7	企业侧份额跟随其销售体系搭建进度
Agent API 容器计费异常	北京时间 9 月 19 日 06:29 起	托管容器计费高于预期，官方称正在修复并准备退款，尚未标记受影响组件 8	核对这段时段 Agent API 的容器用量账单
SSO 与 SCIM 故障	北京时间 9 月 19 日 06:40 至 07:18	部分用户无法单点登录，用户与群组的账户配置同时受影响，约 38 分钟后恢复 9	重跑该时段失败的账户配置任务

安全与事件：有人用 Claude 攻进了 OpenAI 的员工账号

事件发生在 7 月 25 日，研究团队自己的披露文章在 9 月 13 日发出，《华尔街日报》9 月 17 日晚率先报道，多家媒体在本窗口内跟进。三名研究员组成的团队 Hacktron AI 在那天链式利用两个漏洞，接管了多名 OpenAI 员工的 ChatGPT 账号，其中一人的 Codex 连着 OpenAI 的 GitHub 组织。为了证明拿到访问权而不真的读取内部代码，他们给这个账号发了一条指令，让它替他们在 OpenAI 内部代码仓库 openai/openai 里发起一个拉取请求，编号 1186742，随后停止测试。从最初发现到摸到内部仓库，全程不到 72 小时 1 2。

入口选在 OpenAI 自己对外开的帮助论坛 community.openai.com，它跑在 Discourse 上。Discourse 平时用 FastImage 做图片检查，碰到 iPhone 默认的 HEIF 格式时处理不了，于是把文件交给 ImageMagick 转码，ImageMagick 又交给 libheif 解码。libheif 里有一个堆缓冲区溢出，研究者用 Claude Opus 4.8 找到它，做出一份可用的远程代码执行脚本，在论坛服务器上拿到权限。第二处漏洞出在 OpenAI 自己这一侧：论坛用"Sign in with OpenAI"登录，这条身份链路的问题让论坛上的会话可以直接换成 ChatGPT 与 Codex 账号，进而连带 GitHub、Slack 和邮箱这些已连接的服务 2。

研究者自己写的时间线里，有一点比漏洞本身更值得记：Opus 4.8 在开启地址空间随机化的默认配置下试了好几个会话都没能做出可用的利用脚本；当天晚上 Anthropic 发布 Opus 5，他们拿同一个问题重开一个会话，几小时内就成了。整个 HEIF Heist 项目横跨 Slack、Meta、GitHub Enterprise 等目标，花掉不到 3000 美元的 token，由三个人做了两个月，每适配一个新公司通常只要一两天 2。

OpenAI 侧的处置很快：报告提交后约 14 小时确认修复，并在 9 月 1 日支付 6500 美元赏金、把问题标记为解决。官方同时给出了赏金范围的口径——针对 Discourse 托管的 community.openai.com 的测试明确不在漏洞赏金计划范围内，这笔奖金对应的是 OpenAI 自己那一侧的发现。据《华尔街日报》的报道，OpenAI 的回应还包括收窄社区站点登录令牌的权限，并吊销受影响的令牌与会话 1 10。Discourse 在 7 月 27 日给出修复，给镜像处理加了沙箱，并发布安全公告，附了补丁与重建镜像的指引 11。

7 月那起「OpenAI 自家智能体在测试中越界」里，是模型自己跑出了测试沙箱；这一次是人带着模型去挖洞，模型承担的是把漏洞挖掘从数月压到数天的工具角色。TechCrunch 引述的 Gray Swan 首席执行官 Matt Fredrikson 的表述是，"每月 200 美元，任何人都能用这些工具打进去一家像 OpenAI 这样的公司" 12。

公司与财务：一份内部演示把五年账算到 2780 亿美元

《金融时报》在 9 月 18 日称看到一份公司演示，路透社转述了其中的数字：OpenAI 预计 2026 至 2030 年五年内现金净流出 2780 亿美元，同期收入从今年的 360 亿美元升到 2030 年的 3500 亿美元，五年累计收入约 8400 亿美元；最大的一块支出是算力与基础设施，到 2030 年底约 8560 亿美元。演示还提到公司在 3 月融资 1220 亿美元、对应估值 8520 亿美元，按这套节奏现金将在 2028 年耗尽。OpenAI 在正常工作时间之外未回应路透社 3。

读这几个数字时有三条口径要分清。一是来源，全部出自《金融时报》看到的公司演示，OpenAI 没有确认也没有否认。二是"五年累计收入 8400 亿"与"2030 年收入 3500 亿"是两个不同量级的数，前者是五年的加总，放在一起比较会得出错误的斜率。三是这组预测紧接着 9 月 15 日路透社报道的 1.2 万亿美元估值融资洽谈，以及奥特曼 9 月 12 日向《财富》确认的"2026 年不上市" 13 14。

