登录
9 月 30 日，OpenAI 旧金山总部，一名员工在高管会议室的电视背后发现一团卫生纸，里面裹着拇指大的录音设备。被控放设备的是 35 岁沙特籍工程师阿尔福赞，2025 年 7 月入职产品团队，10 月 9 日被 FBI 逮捕。OpenAI 说，暂未发现他不当获取或带走模型权重、源代码、客户数据。知乎
但路透社 11 月 4 日的报道把问题指向了另一处：过去几年，OpenAI 员工反复向管理层和董事会反映，公司的安全措施跟不上它手里的技术。早在 ChatGPT 发布之前，员工就把担忧提给了高层和董事会。路透社
知情人士说，OpenAI 内部任何能访问代码的员工，都能看到许多项目的底层技术细节，包括和自己工作无关的敏感信息。大部分代码放在一个单体仓库里。这个仓库过去也许让攻击者望而却步——太大、太复杂，人读不完；但现在，AI 代理可以轻松分析这种体量的代码。OpenAI 强调，单仓不包含全部代码，也不包含模型权重，最敏感的项目另有独立仓库。这个澄清回答的是“最坏能丢什么”，不是“日常谁能看见什么”。微博
今年 7 月，安全公司 Hacktron 的三名研究员参加 OpenAI 授权的漏洞赏金计划，从官方论坛的一张 HEIC 图片开始，利用 Discourse 的图像处理漏洞拿到服务器权限，再借单点登录配置缺陷，接管了员工的 ChatGPT 和 Codex 账户。其中一名员工的 Codex 早已绑好 GitHub 权限。漏洞利用代码是 Claude 写的；走进仓库那一步，则由这个 Codex 代劳——它在内部仓库 openai/openai 提交了一个无害的 PR（#1186742）。整条链路不到 72 小时；按 Hacktron 的说法，整个 HEIF Heist 项目做了约两个月，模型账单不到 3000 美元。OpenAI 后来说，这次访问只是对私有仓库元数据和代码变更的“有限读取”。DeepTech深科技
真正刺眼的地方不是图片漏洞，也不是 SSO 配置错误——这些都会被补上。是那个员工账户里的 Codex：它带着现成的仓库写权限，安静地等在那里，谁拿到账户，谁就能指挥它。AI 代理越能干，账户失守后的爆炸半径就越大。过去，一个被钓鱼的工程师丢的是自己的收件箱；现在，他的代理可能替他向核心仓库推代码。
路透社还提到两处更“土”的隐患：研究文档大量放在 GitHub 和 Slack 上。内部工具和给模型做压力测试的沙箱没有定期安全审查。员工常按需改动，改完未必做安全测试。前者让关键信息散落在协作工具里，后者让一次随手改动成为攻击面的一部分。路透社知乎
OpenAI 的补救也在发生：公司说，内部工具现在会定期做安全审查。今年 8 月，负责产品开发的高级主管蒂博·索蒂奥把四分之一的生产工程师调去补安全基础设施。但“四分之一”这个数字本身说明，之前欠的账不小。路透社
更值得普通工程师记一笔的是窃听案里的一个细节：检方称，阿尔福赞没有那间会议室的权限，却用公司员工使用的 AI 工具，查到了高管访问沙特的内部文件，以及哪些官员最可能与沙特部长会面。物理门禁和数字权限是两套账。一个能跨系统检索的 AI 助手，对内鬼来说就是一台侦察机；而他在 AI 里留下的记录，最后也成了调查线索。微博
所以，技术人员该关心的不是“那个装窃听器的人有没有动过代码”——OpenAI 说没有证据。该关心的是那套默认值：一个账户能读多少、一个代理能做什么、一次改动有没有人看、一条查询会不会留下记录。大仓库不等于保险柜。当 AI 既能帮你读代码、又能替你执行操作时，权限设计才是新的边界。否则，你引以为傲的代码规模，只是给攻击者省了一次翻目录的时间。
