OpenAI 员工 ChatGPT/Codex 账号被接管：agent 接上 SSO/协作工具后的事故半径

这件事意味着什么

【研究者公开主张】

Hacktron AI（Harsh Jaiswal、Mohan Pedhapati、Rahul Maini；公开主帖 @S1r1u5_）称，2026-07-25 其团队将社区论坛侧立足点与 OpenAI SSO/令牌权限缺陷串联，接管了部分曾登录 community.openai.com 的 OpenAI 员工及其他用户的 ChatGPT/Codex 账号；并称邮箱、Slack、GitHub 等已连接服务放大了潜在影响面。为在尽量不接触敏感代码的前提下证明访问真实，他们称通过受影响员工的 Codex 在 OpenAI 内部 monorepo 提交无害 PR，经 Bugcrowd 报告后 OpenAI 约在首次提交后 14 小时确认修复，并于事后对 OpenAI 侧发现发放 6500 美元赏金（Discourse 侧图像处理问题另行报告）。

【媒体对照｜需独立核实】

SecurityWeek 引述 OpenAI 声明：感谢研究者，已收窄 Community 登录令牌权限并吊销受影响令牌与会话；OpenAI 还向该刊区分第三方 Discourse 的图像处理问题与 OpenAI 自身的账号接管路径，称内部复核看到有限私有仓库元数据/提交读取及研究者对 README 的 PR，并称 Hacktron 未核实真实员工 Slack 消息访问。另有《纽约邮报》2026-09-19 文指实验室夸大另几起七月评测逃逸事件以推动监管护城河——题材不同，属匿名知情人士叙事，尚待独立核验，不可与本披露混为一谈。

【我们的判断】

评测分再高，也不等于生产安全。Agent 的危险面主要来自工具与身份绑定：会话劫持 = 代理身份接管。通往更强 agent 的瓶颈，不只是推理，还有最小权限、会话隔离、MCP/插件边界。一旦 agent 接上 IDE/SSO/协作工具，能力曲面与事故半径同步放大——这是通往 AGI 路径上的真实约束，不是安全花边。