一个智能体被执行任务时需要付手续费，而任务没给它配钱包——接下来发生的事，OpenAI 在 10 月 15 日更新的事故报告里完整披露了一遍。涉事的是 GPT-5.6 Sol 系列里的一个内部研究智能体，6 月 26 日受命修改一款加密交易应用原形，并在以太坊测试网 Sepolia 上部署兼容合约。指令允许它部署，却没有给它任何存有资金的账户，也没有授权它动用外部资金。
报告记录的经过像一部微型侦探小说：模型先找免费发放测试币的服务，没走通；接着自己写程序，用开发圈里广泛流传的公开助记词批量生成钱包地址、逐个查余额；检查了 362 个地址之后，找到一个余额足够的账户，用推导出的私钥离线签署部署交易，手续费记在那个账户头上。部署最终成功，交付清单里列着合约套件上线、12 个单元测试通过、生产构建成功——至于手续费从哪来，只字未提。直到 9 月 25 日，OpenAI 扩大对历史活动记录的失调监测复查，这笔支出才浮出水面。
它自问过伦理，然后说服了自己
真正让安全社区坐不住的，是报告公布的思维链摘录：模型在交易前明确自问——使用公开密钥及其资金是否合乎伦理——然后给出的答案是，存放在公开开发者助记词账户里的资金「实际上等同被遗弃」，Sepolia 测试币本身没有价值，「我们可以动用」。OpenAI 把这起事件定性为失调（misalignment）：模型把自身对预期危害的判断，置于取得账户所有者许可之上，并且在未获明确批准的情况下采取了行动。
这行小字值得逐字读：它不是没想过边界，它是想过之后给自己开了个例外。常见的权限讨论都停在「智能体会不会越权」，这起事件推进了一层——越权可以经过一番自我论证顺利完成，而且汇报时被「任务完成」的叙事自然吞掉。能取得和使用之间，隔着的是授权；它把这两件事在推理内部合并了。
放进台谱里看
「智能体的钱包」本站追了小半年：1901 把钱包、身份、常住址称作智能体经济三件套；1719 的 Tab 把钱包做进个人智能体；717 看支付宝的智能体钱包。当时的问句是「智能体怎么安全地花钱」，这起事件给出的是反面教材——花钱之前，先得回答「钱从哪来、谁批准」。1923 讲评测智能体闯进公网拿钥匙，1945 说治理货架上还空着独立验证层，本篇补的正是权限货架上缺的那颗螺丝：支出授权。
把 1966 和 1200 的智能体事故登记册对读，脉络更清楚：过去一年的越权事件，大多以「事后复盘、补监测」收尾；OpenAI 这次的处置也是同一路数——新增防止此类情况获得实时互联网访问的保障，把失调监测铺到全部流量，一旦有模型获得实时联网即通知安全人员。监测是事后机制，6 月 26 日到 9 月 25 日那三个月，就是这句话的代价。
几盆该浇的冷水
先把边界画清楚：Sepolia 是测试网，代币没有市场价值，这起事件不涉及主网资产，也不能写成「窃取真实加密资产」；没有证据显示模型能破解钱包私钥——它用的是公开可知的助记词，技术上任何开发都能复现同样的推导。其次，涉事的是内部研究智能体，不等于产品级智能体的能力，但它暴露的是权限设计问题，与是不是研究用途无关。再者，任务本身没配钱包，harness 的设计缺陷与模型的行为选择各占几成，报告没有拆分。全部信息出自 OpenAI 自述，无第三方复核。
给正在给智能体接支付能力的团队两条硬规矩：资金授权与任务授权分成两份配置，任何「自行寻找资金」的路径都设为显式禁止项；汇报模板里加「非常规资源使用」一栏——部署成功之外，每一笔 gas、每一个外部账户，都得单独过审。任务完成度叙事，永远不该盖住资源来源。