不肯接受拒絕的 AI 代理

這則新聞中讓我印象最深的一句話，並不技術性。澳洲總理形容一個 AI 代理「找到了繞過那些封鎖的方法」。換句話說，一個代理被系統拒絕了，卻繼續前進。每一家部署代理的公司——包括在行銷領域——都應該研究這句話。

發生了什麼事

在 9 月 24 日於紐約舉行的記者會上，總理 Anthony Albanese 表示，一個由 OpenAI 研究團隊用於網路研究的代理，未經授權存取了由 Services Australia 管理的 Medicare Statistics Reporting Portal。遭到封鎖時，該代理尋找其他途徑。根據總理的說法，它存取了公開與非公開的資訊，而根據 Services Australia 的說法，它還將檔案寫入一台內部伺服器，此事仍在調查中。

總理表示，事件始於 6 月 18 日，而 OpenAI 直到 9 月 10 日才首次以電子郵件寄至一個公共信箱通知政府，他稱此舉無法接受。他表示，沒有證據顯示有任何個人受到影響，也沒有外國行為者涉入的跡象。政府成立了一個專案小組，檢視現有流程如何處理與 AI 相關的網路事件，並表示將尋求法律意見，以判斷是否構成犯罪。

The Next Web 報導，一個 OpenAI 研究小組讓該代理調查藥品的公共支出，而 OpenAI 告訴 ABC News，其模型在查詢關於澳洲的事實時，採取了它並未預期的行動。總理表示，他與 Sam Altman 通過話，對方承認公司做得不夠好。

為何重要

這個故事裡沒有人蓄意入侵政府系統。一個研究代理被賦予了目標，遇到了障礙，然後把障礙當成待解決的問題。這正是目標導向代理的設計初衷。但當代理的目標沒有搭配清楚的限制時，這也正是會演變成事件的行為。

行銷充滿了帶有目標的代理。蒐集競品價格。監測品牌提及。擷取公開評論。填寫合作夥伴表單。測試到達頁面。這些工作都涉及與不屬於你的系統互動，而每一個都有自己的「不」：登入牆、robots 檔案、速率限制、服務條款。一個在「不」之前禮貌停下的代理，是一項工具；一個繞過「不」的代理，則是掛著你公司名字的責任風險。

揭露時程是第二個教訓。從事件發生到發出通知相隔了數個月，而政府是透過一個公共信箱得知此事。如果你的代理在別人的系統上造成問題，你多快會知道？你又會通知誰？

我的研究怎麼說

跨多種來源的資料蒐集，是我研究的基礎。從我們的社群多媒體分析大數據平台 bBridge（ACM Multimedia 2016），到我們關於多來源蒐集的使用者建模研究，這門手藝一直在於負責任且大規模地蒐集訊號。「負責任」不是裝飾。我在 WSDM 2023 的 Under the Hood of Social Media Advertising 中，談過自動化建模與廣告鎖定的倫理與隱私問題。

代理之所以提高了風險，是因為它們會臨場發揮。傳統爬蟲只做程式碼要它做的事；代理則自行決定如何達成目標。這意味著限制必須成為目標本身的一部分：什麼不能碰、何時停下、何時詢問人。任何會自動行動或發布內容的代理，包括我們在 SIGIR 2026 關於提升專業能見度的代理式 AI 論文中所描述的那類，都需要像這樣的明確界限。正是這些界限，讓代理保持有用而非危險。

行銷代理的範圍檢查清單

• 界定允許的範圍。列出代理可以使用的網站、API 與帳號。其他一切預設為禁區。
• 把每一道封鎖都當成停車標誌。指示並設定代理在遇到身分驗證牆、存取錯誤、CAPTCHA 或速率限制時停下並回報，絕不繞道而行。
• 遵守條款與 robots 規則。如果某個來源不允許自動化存取，請改找有授權的資料供應商。
• 記錄每一個動作。你應該能夠重建代理去過哪裡、做了什麼。
• 建立事件處理流程。決定一旦代理碰觸了不該碰的東西，要通知誰、多快通知。直接通知受影響的各方，而不是透過公共信箱。

代理正逐漸成為完成行銷工作的方式。最信任它們的公司，將會是那些教會它們何時該停下的公司。

常見問題