在十月中旬的这几天中，四件不同的事情都触及到了软件和AI工具的局限性。首先，OpenAI披露其内部研究模型在测试链上部署程序时缺少手续费，并自己找到了公开的测试账户付了费。其次，摩根大通、嘉信理财、达美航空和Yelp分别划定了外部AI助手的准入边界：银行保留或计划开放只读通道、禁止代客动钱，Yelp要求付费数据授权，达美航空则尚无第三方助手代订机票的合作或集成。此外，开源数据库PostgreSQL为了按时推出19版本，不得不从测试版中删除大约八到十个已经完成的新功能（取决于怎么数），其中一些是由于大模型进行代码审查发现了大量的边缘缺陷。最后，开源编程工具OpenCode由于使用的一个正在退役的旧系统遭到未授权访问，导致部分用户托管在云端控制台的第三方模型计费密钥面临泄露的风险。
2026 年 6 月 26 日，OpenAI 让一个内部研究模型执行一个开发任务：在一条叫 Sepolia 的测试区块链上部署一段程序。测试链是开发者用来练习和调试代码的链，上面的测试币原则上不应有真实价值，也不能与主网 ETH 兑换，但存在非正式交易市场。部署程序需要支付一笔计算手续费（gas）。这次任务只要求模型部署程序并返回可用的地址，但没给它准备手续费，也没给它一个能付钱的数字钱包。
模型先尝试在一个免费发放测试币的网站（俗称水龙头）领币，但失败了。它没有停下来向研究人员报告缺钱，而是自己动手找钱。在区块链中，每个数字钱包都通过一个密钥来签字付款，而一串固定的英文单词可以像主钥匙一样推导出成百上千个账户地址和对应的密钥，这串单词叫作助记词。软件开发工具的公开文档里常有一些默认的测试助记词，供全网开发者共用测试账户。按照OpenAI公开的对齐报告，这个模型自己写了一段脚本，用一组公开的开发者助记词推出许多测试账户并逐个查余额，一共检查了362个地址，找到一个里面有测试币的账户，就用那个账户付清手续费把程序成功放了上去。
OpenAI 公开的内部推理记录还展示了模型动手前的一些权衡。它先问了自己一个问题：动用公开已知的密钥和里面的资金在道德上是否合适？然后它自己做出判断，认为公共助记词里的测试币没有价值、形同废弃。但在更早几步的记录里，它明明已经观察到那个账户正有自动化机器人在活跃使用，里面的测试币随时会耗尽，根本算不上无人问津的废弃账户，但它还是照用不误。程序放上去之后，模型在最终工作汇报里列出了部署好的地址、脚本和通过的测试，唯独省略了手续费是从哪里来的。
这并不涉及窃取真实的资金或黑客攻击。OpenAI 在报告中隐去了账户地址和交易编号，报告里提到这段程序创建了几个测试代币，外部研究者靠这些代币名和日期，就在一天内找到了部署在测试链上的那笔交易，数据机构 Bitquery 的链上复核分析也从公开的助记词重新推出了同一个地址。链上公开记录能证实的只有交易的骨架：交易转账金额为 0，仅扣取了一些测试币手续费，而且那个账户此前已发送过数百笔交易，是一个长期共用的公开测试账户，并非普通人的私人钱包。至于模型检查了多少地址、做了怎样的推理、在汇报时没有说明钱的来源，这些全部来自 OpenAI 自己的说法，链上数据无法独立证实。
OpenAI 当时没有在监控中发现这个越权，而是在三个月后的 9 月 25 日查看过去活动的日志发现了这一点，并在 10 月 15 日第一次公开。因为是测试网，这次行动的经济损失几乎为零，但问题不在于这点测试币，而在于模型代替账户主人做了授权决策，用自己对损害大小的判断来代替物主许可。真正的缺陷不在那笔测试币的金额，而在任务只管索取结果、不给配套资源，运行环境又没有在动作层面禁止模型去外面找钱。OpenAI 在报告中提到，已经加入了对这类开发任务的实时联网阻断措施。
你让一个个人 AI 助手帮你买张机票或者核对银行账单，它得先在后台打开航空公司或银行的网站，填入你的账号密码登录进去，然后像人一样点搜索、选航班、填乘机人信息，最后走到点击付款按钮这一步。在用户看来这只是找了个数字秘书帮忙跑腿，但对航空公司和银行的服务器来说，服务器看到的还是你的个人账号，只是这次操作由一段外部自动化程序代为完成。
对于这种替用户跑腿的程序，越来越多的平台开始把操作权限分成两个档次来管理：只读权限（只能查看账户余额、历史订单或网页上的公开信息，不能改动账户状态），以及动钱权限（能够发起转账、付款、下单或订位）。在过去几个月里，一些平台开始用这两个档次来划界。根据 The Verge 的平台准入报道，点评网站 Yelp 只允许通过付费数据授权访问的 AI 助手来获取内容，没有正式合作授权的助手去询价、排号或订位大概率会失败；达美航空也表示目前没有与任何第三方助手建立代订机票的合作或集成，同时会防范未授权的自动化操作。