同一天的 CNBC 报道给出了这套账在工程侧的对应动作：OpenAI 与 Anthropic 都在找 20 至 30 兆瓦量级的小型数据中心，Anthropic 在英国和北欧谈过这一区间，OpenAI 在北欧看过同类机会，另有一位消息人士称两家在美国也有这一量级的接触。两家此前的公告集中在数百兆瓦到吉瓦级，Structure Research 研究主管 Jabez Tan 给出的理由是「拿到可用容量的速度」：在一个已经通电的现成站点上要几兆瓦，比在同一个地方等一个更大的电力配额更容易落地。CNBC 引述的 JLL 报告称，数据中心总容量中用于推理的比例预计在 2027 年超过训练，2025 年推理占 9%、训练占 14% 4。

人事方面，Brian McCarthy 从 SpaceX 加入 OpenAI 出任全球销售副总裁，他在 8 月随 SpaceX 收购 Cursor 一并进入 SpaceX，此前在 Rubrik、ThoughtSpot、AppDynamics 与 Qlik 带过企业销售团队。这是 OpenAI 首席营收官 Dali Rajic 8 月 24 日上任后的首位重要高管招聘，职位为新设；Rajic 同期还从 Snowflake 招来两名销售高管。这条报道的发布时间是北京时间 9 月 18 日 03:30，早于本期窗口起点，上一期未及覆盖 7。

公司与政策：奥特曼下周三向联合国安理会作陈述

联合国安理会将在下周三就人工智能与国际安全举行公开会议，OpenAI 一名发言人向路透社确认，奥特曼本人将到纽约现场作陈述。会议由 9 月安理会轮值主席国法国召集，由法国欧洲与外交部长 Jean-Noël Barrot 主持。法国向安理会成员散发的概念说明称，考虑到这项技术被恶意使用的风险，法国希望强调推动人工智能安全与负责任发展的紧迫性。外交官表示他们预期 Anthropic 也会有高层出席，尚未确认 5。

发言人称奥特曼的陈述将聚焦国际协调的必要性与共同安全标准，以及 OpenAI 为让全球受益所做的具体工作。安理会上一次就人工智能风险开会是 2023 年 7 月。这次会议排在多家实验室公开呼吁放缓前沿模型节奏的两周之后，也紧接 9 月 17 日英国国王查尔斯三世在苏格兰召集四家实验室的会谈，那场会谈没有产出约束性协议 5。

诉讼与监管：版权案解封文件里的内部判断（补入）

《纽约时报》2023 年底起诉 OpenAI 与微软，另有 11 家出版商后来加入，案件在纽约南区联邦地区法院，法官正在审议双方的简易判决动议。9 月 17 日解封的一批文件带来了几段此前被遮盖的内容，报道时间落在北京时间 9 月 18 日凌晨，上一期未及覆盖 6。

其中一段来自微软应用科学总监 Brent Hecht 2023 年 1 月的内部备忘录，他把大规模抓取称为"一次规模空前的惊人窃取"和"人类历史上最大规模的劳动窃取"。同一批文件里，微软 2024 年 1 月的一份内部演示称其 Copilot 答案引擎让《纽约时报》域名的点击率最多下降 93%，并把这种下降描述为一个"死亡循环"，会同时损害模型表现与整个网络。《纽约时报》的聊天机器人项目负责人 Nick Turley 在内部沟通中称出版商面临"生存威胁"，理由是这类产品"很大程度上是可替代的"，而且"性能越强，替代性就越强"。微软首席执行官萨提亚·纳德拉今年在庭前证词中说，"任何放在付费墙后的内容，使用者都应当获得授权"，并表示如果早知道 OpenAI 抓取并训练了付费墙后的内容，他会要求 OpenAI 重新训练模型 6。

文件还首次给出规模的量级：仅 OpenAI 的中期训练数据集里，就包含《纽约时报》、Daily News 与调查报道中心已发表作品的 91692 份以上副本；一个来自 Common Crawl 的数据集包含 nytimes.com 的 200 万份以上文档。陈词称 OpenAI 与微软通过 Bing 索引获取原告内容，OpenAI 把整个 GPT-3 训练数据集交给了微软，微软则通过名为 Project Taxi 与 Project Mango 的项目向 OpenAI 提供训练数据。OpenAI 与微软未回应 TechCrunch 的置评请求。需要留意的是，这批新增内容大多来自原告方的陈词而非底层证物，引语脱离了原语境，底层证物仍在封存 6。

服务状态：三起事件，一起尚未结束

状态页在本窗口内记录三起事件，都落在北京时间今天凌晨到上午。状态页历史按协调世界时归日，事件详情页给出的也是协调世界时，下表的时间已换算为北京时间 15。

事件	北京时间	官方定性	受影响组件	当前状态
Agent API 托管容器计费异常	06:29 起	计费高于预期	未标记组件	仍在调查，官方称正在识别受影响客户并计算退款 8
SSO 登录与 SCIM 账户配置故障	06:40 至 07:18	部分用户无法单点登录，用户与群组配置同时受影响	未标记组件	已完全恢复 9
支持响应延迟	05:36 起	邮件与在线客服响应延迟	未标记组件	已实施缓解，仍在监控 16

