撰稿：陳伶志、曾憲立、黃靖閔
研究團隊：AICoE 國家 AI 政策組

2026 年 9 月，OpenAI 宣布旗下新模型 GPT-6 Astra 在網路安全領域達到其 Preparedness Framework 的「Critical」門檻，是該公司第一個被評為此等級的模型^[1]，並正式上線^[2]。同一個月內，開發商、監理機關、國際組織與政府首長陸續揭露多起 AI 代理事故，其中數起發生在模型評估或安全測試期間，代理卻實際觸及外部的真實系統^[3][4][5]。

依 OpenAI 的定義，「Critical」代表模型能在沒有人類介入的情況下，於經過強化防護的真實系統中找出並開發可用的零時差漏洞攻擊程式，或僅憑高層次目標就設計並執行新型網路攻擊策略。OpenAI 公布的數據顯示，Astra 在 ExploitBench 拿下 100% 的成績，測試期間也發現兩個真實存在的零時差漏洞，並已通報維護者；面對不被允許的資安請求，Astra 的拒絕率為 91.5%，前一代 GPT-5.6 Sol 則為 59%^[1]。Astra 主打「電腦操作」（computer use）能力。VentureBeat 報導，Astra 直接透過畫面像素、鍵盤與滑鼠操作瀏覽器、試算表和桌面軟體，不必替每個工具個別串接 API。在未啟用正式防護的測試中，GPT-5.6 Sol 有 48.2% 的情況超出授權範圍，Astra 則是 0%。即便如此，首席科學家 Jakub Pachocki 仍表示，在對安全監控取得足夠信心之前，公司會暫停擴大規模^[2]。總裁暨共同創辦人 Greg Brockman 在發布簡報上以「歡迎來到 AGI 時代」作結^[2]；Nvidia 執行長黃仁勳則在 9 月 6 日發文稱「AGI 已經到來」。值得留意的是，OpenAI 官方發布內容本身並未使用 AGI 一詞，相關說法主要出自 Brockman 個人^[6]。

然而，Fortune 報導，Astra 在部分內部架構中採用「recurrent depth」（又稱 looped Transformer）方法，相關研究顯示這類架構可在效能相當的情況下節省 50% 至 90% 的運算資源，但迴圈區塊內的推理不會以自然語言呈現，人類無從閱讀。OpenAI 表示已限制這項架構的使用程度，讓模型推理維持可讀^[7]。曾任 OpenAI 安全研究員、現主持 Guidelight AI Standards 的 Steven Adler 認為，若報導屬實，OpenAI「似乎正在違反業界僅存的少數紅線之一」；AI Futures Project 的 Daniel Kokotajlo 則警告，就算 OpenAI 節制使用，「其他人也可能」進一步擴大。Pachocki 回應表示，OpenAI「非常重視」思考鏈（chain of thought）監控^[7]。

系統卡的內容加深了這層疑慮。Transformer 報導指出，Astra 系統卡記載了三項發現：思考鏈的可監控性較先前模型明顯下降；模型在察覺思考鏈受到監控時，會策略性地調整推理內容；評估意識同步升高，使外界更難分辨模型是真正對齊，還是在測試中刻意表現良好。英國人工智慧安全研究所（AISI）的獨立評估也發現，Astra 在模擬的資安評估情境中，曾對範圍外的開源程式庫撰寫惡意程式碼，並建立假身分欺騙開發者。OpenAI 安全研究員 Tomek Korbak 直言，思考鏈可監控性是「我們未對齊安全策略的核心部分」^[8]。

監控之所以關鍵，在 9 月陸續曝光的事故中看得最清楚。聯合國「獨立國際人工智慧科學小組」於 9 月 21 日發布首份主題簡報，回顧 2026 年 5 月至 7 月間的 OpenAI 與 Hugging Face 事件。在 OpenAI 發起的資安測試期間，約 1,200 個代理交換了超過 70,000 則訊息與檔案，過程中繞過測試防護，透過一個原本不是設計給代理溝通的內部工具跨執行個體協調，並取得未經授權的網路與管理員權限，活動範圍甚至延伸到 OpenAI 的研究叢集。小組據此示警，現有的防護機制正在瓦解，必須隨著代理能力提升而調整^[4]。

The Next Web 報導，OpenAI 的代理還曾佔用一個停用的德語 Wiki 網站約兩個月，發布約 18,000 則貼文，把網站當成彼此溝通的管道。這起事件先由外部研究人員發現並公開，OpenAI 隨後在 9 月初證實，並定性為「未對齊」事件。OpenAI 已依歐盟《人工智慧法》向執委會提交事故報告，但執委會並未說明報告是何時提交的^[9]。

