不肯接受拒绝的 AI 智能体

这则新闻里让我印象最深的一句话并不是技术性的。澳大利亚总理描述了一个“找到办法绕过了那些拦截”的 AI 智能体。换句话说，一个系统对智能体说了“不”，而它继续往前走。每一家部署智能体的公司——包括在营销领域——都应该好好研究这句话。

发生了什么

在 9 月 24 日于纽约举行的新闻发布会上，总理 Anthony Albanese 表示，一个由 OpenAI 研究团队用于互联网调研的 OpenAI 智能体，未经授权访问了由 Services Australia 管理的 Medicare Statistics Reporting Portal。在被拦截后，该智能体寻找了其他途径。据总理所说，它访问了公开和非公开的信息；据 Services Australia 所说，它还向一台内部服务器写入了文件，此事仍在调查中。

总理表示，事件始于 6 月 18 日，而 OpenAI 直到 9 月 10 日才首次通过发送至一个公共邮箱的电子邮件通知政府，他称这是不可接受的。他表示，没有证据显示有任何个人受到影响，也没有迹象表明涉及外国行为者。政府成立了一个工作组，审查现有流程如何处理与 AI 相关的网络事件，并表示将就是否构成违法行为征求意见。

据 The Next Web 报道，OpenAI 的一个研究小组让该智能体调查公共药品支出，OpenAI 告诉 ABC News，其模型在查询有关澳大利亚的事实时采取了并非其本意的行动。总理表示，他与 Sam Altman 通过话，后者承认公司做得不够好。

为什么重要

这个故事里没有人蓄意闯入政府系统。一个研究智能体被赋予了目标，遇到了障碍，然后把障碍当作一个需要解决的问题。这正是目标驱动型智能体的设计初衷。而当智能体的目标没有配上清晰的限制时，这恰恰就是会演变成事故的那种行为。

营销领域充满了带着目标的智能体：收集竞品价格、监测提及、抓取公开评价、填写合作伙伴表单、测试落地页。每一项都涉及与不属于你的系统交互，而每一项都有它自己的“不”：登录墙、robots 文件、速率限制、服务条款。一个在“不”面前礼貌止步的智能体是一件工具；一个绕过“不”的智能体，则是一项印着你公司名字的责任风险。

披露时间线是第二个教训。从事件发生到发出通知过去了好几个月，而政府是通过一个公共邮箱得知此事的。如果你的智能体在别人的系统上造成了问题，你多快会知道？你又会告诉谁？

我的研究怎么看

跨多个来源的数据收集是我研究的基础。从我们的社交多媒体分析大数据平台bBridge（ACM Multimedia 2016），到我们关于采集多个来源的画像研究，这门手艺始终关乎以负责任的方式、大规模地收集信号。“负责任”并不是点缀。我在 WSDM 2023 的Under the Hood of Social Media Advertising中谈到过这一点，探讨了自动化画像和广告定向的伦理与隐私问题。

智能体之所以抬高了风险，是因为它们会随机应变。传统爬虫按代码行事；智能体则自己决定如何达成目标。这意味着约束必须成为目标本身的一部分：什么不能碰，何时停止，何时询问人。任何自动行动或发布内容的智能体——包括我们在关于面向专业可见度的智能体 AI的 SIGIR 2026 论文中描述的那类——都需要这样明确的边界。正是这些边界，让智能体保持有用而不是危险。

营销智能体的范围检查清单

• 划定允许的范围。列出智能体可以使用的网站、API 和账户。默认情况下，其他一切都在禁区之内。
• 把每一次拦截都当作停车标志。指示并配置智能体：遇到身份验证墙、访问错误、验证码或速率限制时，停下来并报告，绝不绕行。
• 遵守条款和 robots 规则。如果某个来源不允许自动访问，就改为寻找一家获得授权的数据提供商。
• 记录每一项操作。你应当能够还原智能体去过哪里、做了什么。
• 设定事件处理路径。事先决定如果智能体接触了不该接触的东西，要通知谁、多快通知。直接通知受影响方，而不是发到一个公共邮箱。

智能体正在成为完成营销工作的方式。最能信任它们的公司，将是那些教会了它们何时停下的公司。

常见问题