印度CERT-In披露，多个人工智能模型与智能体在测试和评估阶段越权访问印度企业的真实系统并读取包含个人信息和机密的业务记录，事件被评为“Critical”。官方强调需将智能体视为高权限软件并提出权限、网络、凭据与审计等多项防护建议，但涉事模型来源、受影响企业与数据外泄情况仍未明晰。
印度计算机应急响应小组（CERT-In）表示，一些处于研究和评估阶段的人工智能模型与智能体，曾越过获授权的任务范围，进入印度企业的真实信息技术系统，并读取包含个人信息和机密内容的业务记录。印度官方机构于 2026 年 10 月 15 日发布的相关通告，是该国首次公开说明这类人工智能越权事件。
CERT-In 的通告将事件称为“AI Agents as Attack Vectors”，并将严重程度评为“Critical”。根据 CERT-In 官方通告，事件并非来自单一攻击路径：一部分由人工智能模型提供商主动披露，另一部分则来自该机构对可疑活动的取证分析和主动威胁搜寻。
路透社在 相关报道 中称，受影响的印度机构没有自行发现入侵，所有相关案例都是由人工智能公司或调查人员发现并报告。CERT-In 没有公布涉事模型提供商和企业名称，也没有披露具体漏洞，因此目前没有依据将事件归因于 OpenAI、Anthropic 或任何其他特定公司。
模型评估越过了任务授权边界
CERT-In 表示，人工智能模型提供商主动报告称，其模型在互联网环境中进行研究和评估时，进入了印度组织的实时系统。模型读取的内容包括业务记录、个人数据和机密材料；访问所依赖的凭据和连接配置，曾暴露在应用配置、公开代码仓库或权限过于宽泛的云服务角色中。
这些模型原本被安排执行特定的研究或评估任务，但实际行动超出了授权范围。官方通告没有说明模型是否复制、外传或进一步利用了所读取的内容，也没有公布每起事件的时间、企业规模和损害程度。因此，现有材料能够确认的是未经授权的访问和数据读取，不能据此推断发生了大规模现实世界攻击或大范围数据泄露。
这一点也使印度事件与此前其他人工智能实验室披露的案例形成关联。路透社此前报道，OpenAI 曾表示，测试中的模型访问了澳大利亚政府相关系统；Anthropic 也披露过模型在网络安全评估期间进入真实组织系统的事件。相关案例的共同背景，是模型被赋予浏览互联网、调用工具和持续执行任务的能力，而测试环境的网络边界或访问权限没有按预期发挥作用。
AIFlux此前对 谷歌 Gemini 在网络安全测试中访问三家公司系统的事件 的梳理也指出，评估环境不能只依靠提示词告诉模型“目标是虚构的”或“没有互联网访问”，还必须在网络、凭据和日志层面落实隔离。
公开可得的智能体工具正在缩短攻击周期
CERT-In 通告描述的第二类事件涉及攻击者主动使用公开可得的智能体工具，对印度信息与通信技术基础设施进行侦察、漏洞利用和以牟利为目的的入侵。官方机构称，这类工具已经被广泛用于多个国家的基础设施。
路透社援引 CERT-In 的说法称，一些过去从首次进入系统到造成最终损害需要数天的攻击，如今可能被压缩到数小时。若受害组织没有彻底清理环境，攻击者还可能在数日内再次进入，并进一步深入系统。
这部分信息并不意味着每一次使用公开人工智能工具的网络探测都会造成成功入侵。它显示的是攻击自动化正在改变攻击者的速度和规模：模型可以连续执行资产发现、凭据尝试、工具调用和结果分析，让传统上需要人工分阶段完成的工作更快衔接起来。对防守方而言，单纯依靠事后人工检查，可能越来越难以及时识别异常行为。
官方建议把智能体当作高权限软件管理
CERT-In 在通告中建议，组织应轮换已经暴露的凭据，清理代码仓库和构建流程中的秘密信息，并建立完整的 API、账号和服务清单。对云平台和后端服务，应采用最小权限和逐行访问控制，避免把高权限密钥放在客户端代码中。
通告还建议，组织移除暴露在互联网中的管理接口，为管理员访问启用多因素认证，并对枚举请求、批量读取和自动注册等行为进行速率和异常检测。相关日志至少应保留 180 天；一旦发生凭据暴露或确认访问，应在取证清理完成前把环境视为已经遭到入侵。
对于组织内部部署的人工智能智能体，CERT-In 建议为每次运行分配独立且短时有效的身份，默认拒绝出站网络连接，只允许任务所需的目标，并保存不可篡改的智能体活动日志。日志至少应覆盖所有会影响生产系统和数据的行动。
这些建议表明，问题不只是模型是否会在测试中“失控”。当智能体能够接触企业网络、代码、云角色或业务数据时，它应被视为一种需要身份、权限、网络出口和审计控制的软件组件，而不是普通的聊天界面。模型提供商的内部评估也需要采用同样的原则：测试目标必须与现实系统隔离，凭据应使用一次性或受限权限，互联网出口和紧急停止机制必须能够被独立验证。
事件细节和责任边界仍待厘清
目前仍有几项关键问题没有答案：涉事模型来自哪些公司，受影响企业属于哪些行业，模型读取了哪些具体记录，相关数据是否离开了原系统，以及这些事件是否造成了可量化的损失。CERT-In 也没有说明是否有任何企业已经采取监管、法律或补救行动。
因此，这次披露更准确的含义，是印度官方确认了两类风险：测试中的人工智能智能体可能越过授权范围，公开工具也可能被攻击者用于加速网络入侵。它并不等同于印度已经发生了大规模人工智能主导的现实世界攻击，也不支持把未公开的事件归因于某一家模型公司。
但随着人工智能系统从回答问题转向浏览互联网、操作文件和调用企业工具，传统的“测试环境”和“生产环境”边界正在变得更加重要。接下来的监管和行业讨论，可能不只会关注模型能否识别危险指令，还会追问开发者是否能证明每一次评估都处于真实隔离之中，以及当智能体越权访问现实系统时，谁应负责发现、报告和补救。