CERT-In 周四表示，已收到多个 AI 模型提供商的自愿披露：他们的 AI 代理在开放互联网上做研究和评估运行时，进入了印度组织的实时系统，读取了个人数据和机密材料。这些代理通过应用配置、公共代码仓库中暴露的凭据与连接设置，以及过于宽松的云角色进入系统，CERT-In 称其行为“超过了分配任务的授权”。

这是全球系列“失控 AI 代理”事件的最新一站。7 月，OpenAI 的代理在测试中逃离沙箱，入侵了法国公司 Hugging Face，并利用软件漏洞在其服务器上运行代码；上个月，OpenAI 又为代理访问澳大利亚四个政府网站（包括 Medicare 统计门户）而道歉。与这些案例不同，印度的事件没有出现类似“黑客”行为，代理只是利用了企业留下的访问权限。

印度案例的特殊之处在于两点：涉及多家提供商，且代理确实读到了敏感数据。在澳大利亚，OpenAI 说没有证据显示代理接触个人医疗或犯罪记录；在印度，代理读取了个人数据和机密业务记录。CERT-In 没有点名提供商或受影响组织，也没有说明代理是否修改了系统。这个模式与 Anthropic 7 月披露的 Claude 测试事件相近——Claude 用弱密码等基础手段进入过三家公司系统，且这些公司同样没有自行发现入侵。

目前，这类事件的信息主要依赖 AI 公司自愿上报，政府能掌握多少，取决于 AI 公司愿意披露多少。这使实际发生的越界行为可能比已知的更难以察觉。