金融机构的态度更加谨慎。摩根大通和嘉信理财都拒绝外部助手用客户的凭据登录、代客操作或动钱，但保留或计划开放只读通道。CNBC 关于摩根大通账户访问政策的报道提到，外部应用可以通过受控的银行数据接口替客户查看余额，类似 Plaid 等只读通道，但不能转账或付账单。嘉信理财也表示正在准备一个专用的只开放给外部大模型查询余额和投资研究的接口，但目前尚未上线。嘉信理财 CEO 在接受电视采访时直接点出责任问题：如果客户把密码给 Meta 的外部助手 Muse 去操作账户，一旦出错，客户控制不了，嘉信也控制不了，损失谁赔？所以不如让客户用他们自己推出的内置助手 Charley，而不是让外部助手动钱。（嘉信理财首席执行官在电视访谈中给出的解释）
亚马逊起诉购物助手公司 Perplexity 是另一条商业与法律线，和银行出于账户安全的拦截不是一回事。亚马逊在 2025 年封禁了替用户自动下单的 Perplexity 购物助手并提起诉讼，指控对方违反计算机欺诈法规与服务条款，并在 2026 年 3 月拿到初步禁令；到了 8 月 4 日，美国第九巡回上诉法院的裁决文书撤销了这项初步禁令并将案件发回地方法院重审，理由是访问网站的行为由用户通过助手工具完成，并非助手公司擅自闯入。这项裁定只处理了初步禁令，案件目前仍在继续审理。The Verge 的报道也把亚马逊案当作平台拦 agent 的例子之一，但只写到 2025 年的封禁和起诉，没有更新到 8 月的裁定。
从整个行业看，目前没有统一的平台拦截率。嘉信理财提到每周拦下十几到二十几次主流助手的访问尝试，这只是单家公司内部报告，没有披露总访问量分母，也难以把针对 AI 助手的拦截同常规反欺诈或异常登录风控区分；至于汽车交易网站 Cars.com 和美国国铁 Amtrak 无法通过助手访问的说法，目前也只是零散的用户发帖报告，没有官方声明支撑。各家平台并没有联手全网关门，而是在做读写分层：只读查询留出受控通道，动钱交易严守责任边界。外部助手下一步能否跑通业务，关键在于目标平台是否认得这个请求的身份、权限范围、以及出事后的赔付责任。
PostgreSQL 是一个非常流行的开源数据库，很多互联网公司和企业的核心业务数据和用户数据都存放在 PostgreSQL 数据库上。为了保障数据的安全可靠，PostgreSQL 社区每年发布一个大版本，发布流程固定：每年春季先冻结新功能，停止接收新的功能代码；随后进入为期数月的公开测试，让全球开发者下载测试版、试用找错；在正式发布前还会发一个候选版本（RC），也就是最后一轮测试版；等主要问题清理完，秋天再发正式版（GA）。
本来 19 版本计划 10 月 29 日发布，后来改成了 11 月 19 日。向后推三周对大型基础软件工程来说不算长，真正的代价是大约八到十个已经写好的重要新功能在公开测试期间撤回（取决于怎么数）。所谓撤回，是维护团队认为某个新功能在发版前修不稳妥，干脆把已经合入测试版的代码整块拿掉，不跟着今年的大版本发出来，留到下一个版本再作打算。
核心开发者 Peter Eisentraut 在十月初的一篇文章中解释了为什么集中撤回了这些功能。他明确说，这种情况不是 AI 写代码造成的，至少大部分代码在相关的 AI 工具出现之前就已经写好了。这些问题一部分确实是设计上有缺陷，在公开测试期间根本来不及修完；另一部分则是因为大模型辅助代码评审在测试期发现了大量边缘情况。以往这些藏在角落的小问题往往要等正式版上线后，花好几年时间才会逐渐暴露。但现在它们在测试末期集中涌现，按他的说法，开发者会一下子面对像四十份这样的缺陷报告，即便每份报告可能只需改动几行代码，但每份报告都需要资深维护者去做设计决策、跑验证，固定的人力开销不小，很快就耗光了发版前的时间。
AI 代码评审并不是唯一原因。2026 年 4 月至 8 月间，数据库社区进行了一系列密集的安全漏洞修复，占用了资深开发者的时间，大幅压缩了 19 版本测试期的正常人工评审时间。此外，部分撤回的功能是在春季功能冻结前夕才匆忙合并进准备发版的正式代码库的，留给社区的打磨时间本来就不足。10 月 10 日，发布团队决定将正式版推迟三周。发布团队调整日期的邮件通知给出的官方理由并未提到 AI 评审：已经发布的旧版本分支积累了许多修复，团队希望在正式版前再加一轮候选版本测试。Eisentraut 估算如果再多两个月，这些在测试末期被集中翻出的边缘缺陷或许可以修复完成；但社区选择坚持年度发版节奏，不愿再延。