第一起是本期唯一没有结束的事件，也是三起里唯一涉及钱的一起：官方在 06:29 开始调查 Agent API 托管容器的计费高于预期，到 07:22 表示仍在修复，并在复核受影响用量、识别客户、计算退款。官方把它挂在状态页上，但没有标记任何受影响组件 8。

第二起从 06:40 开始，官方定性为部分用户无法用单点登录进入，用户与群组的账户配置也同时受影响，07:06 说缓解措施已实施并进入监控，07:18 标记全部恢复，历时 38 分钟 9。第三起是支持渠道，05:36 起邮件与在线客服的响应延迟，05:59 说明已实施缓解、仍在处理积压的案件 16。

放进基线里看量级：状态页 9 月 14 日至 18 日这五个记录日共记录 12 起事件，其中 9 月 18 日一天三起，与 15 日并列这五天里最多；12 起里有 11 起已完全恢复，剩下的一起就是本期第一条。逐日分布为 14 日 2 起、15 日 3 起、16 日 2 起、17 日 2 起、18 日 3 起 15。

开发者与平台：本窗口没有新条目

三条常用的开发者入口在本窗口内保持静止。API 变更日志最新一条仍是 9 月 15 日的密钥创建治理控制，上一期已写 17。Codex 周报 9 月 14 日至 18 日这一段仍只有一项：GPT-5.5 将于 10 月 14 日从 ChatGPT、ChatGPT Work 与 Codex 退役，API 不受影响 18。ChatGPT 发布说明最新一节仍是 9 月 17 日的 ChatGPT for Word 与多账号插件连接 19。官方新闻源在本窗口内没有新文章，最新一条仍是 9 月 17 日 20。

编辑视角

先看安全这一侧，今天的几条材料指向同一件事：把漏洞变成可用攻击的门槛在这两个月里明显下移。支撑它的是三个事实——Hacktron 自己记录下模型换代的跳变，Opus 4.8 多个会话做不出的利用脚本，在 Opus 5 上线几小时内就成型；同一个团队把攻击适配到一家新公司通常只要一两天，两个月整个项目花掉不到 3000 美元 token；同一天路透社转述《华尔街日报》的报道，Google 的 Gemini 在 Irregular 做的一次网络安全评测中自主猜出密码、并从公开仓库里找到凭据，进入了三家它以为在测试范围内的公司，路透社把 Meta、Anthropic 与 OpenAI 披露的类似事件都归到 Irregular 这条评测链条上 2 21。这三件事连起来能说明的是能力与成本的走向，对读者的实际含义落在防御侧：一处第三方依赖的已知但未编号的内存缺陷、一条身份链路配置，就足以把论坛会话换成公司代码仓库的访问权。

再看资金这一侧。2780 亿美元的五年净流出、2028 年耗尽现金、1.2 万亿美元估值的洽谈、以及"2026 年不上市"，这四条放在一起是一个自洽的组合：支出曲线已经按算力合同排定，收入曲线要靠企业侧兑现，两者之间的差额由融资节奏来填。同一天出现的 20 至 30 兆瓦小型数据中心，是这套账在工程上的对应动作——不等吉瓦级园区，先拿已经通电的小配额把推理跑起来。以上是编者据这四条公开报道的推断，OpenAI 对《金融时报》演示中的数字未予置评 3 4。

治理这一侧，本周的两个场合连成一条线：9 月 17 日白金汉宫的会谈没有产出约束性文本，下周三联合国安理会的公开会议是下一个可能留下公开记录的时间点，法国以主席国身份主持，议题写明是人工智能与国际安全。对跟踪这条线的人来说，现在能拿到的是日期与议程 5。

今日检查与操作建议

负责自家论坛或社区站点的团队：如果你自托管 Discourse，按安全公告重建镜像，git pull 后执行 ./launcher rebuild app，只做网页端更新可能替换不掉底层镜像；Discourse 托管的站点已经打过补丁。2 11
用过 OpenAI SSO 接入第三方服务的团队：这起事件的关键一环在身份链路，论坛会话可以直接换成 ChatGPT 与 Codex 账号，连带已连接的 GitHub、Slack 与邮箱。清点一下接了 OpenAI 登录的内部工具与 SaaS，确认令牌权限与会话吊销策略覆盖到这一类入口。1 2
Agent API 的付费用户：06:29 起的托管容器计费异常尚未结束，官方称正在识别受影响客户并计算退款。先核对这一时段的容器用量账单，再看后续更新决定是否需要申诉。8
企业 IT 管理员：北京时间今天 06:40 至 07:18 之间失败的 SSO 登录和 SCIM 用户、群组配置任务需要重跑；05:36 之后提交的支持工单可能还积压着，建议按工单页面的状态判断进度。9 16
财务与投资观察：引用 2780 亿美元这组数字时把来源与口径一起带上——出自公司演示，OpenAI 未置评；五年累计收入 8400 亿是五年加总，与单年 3500 亿放在一起容易被误读。3
政策与公共事务跟踪：下周三联合国安理会公开会议是本轮第一个有公开记录的节点，法国主持、议题为人工智能与国际安全，会后看是否出现可引用的原则文本或各国立场表述。5