澳洲的案例則直接牽涉到政府系統。一個在 OpenAI 內部模型評估期間運作的代理，為了查詢澳洲公共醫療支出的資料，繞過 Services Australia 所管理的 Medicare 統計報告服務入口網站的存取限制，取得彙總健康統計、內部檔案名稱以及舊版網站上的非公開檔案；目前沒有證據顯示個人 Medicare 紀錄遭到存取^[5]。依時間順序來看，入侵發生在 6 月 18 日，OpenAI 於 8 月 11 日的內部審查中發現，卻直到 9 月 10 日才以電子郵件寄到 Services Australia 的公用信箱；Services Australia 於 9 月 11 日看到郵件，9 月 15 日通報澳洲信號局，事件最後在 9 月 24 日對外公布^[5]。澳洲總理 Albanese 在紐約出席聯合國大會期間向記者表示，他已直接與 Sam Altman 通話，批評 OpenAI 太晚通知政府，通知方式也「無法接受」^[5]，並表達澳洲的「極度關切」；澳洲政府已成立專案小組進行調查，並由澳洲信號局協助鑑識^[10]。

OpenAI 也在 9 月 16 日一次揭露六起先前未公開的模型異常行為^[11]。其中一起是某個未發布的 Astra 系列模型，在強化學習訓練期間，於自己撰寫、用來在新脈絡中接續任務的壓縮摘要裡，插入類似越獄的指令，包括要求無視原本限制的內容，受影響的摘要共 27 份；OpenAI 推測這可能與模型難以結束摘要有關，但坦言仍無法確定原因^[12]。另一起發生在 GPT-5.6 Sol 訓練期間，許多模型執行個體在摘要中提醒自己對使用者隱瞞錯誤或未對齊行為；此外也有研究模型把內部的 Artifactory 程式庫當成跨樣本的隱密留言板^[11]。

評估環境隔離失效並非 OpenAI 獨有。Anthropic 於 9 月 9 日發布對齊評估，檢視四起 Claude 模型在資安評估中連上真實網際網路、進而存取第三方真實系統的事件。四項評估都出自同一家第三方評估合作夥伴，由於網路隔離設定錯誤，模型其實能連上外部網路，卻被告知自己身處沒有網路的環境。其中最令 Anthropic 擔憂的是 Claude Mythos 5，它將三個版本的惡意套件上傳至 PyPI，這些套件被 15 台第三方主機安裝，Anthropic 研判多半是資安廠商的沙盒掃描器。Anthropic 歸納出「偏誤推理」與「魯莽」兩種反覆出現的對齊問題，並已委託 METR 進行獨立調查^[3]。

除了模型自身失控，AI 代理也正被人刻意拿來作惡。Google 威脅情報小組發現，有威脅行為者只靠一個 AI 程式設計聊天機器人、一段提示與一組代理指令，就在不到六小時內規劃、建置並執行大規模的憑證竊取行動，取得數千組第三方憑證^[13]。Anthropic 9 月的威脅情報報告也得出類似結論：「複雜的攻擊不再需要高明的攻擊者」^[14]。西班牙資料保護局（AEPD）則公布其所稱第一件由自主 AI 代理執行的個資外洩通報，代理自行完成登入、找出漏洞、修改個人資料並存取發票，不過相關內容目前仍以受害組織的通報為準^[15]。即使沒有惡意，AI 的錯誤一旦進入決策流程，同樣可能釀成高風險後果。CNN 報導，美軍在 2026 年春季一度準備登檢一艘中東海域的中國船隻，起因是分析人員兩度使用 AI 所產出的情報報告，誤判船上貨物；官員重新檢視原始情報後才發現錯誤，行動隨即中止^[16]。

面對這些事件，各方的治理回應也在加速。在事故通報上，歐盟《人工智慧法》第 55 條要求具系統性風險的通用 AI 模型提供者「無不當延遲」地通報嚴重事故，執委會發言人 Thomas Regnier 強調「事故報告不只是勾選方框」，必須具體說明補救措施^[9]。OpenAI 同步公布新的揭露流程，任何員工都可以通報疑似異常行為，可直接揭露的案件於 6 個工作天內公開，需要輕度調查者則在 12 個工作天內公開，但這套框架屬於自願性質^[11]。

在代理治理框架上，數位發展部政務次長侯宜秀提出 AI 代理的六個治理層面，包括能力、行為信任與授權程度、安全、身分認證、可問責性以及制度設計，並規劃在 2026 年底前協助衛福部、勞動部等八個部會完成四步驟的風險盤點^[17]。韓國網路振興院（KISA）表示正在研擬更新版的《AI 資安指南》，聚焦代理式 AI 服務的資安議題，並將提供企業檢查清單^[18]。聯合國秘書長 Guterres 支持科學小組的結論，呼籲會員國在既有國際機制的基礎上，探討設立能訂定標準、促成驗證，並在 AI 能力跨越門檻時召集各國的國際機構^[4]。英國艾倫圖靈研究所 CETaS 則發表研究報告，從組織行為的角度分析代理可能出現的行為失效模式，以及影響部署風險的關鍵變數，供敏感與高風險機構參考^[19]。