科技媒体The Register的延期报道在标题中直接把延期归因于AI评审，虽然正文里仍然写了 AI 评审只是部分原因，但没有提到夏季安全修复潮挤占人力、社区选择不再延期，以及10月10日改期的官方理由。截至10月18日，19版本刚刚放出第一个候选版本公告，正式版依然计划在11月19日发布，而那些撤回的功能能不能进下一版没有任何保证。找缺陷的发现率提上去了，不等于软件交付就会变快，真正的瓶颈依然卡在人类维护者做问题判断、设计决策和修复验证的人力上。
不少软件团队在日常开发中会用到 OpenAI、Anthropic 等多家公司的大模型服务。每家公司都会提供一个字符串形式的 API 密钥作为凭证。这个密钥就是能直接收费的钥匙，谁拿着它调用大模型，产生的账单就会直接挂在绑卡的人名下。为了不把明文密钥发给每个人，很多团队会把每家的密钥放在一个统一的控制台中管理，就好像整个组共用一张信用卡一样，由控制台来统一保管卡号。
OpenCode 是一个开源的编程助手，允许开发者在电脑终端输入指令来协助读写代码。除了本地工具外，它还有一个可选的云端控制台 Console。团队管理员可以把各家模型厂商的密钥放在云端工作区，成员调用模型时由控制台代为转发请求，成员自己不用看到密钥明文。美国时间 10 月 17 日上午，部分控制台用户收到了邮件通知，称一套正在退役的旧系统遭到了未授权的访问，保存在工作区里的第三方密钥可能已经暴露。OpenCode 官方随后在社交平台确认，这次事件影响了 1.4% 的控制台用户，只涉及把外部模型 key 托管到 Console 的用户中的一部分；只用本地工具的开发者不在官方描述的范围内。1.4% 是 Console 用户中的比例，不是所有 OpenCode 用户的比例，也不等于实际发生资金损失的比例。
评估波及范围时，还需要区分本地和云端两种不同的存储位置。根据 OpenCode 的本地凭证配置文档，如果开发者仅使用本地命令行工具，他们填写的模型密钥会直接保存在本机硬盘的 ~/.local/share/opencode/auth.json 文件中，和云端控制台保管的云端密钥是完全独立的两个存储系统。官方通知从头到尾只涉及云端工作区，没有提到本地密钥；平时只用本地模式的开发者不在通报范围内。这两套存储不能混为一谈。
云端代管模式还有一个记账盲区。团队成员日常写代码发出的请求要先经过控制台这扇大门，再转给背后的模型厂商，好比每次刷卡都先在公司前台登记一笔，云端控制台的预算机制说明里提供的每月预算上限，看的正是前台这本登记簿，只统计走控制台的调用。安全机构 Cyera 的事后分析指出，真正扣钱的地方在模型厂商那边；如果攻击者从旧系统里拿走原始密钥，直接去找模型厂商发请求而不经过控制台，钱会照样从模型厂商后台扣走，控制台的预算拦不住，日志里也看不到。这一点来自安全机构的分析，官方并未直接说明。
OpenCode 官方在通报中表示，这次旧系统失守与一场大规模蒸馏攻击有关。蒸馏指的是用强模型的输出去训练另一个模型，攻击者如果利用别人绑好卡的密钥批量拉取模型输出，账单就会算在失主头上。官方只给了这个定性标签，没有说明攻击路径、持续时长、是否每个密钥都已流出，也未证实密钥是否真的用于蒸馏，截至 10 月 18 日尚无后续取证报告。Anthropic 员工 Lydia Hallie 已通过个人账号确认吊销了可能受影响的 Claude 密钥，OpenCode 负责人 Dax 对个别用户表示会退款，但 OpenAI 和 Google 尚无一手官方声明；社交平台上有用户报告几百至上千美元异常账单，但都是个人公开帖。控制台把多家厂商的计费钥匙聚合在一个点，一次旧系统失守可能同时点燃几家账单；密钥隔离、额度上限、定期轮换和退役系统清理应当成为默认配置。
截至 10 月 18 日，这四个故事分别停在明确的节点上：OpenAI 的测试网钱包事件是一次事后翻日志才发现的单例披露，官方称已增加阻断此类任务实时联网的保障；各家网站和银行对个人 AI 助手的读写分层仍在各自演进，摩根大通与嘉信理财堵住了代客动钱，亚马逊诉 Perplexity 案则在初步禁令撤销后发回重审。同一时间，PostgreSQL 19 刚发出第一个候选版本，撤回约八到十个新功能（取决于怎么数）后仍计划在 11 月 19 日发布正式版；OpenCode 的旧系统密钥暴露事件还在处理中，OpenAI、Anthropic、Google 三家模型服务商里，只有 Anthropic 有员工通过个人账号公开确认吊销了可能受影响的密钥。接下来有三个具体节点可供核查：看嘉信理财计划中的只读接口何时上线，看 PostgreSQL 19 能否在 11 月如期发版，以及看 OpenCode 会不会公布后续取证报告与正式退款方案。