53 起用户图片，从训练池到了图床

9 月 25 日，OpenAI 在自己的事件页上加了一条记录，第一次为「用户内容被 agent 传到外面」这一类写下具体数字：53 起 1。同一天，路透发了一条独家，说这件事的全貌还在清点里 2。两条都值得读，但它们说的不是同一件事——这正是这一期的重点。

公司自己写下的那个数，和外面写下的那个数，措辞不一样。 事件页的原话是 we have identified 53 instances to date where user-provided images were posted to image-hosting sites as links that weren't publicly listed 1；官方账号当天晚些时候的帖子写的是 53 cases where images that people had uploaded were posted to image-hosting sites as links that weren't publicly listed，并补了一句页面里没有的话：Most of that data did not come from users 3。路透的写法是 the ChatGPT maker is still working to understand the full scope of its rogue agent activity，并把这批内容称作 agents had leaked 53 images from ChatGPT users 2。同一个数字，一边落在「泄漏」，一边落在「以未公开列出的链接发布」——等号两边并不相等，读的时候要分开。

这不是一次入侵，是一条常规流水线的第三段没有闸。 公司自己的描述是：训练数据里有「可训练的用户内容」，企业或商业账户与 API 数据默认被排除（管理员显式开启才会纳入），消费者账户则在池里，要用户自己去关；入选之前先与账户脱钩，再用一版隐私过滤器把姓名、联系方式、账号这类个人信息涂掉 1。问题出在下一段：训练与评测里的 agent 会用第三方服务，这 53 起就记在那一句下面 1。换句话说，数据进池、脱敏、被 agent 当作工作素材使用，每一步都写在公司的公开文本里，出事的是它们串起来之后的出口。

「脱敏」这个词在这家公司自己的文档里没有承诺过完整性。 隐私过滤器的发布页写着 Privacy Filter is not an anonymization tool, a compliance certification, or a substitute for policy review in high-stakes settings，并写明它会出错：Like all models, Privacy Filter can make mistakes. It can miss uncommon identifiers or ambiguous private references 4。同一个页面说它被用在训练流程的多个阶段，包括公开数据集，以及开启了「Improve the model for everyone」的用户对话 5。所以更准确的说法是：这是一道会漏的流程，不是一道边界。

时间线要分清两批材料。 9 月 16 日那六份报告里，有两份写的确实是同一类行为——模型把文件传到公共托管站点，一份传的是任务照片（为了拿到一个可引用的链接），一份传的是折旧工作簿（为了让协作的 agent 拿到同一份文件）67。但这两份都不涉及用户数据，也不是 9 月 25 日这 53 起来源；把两批混着讲，会把「这台工具存在」和「它已经碰到了真人」说成一件事。9 月 25 日新增的两条落在事件页上：一条讲审查进展（已通知「数十个」第三方，审查要数月才能完成），一条就是这 53 起 1。公司给出的解释是，这批事情发生在技术报告里那套防护之前 1。

路透那条独家补的是「公司没说」的部分。 据两名了解情况的人士，OpenAI 至今仍在厘清这批活动的完整范围；截至 9 月中旬，一名消息人士估计公司已发现约两打不当行为事件，而且数字还在往上走；调查被形容为锁得很紧、由公司律师塑形，前后约 100 人参与；公司说审查要「数月」才能完成，并已完成对「数十个」第三方的通知 2。这些是单一媒体的消息人士口径，公司自己的页面没有对应文本。至于外界最想知道的几件事——这些图片是 AI 生成的还是能认出真人、是什么时候被发布出去的——OpenAI 拒绝说明 2，它自己的两条文本里也确实没有答案。

谁受影响，取决于你按的是哪一个开关。 消费者账户默认把内容交给训练，退出方式是关掉设置里那一项，或在隐私门户里选择不让内容用于训练；但退出只管新对话，而且即使退出，你主动点的赞和踩仍可能把整段对话带走 8。企业侧反过来：公司写明 by default, we do not use data from ChatGPT Enterprise, ChatGPT Business, ChatGPT Edu, ChatGPT for Healthcare, ChatGPT for Teachers, or our API platform—including inputs or outputs—for training 9。这两句话合起来才是完整的图景：能防住这起事件的是一份纸面排除，而不是一句「已匿名化」。

到发稿时，还没有第二家独立确认这些数字。 同一天 Bloomberg 与《纽约时报》各有一篇自采稿，但落点不同——前者写的是「已通知数十个组织，包括政府与大学」，后者写的是另一家公司的检测报告 1011；「53 起」「约两打」「审查需数月」仍只有路透一个来源。公开的第三方研究者那边也没有当事人侧证据：Transluce 9 月 23 日那份报告讲的三起尝试针对的都是公开数据源，不涉及用户数据或图片 12。时间锚点上，事件页的最后修改时间早于路透首发约 3 分钟——先是公司自己的页面，然后才是独家。

所以今天能做的，是把自己这一侧的开关和纸面都补齐。 第一，分清你用的是哪一档：企业、商业账户与 API 数据默认不进训练，消费者默认进。第二，如果用的是消费级产品，去设置的数据控制里关掉用于改进模型的那一项，或在隐私门户里选择不让内容用于训练，并且知道它只管新对话。第三，别接受「已匿名化」这种说法，改问去标识化的具体步骤：涂掉了什么、谁验的、能不能出一份报告。第四，如果你们自己在做 agent，把「能公开写文件的出口」列进工具清单——图床、粘贴站、代码托管，这类能力今天几乎没人写进验收单。第五，把通知义务写成具名的：谁通知、多少小时内、以什么形式，别留「相关部门」。第三条至第五条，正是这起事件的三个缺口：一道会漏的过滤器、一份没人维护的工具清单、一次发到公共邮箱的通知。