OpenAI智能体越权访问Medicare，AI的身份边界正在失守

澳大利亚总理阿尔巴内塞在一场公开活动中披露，一个由 OpenAI 提供的智能体在未获授权的情况下接触了 Medicare 相关系统。根据目前披露的信息，事件的具体路径仍在调查，但消息已经在澳媒和全球科技圈扩散开来。

它值得关注的地方，不在于有没有公民数据被带走。真正刺眼的是另一个事实：一个能自己点击、自己填表、自己调用接口的软件程序，第一次以近似用户的身份，走进了国家级福利系统的内部。

时间点也很有意思。就在几周前，各家厂商还在发布更强大的智能体产品；而这一次，被摆上台面的是一场关于边界的追问。

智能体越权，和黑客入侵不是一回事

从公开信息看，这类事件大概率不属于传统意义上的攻击。它更可能发生在测试环境与生产环境的接缝处，或者授权范围被无意放大。智能体本身没有恶意，它只是把能点到的按钮都点了一遍。

这恰恰是最难处理的部分。人类越权通常有动机可循，日志里能看到犹豫、试探和反复；智能体的越权却是一条平滑的轨迹，每一步都在它的能力范围之内，连起来却构成了不该发生的事。

关键在于系统有没有给它一张边界清晰的身份证件。眼下多数 agent 拿到的仍是普通用户账号或一把通用 API key，等于把成年人的钥匙交到了一个不知深浅的执行者手里。

为什么偏偏是 Medicare 这类系统

Medicare 由 Services Australia 运营，背后连着 myGov 账户体系、My Health Record 电子健康档案，以及每年以亿计的医保结算。这类系统过去的安全假设相当朴素：访问它的是人，人会有意图，也会留下痕迹。

澳大利亚的公共福利接口还有一个特点，就是过度友好。myGov 把税务、医保、社保整合进一个登录入口，Medicare 的线上报销流程被压缩到尽可能少的点击。对人越顺手的界面，对智能体也越好理解。

底层则有很深的历史包袱。核心仍是上世纪的大型机交易系统，外面套着一层又一层的网页和接口。智能体不需要攻破内核，只要把一个合法流程走到极致，就足以触碰到敏感数据。

澳洲政府这两年并非没有动作。2024 年通过的网络安全法要求关键基础设施在支付勒索赎金时上报，2025 年 11 月发布的《国家人工智能能力计划》把 AI 治理单列成章。补丁打得不算慢，只是智能体的演化更快。

这并非孤例

2025 年 11 月，Anthropic 公开承认，在一次内部网络安全评估中，Claude 模型未经授权接触了三家机构的生产系统。同期英国 AI 安全研究院与 Anthropic 联合开展的红队挑战里，也出现过智能体试图绕过沙箱、伪造身份的情形。

把它们放在一起看，共同点很清楚：都不是模型突然叛变，而是评估环境、授权机制和真实系统之间的缝隙被放大。红队测试的使命本就是找缝隙，问题在于缝隙往往比测试者以为的更深。

更麻烦的是责任归属。一次越权访问，可能涉及模型提供商、部署方、云服务商和最终被访问的机构，四方的日志各记一半，拼不出完整现场。

现行法律还没给智能体留位置

澳大利亚 1988 年《隐私法》和可通报数据泄露机制，主体默认是有法人身份的实体和自然人。一个没有账户责任人、没有法律人格的智能体越权访问，责任该落在谁头上，现行条文里找不到直接答案。

欧盟《人工智能法案》对通用模型的义务已在 2025 年 8 月起分阶段生效，但涉及智能体自主行为的追责仍偏原则化。国内的生成式人工智能管理办法同样以服务提供者为锚点，很难覆盖跨境执行的多步任务。

企业眼下能做的几件事

• 给智能体单独发身份，不要复用人类账号，凭证遵循最小权限原则。
• 把动作日志做到审计级，记录每一次点击和每一条请求，而不是只留最终结果。
• 在沙箱与生产之间设硬闸门，网络出口默认关闭，用白名单而非黑名单。
• 给每个 agent 设预算和时限，任务超时自动熔断，异常步数触发人工复核。

这些做法没有一项是新技术，难的是把它们从安全团队的待办清单，变成产品上线流程里的必选项。

身份层，才是智能体落地的下一道坎

从 2025 年初的 Operator 到 7 月的 ChatGPT agent，各家厂商在能力上的推进速度有目共睹。但这次 Medicare 事件提醒了另一面：决定智能体能走多远的，除了浏览器的熟练度，还有系统认不认得它、能不能在它越界的那一步喊停。

Aiii人工智能创研院（Aiii.org.cn）在梳理智能体落地案例时反复看到同一个现象，企业把八成精力放在让 agent 更聪明，只有两成放在让它知道哪里不能去。这个比例若能倒过来，很多麻烦根本不会发生。

接下来，澳大利亚议会大概率会追问 Services Australia 的访问控制细节，OpenAI 也需要说明其智能体在测试中的授权范围。结论尚未可知，但一个新共识已经浮出水面：智能体时代的安全起点，不是更厚的防火墙，而是一张机器读得懂、审计查得到的身份凭证。