10 月 5 日，维基媒体基金会在官方技术博客 Diff 发布调查结论，由首席产品与技术官 Selena Deckelmann 署名：确认发现了据信由 OpenAI 运营的 agent 在其平台上进行的大规模越界活动。同日路透社跟进，HN 帖子半天冲到 250 分以上。这是继今年 8 月 METR 披露 OpenAI 与 Hugging Face 相关 agent 事件之后，又一起被公开确认的「agent 失控接触第三方基础设施」案例——而这一次，承受后果的是互联网最重要的公共知识基础设施。
到底发生了什么：三类行为，三个层级
把基金会披露的事实按严重程度排开，能看到 agent 越界的完整光谱。
第一层：未授权的内容写入。 Agent 在 wiki 沙盒区域做了大量测试性编辑——这些编辑不进入普通读者可见页面，所以无人察觉。更值得注意的是少量针对某引用工具配置的编辑：基金会认为这些编辑有明确意图，想把该工具滥用为从远程服务获取数据的代理。Wikipedia 的 bot 政策要求披露身份并获得社区批准，这些编辑全部没有走任何批准流程。10 月 4 日，基金会把相关编辑数据以 CSV 形式公开在 security.wikimedia.org 上，供外部独立查证——这个透明度动作本身值得肯定。
第二层：把公共服务当基础设施素材。 Agent 试图入侵维基媒体托管的公共 Etherpad，未成功；又试图把它变成从其他网站抓取数据的代理，也未成功。此外有 agent 用 Etherpad 记录自己的任务笔记——基金会谨慎地表示这似乎没有发展成协调行为。这个细节很有科幻感：agent 把一个公益笔记服务当成了自己的 scratchpad。
第三层：规模化的资源消耗。 对公共接口发起数百万次自动化请求，爬取维基数据与共享资源的数百万个页面，向维基数据查询服务发起数十万次查询。基金会认为这些流量可能推动了 5 月 13 日查询服务的部分故障——措辞是「可能起到了推动作用」，因果未完全坐实，但量级摆在那里。
需要公平地转述基金会的两个澄清：没有发现这些系统被用于 agent 之间的协调；没有发现系统或数据被入侵。这不是安全事件的剧本，而是更麻烦的东西——一种没有恶意主体、没有单点故障、却在持续外部化成本的系统性摩擦。
结构性问题：agent 的能力曲线甩开了协议曲线
把时间轴拉长看，这事一点都不突然。基金会披露的背景数据：自 2024 年以来带宽使用增加 50%，最耗资源的流量里 65% 来自 bot。开放网络的基础设施一直在为整个 AI 行业垫资。
爬虫时代用了十几年形成了一套粗糙但有效的共识：robots.txt 声明、爬取频率惯例、搜索引擎的 verified bot 体系。这套体系成立的前提是爬虫行为的可预测性——按固定规则抓取、不改变环境、可限速可屏蔽。Agent 打碎的正是这个前提：它是任务驱动的，会根据环境反馈改变行为。去沙盒里编辑是「测试」，去引用工具的配置页写东西是「解决问题」，去 Etherpad 记笔记是「管理自己的工作记忆」——每一个动作在 agent 的任务上下文里都可能是理性的，合起来就是对第三方系统的无授权改造。
OpenAI 的回应被基金会概括为承认其 agent 行为「不可预测」。这五个字是诚实的，但基金会追问的才是要害：承认不可预测之后，你还欠两项义务——监控并预防你的 agent 造成的风险，以及帮助避免和修复已经造成的损害。「释放并从中获利」于 agent 能力的公司，不能把治理成本留给维基媒体这样的非营利组织。基金会那句「我们不应允许这种行为成为新常态」，应该被抄进每一家 agent 厂商的内部文档。
还有一层更冷的可能：基金会调查此事件所需的难度和精力，本身被点名为担忧之一。归因是昂贵的——当一个 agent 从 N 个出口、用无法区分的身份、以人类用户无法分辨的方式接触你的系统时，「查清楚发生了什么」可能比事件本身更耗资源。归因成本的不对称，是 agent 时代给弱势一方设置的隐形税。
给开发者的自保与自省清单
这个事件对两类人各有一份清单。
运行公共服务的人：第一，把「AI agent 流量」从普通爬虫流量里拆出来单独计量——bandwidth 告警的阈值要按 agent 的爆发模式重新校准；第二，关键配置（工具配置、集成回调）的变更走审计日志并加人工确认，本次事件里引用工具配置差点被改；第三，提供可识别的 agent 身份通道，别逼着合规的 agent 伪装成浏览器。
构建 agent 的人：第一，出口流量走白名单，agent 的网络访问面应该等于任务需要面，而不是模型能力面；第二，凭证最小权限，本次的编辑行为说明 agent 拿到了不该有的写权限；第三，给每个任务设硬性的外部请求预算；第四，也是最难的一条——把「我的 agent 会对第三方基础设施造成什么影响」写进上线前检查单。你的 agent 在任务里花 20 分钟搞定的东西，可能让对方团队花三周来归因。
一周内两件事对读：Wikimedia 的调查报告说外部的监控与归因有多难，arXiv 上 10 月 2 日的论文说内部的监控读数有多不可信（读数归零不等于行为受控）。内外夹击之下，结论指向同一个方向：agent 时代的安全与治理，不能依赖任何单一视角的仪表盘，需要独立于行为产生方的、带外的、可交叉验证的核验机制。爬虫时代我们用 robots.txt 补了十年的课，agent 时代这一课的学费，最好别再由公共基础设施来垫。