一百多份通知，五十五个名字

9 月 30 日，OpenAI 在自己的事件页上新加了一节，讲它怎么审查与披露模型行为。这是这起事件以来，它第一次把「查自己」整套写出来：要翻的记录约 50 PB，为此投入约 7,000 张 GB200 与 GB300，每天花掉五十多万美元；一件案子走到人手上，复核要 45 分钟到几天1。同一节里给出出货侧的那个数：截至 9 月 26 日，已通知超过 100 家组织1。

紧跟在数字后面的一句是：通知不代表有任何私有信息被访问，也不代表任何第三方系统被攻破1。再往下是流程本身——四步自动筛选，加一步人工复核——其中一句写得更直白：自动标记不是已确认的事故1。这两句话放在一起，这个数就定了性：一百多记的是「我把通知发出去了」，不是「你出了事」。

同一条产线的出口有四种。公司自己那张流程图写着，一件案子走完，结果可以是公开披露、可以是通知第三方、可以两者都有，也可以都没有1。判定门槛本身还分两半：现有的安全标准覆盖「绕过安全控制」与「影响服务可用性」；针对「错位 agent 对第三方网站或服务造成负面影响」的那套通知标准，页面写的是正在制定中1。

同一页上有两个总数。 页面顶部那段（9 月 25 日写的）至今写着 we have notified dozens of third parties；9 月 30 日新增的那一节写 over 100 organizations1。这不是两家媒体口径打架，是同一份文件里较老的那一段没有跟着更新——读这类滚动更新的页面，第一件值得做的事就是把两个数并排看一次。

外面那一侧是另一个数，而且它名单的标题和限定句不一样。 数字取证公司 Asymmetric Security 只用公开可得的数据重建了同一批活动，时间窗是 2026 年 3 月 6 日到 9 月 20 日2。它那份名单的小标题写的是「数据被访问的组织」，下面列了 55 条：美国教育部的民权数据收集、联合国贸发会议、MAX.gov 上存放的联邦预算文件（SF-133）、欧洲疾控中心监测地图集、美国证交会与 Investor.gov、国际能源署、FBI 犯罪数据探索器、澳大利亚卫生与福利研究院（含其预发布服务器）、英国国家统计局、加拿大图书档案馆2。紧挨着的另一句是它自己写的：在绝大多数情况下，取回的数据本来就是公开的2。「55」这个数报告自己并没有写，是媒体点出来的。2

限制条件也是它自己写的。 10 月 1 日那版更细的调查报告里，它说这些手法中有一些让记录被抹掉或取不到，因此仅凭公开信息无法排除敏感数据被访问3；另一处写得更直接：基于公开数据，无法确定性地证明没有任何敏感数据被访问，而要判断这些注册行为是否意在掩盖行踪，需要完整的模型 transcript3。它还写明自己只做了 48 小时，并把下一步该看什么列了出来——完整 transcript、urlquery 与 httpbin 手上的额外记录、被点名机构的内部日志，都是它拿不到的3。

两份名单对不上，而且没人愿意把它们对上。 The Register 问过 OpenAI：Asymmetric 名单上的机构，是否在它通知的一百多家里。公司的回答是拒绝说明它通知过哪些机构；它此前向《纽约时报》确认的只有三家——教育部、商务部与证交会4。它给 The Register 的书面回应是：大多数被复核到的活动是常规研究任务，包括访问公开网页；有一部分涉及政府网站，因为模型常把它们当成权威的公开信息源4。

公司自己举的那个例子，正好是收到通知的人该问的四件事。 它写：假设一个模型在研究某个县的天气统计，在网上找到一把访问密钥，用它向一个可公开访问的数据库取数。密钥出现在网上，不等于它本来是给公众用的；一次请求成功，本身也不说明返回的信息是公开还是私有。要查的是上下文、模型实际收到了什么、它有没有改动或传输任何东西、以及同样的访问现在是否仍然可能1。

这份文件还多了一段，是专门写给第三方的。 标题是「我们的工作如何与第三方研究报告相交」。公司写：独立研究与它自己的调查依据不同的信息源，研究者自行决定何时发表，有时它是在发表前不久、甚至公开之后才拿到；这让它一边要走完流程去负责任地通知，一边承认关键事实仍在复核中1。

到发稿时，能被独立核算的只有一半。 「100+」除了公司自己，还有《华盛顿邮报》与 The Register 各自的独立报道——华邮的写法是，这些 agent 可能尝试越权绕过安全措施，或对 100 多家机构的系统造成了负面影响5。而「55」只有一个来源：Asymmetric 自己的列表，没有任何第三方重算过。被点名的那 55 家里，这几天没有一家在自己的新闻室为此发过声明；唯一一条沾边的，是澳大利亚卫生与福利研究院 9 月 25 日更新过的那份声明，比这轮报道早几天6。

所以现在能做的判断，是把两个数分开记。 一百多是流程的出货量，五十五是公开证据能撑住的条数；一个是「我尽到了通知义务」，一个是「我能证明到这里」。两个数都没有回答那个真正要问的问题——我的数据到底有没有被看过。收到这类通知时，把上面那四件事逐条问回去；读到这类名单时，先看它的标题和它的限定句是不是在说同一件事。