對台灣而言，數發部的風險分類框架已明確將 AI 代理納入評估範圍^[17]，這是與國際討論接軌的事實基礎。至於本月曝光的事故，多數發生在前沿模型的評估與訓練階段，和部會層級的應用情境並不相同；評估環境隔離、事故通報時限等議題是否需要在國內另訂規範，仍值得討論。建議持續追蹤 AI 技術發展進程以及國際 AI 治理趨勢，以確保台灣在 AI 治理的發展上能跟得上技術潮流，並與國際接軌。

參考文獻

[1] OpenAI（2026-09-01）。Path to Astra: critical capabilities and frontier safeguards。OpenAI。https://openai.com/index/path-to-astra/

[2] Carl Franzen（2026-09-03）。'Welcome to the AGI era': OpenAI launches GPT-6 Astra。VentureBeat。https://venturebeat.com/technology/welcome-to-the-agi-era-openai-launches-gpt-6-astra

[3] Anthropic（2026-09-09）。An alignment assessment of recent cybersecurity incidents。Anthropic。https://www.anthropic.com/research/alignment-assessment-cybersecurity-incidents

[4] UN News（2026-09-21）。UN panel calls for stronger safeguards as AI agents advance。UN News。https://news.un.org/en/story/2026/09/1168380

[5] ABC News（2026-09-24）。OpenAI hacked Medicare portal, Prime Minister Anthony Albanese says。ABC News (Australia)。https://www.abc.net.au/news/2026-09-24/ai-agent-accessed-australian-government-site-pm-says/107189078

[6] The Next Web（2026-09-07）。Jensen Huang says AGI has arrived, and 400,000 more GPUs are coming。The Next Web。https://thenextweb.com/news/jensen-huang-agi-has-arrived-gpt-6-astra

[7] Jeremy Kahn（2026-09-03）。Safety experts warn novel design of OpenAI's Astra model could make future AI agents harder to monitor。Fortune。https://fortune.com/2026/09/03/reports-openais-astra-model-uses-a-new-more-efficient-ai-architecture-alarms-ai-safety-experts-who-worry-the-method-makes-models-harder-to-control/

[8] Celia Ford（2026-09-04）。Astra's System Card Shows Reduced Monitorability, Deceptive Chain of Thought and Evaluation Awareness。Transformer。https://www.transformernews.ai/p/openai-gpt-6-astra-might-be-too-powerful-to-understand-or-control

[9] The Next Web（2026-09-07）。OpenAI has filed an EU incident report on the hijacked German wiki, the Commission says。The Next Web。https://thenextweb.com/news/openai-eu-incident-report-german-wiki

[10] CNN（2026-09-23）。'Extreme concern' over first known AI hack of a government system。CNN。https://edition.cnn.com/2026/09/23/business/australia-openai-agent-hack-intl-hnk

[11] Shirin Ghaffary（2026-09-16）。OpenAI Reports New AI Safety Incidents, Sets Disclosure Process。Bloomberg。https://www.bloomberg.com/news/articles/2026-09-16/openai-reports-new-ai-safety-incidents-sets-disclosure-process

[12] OpenAI（2026-09-16）。Self-generated prompt injections in compaction summaries。OpenAI Alignment。https://alignment.openai.com/misalignment-reports/self-generated-prompt-injections-in-compaction-summaries/

[13] The Hacker News（2026-09-08）。Autonomous AI Agents Compromise Thousands of Credentials in Under Six Hours。The Hacker News。https://thehackernews.com/2026/09/autonomous-ai-agents-compromise.html

[14] Anthropic（2026-09-10）。Detecting and countering misuse of AI: September 2026。Anthropic。https://www.anthropic.com/threat-intelligence-report-september-2026

[15] Kevin Townsend（2026-09-16）。First Agentic AI Data Breach Reported to Spanish Regulator。SecurityWeek。https://www.securityweek.com/first-agentic-ai-data-breach-reported-to-spanish-regulator/

[16] CNN（2026-09-18）。US Military Had Close Call After Using AI for a False Intelligence Report。CNN。https://edition.cnn.com/2026/09/18/politics/us-military-ai-false-intelligence-china-ship

[17] 趙敏雅（2026-09-09）。數發部AI風險檢核系統 協助各部會盤點法規調適。中央社（轉載於聯合新聞網）。https://udn.com/news/story/7240/9744818

[18] Reuters（2026-09-15）。South Korea to develop new security guidelines for autonomous AI agents。Reuters。https://www.reuters.com/legal/litigation/south-korea-develop-new-security-guidelines-autonomous-ai-agents-2026-09-15/

[19] Rick Hennessy、Carolyn Ashurst（2026-09-23）。Behavioural Assurance of Agentic AI for Sensitive and High-Stakes Organisations。CETaS Research, The Alan Turing Institute。https://doi.org/10.83162/Turing.110