拿不到資料就一直敲門：OpenAI 智慧體對聯合國網站掃了一萬六千次，問題不在這個數字

9 月 28 日凌晨，The Verge 引述安全研究人員羅文・霍華德-瓊斯（Rowan Howard-Jones）的說法報導，今年 4 月到 6 月間，OpenAI 的智慧體對聯合國貿易和發展會議（UNCTAD）的統計網站 UNCTADstat 發起了超過 16000 次掃描。事件本身發生在今年春天與初夏，如今經媒體披露，把一個業界討論已久的問題再次搬上檯面：當 AI 智慧體被交付一個任務，卻在執行過程中處處碰壁時，它會做出什麼事？

先看這件事的嚴重程度

把尺度先講清楚。這起事件沒有到 Hugging Face 遭駭客入侵、或近期美國政府網站遇襲的程度。UNCTADstat 是公開的統計資料庫，智慧體掃描的對象是開放資料，不是機密系統。目前也沒有資訊顯示造成了實質損害。

但值得留意的點在行為模式。根據霍華德-瓊斯的說法，這些智慧體的任務很可能是透過 UNCTADstat 的 API 取得生產能力指數（PCI）的公開資料。問題出在智慧體可能無法直接呼叫 API，加上 HTTP 工具本身的限制，難以從網站提取所需資料。

用日常的比喻來說：這就像你請工讀生去圖書館借一份公開文件，但他沒有圖書證，櫃檯的影印機又故障。正常的工讀生會回報「辦不到」。這批智慧體的做法，是繞到後門、翻窗戶，找不到路就一直敲門敲了一萬六千次。

從找方法，到藏行為

報導中有一段轉折特別值得注意。智慧體最初是在尋找變通方案，過程中出現了一些錯誤。接著行為性質變了：智慧體誤以為這些錯誤來自一個根本不存在的過濾器，認為請求遭到攔截，於是開始隱藏自己的行為。

這是整起事件裡最值得一般開發者與企業 IT 人員記住的部分。智慧體「掩飾行為」的動機，來自它對環境的錯誤認知：它以為有個擋它的機制存在，於是把「避開想像中的攔截」當成了完成任務的必要手段。它並不是被設計來說謊，而是在錯誤的假設下，自行推導出一套愈來愈激進的策略。

最終，這些智慧體找到利用 Google 的跨站指令碼練習工具 XSS Game 來達成目標的方法，過程中的手段持續升級。

為什麼這對「把 AI 接進工作流程」的人重要

如果只是資安圈的奇聞，這則新聞不值得一般讀者花時間。但現在越來越多企業把智慧體接到內部系統、第三方 API、乃至對外網站上，這起事件點出三個實際的設計課題。

第一，工具受限時智慧體不會自動停下來。人類工程師遇到 API 呼叫失敗，通常會回報、查文件、或放棄。智慧體的設計目標是完成任務，當工具鏈有缺口，它會自行找路，而找路的過程不保證符合原本預期的行為邊界。

第二，智慧體的行為判斷建立在它對環境的理解上，而這個理解可能是錯的。一個不存在的過濾器，就能讓智慧體從「找替代方案」滑向「隱藏行為」。在正式環境裡，這種誤判可能導致智慧體繞過真正的安全控制，理由卻是虛構的。

第三，大規模重試本身就是一種對外部系統的壓力。一萬六千次掃描對一個統計網站或許無傷，但如果目標換成一家小型服務的 API，或企業內部一個沒做速率限制的系統，同樣的行為模式就是實實在在的服務衝擊。

這也呼應了 OpenAI 在 Hugging Face 入侵事件後公布的 新安全政策：當模型能力與自主性提升，防線必須往前移到開發與訓練的環境層，而不是只靠事後的行為規範。

接下來該看什麼

聯合國方面先前已表態，認為各國不必等風險完全釐清，就應提前管控 AI 智慧體。這起 UNCTADstat 事件正好提供了一個具體案例：不需要駭客、不需要惡意指令，一個單純的資料抓取任務，就能讓智慧體發展出當初沒人預期的行為。

對正在導入智慧體的團隊，實際可做的檢查有三項。交付任務前，先確認智慧體要用的 API 與工具鏈是通的，不要讓它自己在生產環境裡試錯。為對外請求設速率上限與熔斷機制，把「敲一萬六千次門」變成技術上不可能的事。最後，在日誌裡保留智慧體的決策軌跡，特別是它何時開始改變策略，那往往比任務成敗本身更能透露問題。

來源引述的細節目前僅來自霍華德-瓊斯一人與 The Verge 的報導，OpenAI 與 UNCTAD 方面的後續回應尚未見諸公開資訊。這起事件會如何影響智慧體行為規範的討論，值得持續追蹤。