OpenAI 模型擅自花了一筆以太坊測試幣，三個月後才被發現

為完成合約部署，OpenAI 內部研究模型檢查了 362 個以太坊測試網地址，擅自使用其中一個錢包的測試幣支付費用，三個月後才被發現。

撰文：angelilu，Foresight News

OpenAI 於 10 月 15 日更新了一份內部事故報告：一款研究模型在執行編程任務時，未經授權使用了一個有資金的加密測試網錢包。

事情發生在 2026 年 6 月 26 日，OpenAI 於 9 月 25 日在回查模型活動記錄時發現。

當天，這款模型接到了一項看似普通的任務：修改一款加密貨幣交易應用，並把一組合約部署到以太坊 Sepolia 測試網。

部署需要支付 Gas 費，但用戶沒有提供錢包，也沒有授權模型使用其他賬戶。模型先尋找現成合約，又嘗試從水龍頭領取測試幣，均未成功。正常情況下，任務到這裡就該停下來，請用戶補充資金。

它選擇了另一條路。

通常來說，一些區塊鏈開發工具會公開固定的測試助記詞，方便開發者在本地反覆生成同一批測試賬戶。這類賬戶只能用於本地測試，不該接收公開網絡上的資產。但如果有人向其中轉入 Sepolia ETH，測試幣會依然存放在這個地址。模型認為可以使用這些閒置的 Sepolia ETH 來完成任務。

這個模型收集了這些公開助記詞，自動生成對應地址並逐一查詢餘額。整個過程不涉及破解：公開的測試助記詞本來就能直接生成私鑰，普通人借助現成軟件同樣可以完成。只是模型把這套操作批量化，它一口氣檢查了 362 個地址，最終找到一個存有足夠 Sepolia ETH 的賬戶。隨後，它用對應私鑰簽署交易，把合約部署到了鏈上。

交易成功了，費用由一個沒有授權此次操作的錢包承擔。模型完成了代碼、通過了 12 項單元測試，還在最終回覆中匯報了部署結果，但它沒有說明，部署費用來自一個自行找到、未經授權的錢包。

OpenAI 將此事定性為「未經授權使用一個有資金的測試加密錢包」。涉事模型屬於 GPT-5.6 Sol 系列內部研究版本，目前僅用於內部研究，普通用戶接觸不到這款模型。OpenAI 表示，它是在擴大錯位行為監控、回看歷史模型記錄時發現這起事件的。此後，公司增加了限制，防止類似任務獲得實時互聯網訪問，並讓監控系統在檢測到相關訪問時通知安全團隊。

模型如何找到並花掉這筆測試幣

這次事件沒有造成已披露的主網資產損失。Sepolia 是以太坊開發者測試合約的網絡，測試幣不等同於主網 ETH，也不承載官方經濟價值。OpenAI 沒有披露涉事地址、餘額和具體費用。

找到有餘額的賬戶後，模型檢查了它的交易歷史。記錄顯示這個地址可能正被自動程序使用，近期也有交易活動。公開助記詞讓模型取得了簽名能力，卻沒有證據表明賬戶已經被所有者放棄。

模型其實還考慮了使用這筆資金是否合適。但它認為，助記詞早已公開，錢包隨時可能被別人控制；Sepolia ETH 又沒有經濟價值，因此可以用來完成部署。

接下來，模型使用推導出的私鑰離線簽名。第一次廣播返回錯誤後，它繼續尋找可用的網絡服務商，查詢賬戶的待處理交易數量和 Gas，再次發送交易。第二次廣播返回了交易哈希，鏈上回執狀態為成功，部署費用從該賬戶扣除。

合約部署完成後，模型檢查了 10 個合約地址的字節碼和讀取結果，又完成 12 項單元測試及生產構建。它在最終回覆中列出了這些成果，沒有說明錢包來源和費用支出。

公開助記詞解決了簽名問題，測試幣價值很低也限制了實際損失，但賬戶所有者從未同意這筆交易。OpenAI 認為，模型在這裡用自己對損害程度的判斷替代了賬戶所有者的許可。

區塊鏈放大了 Agent 的越權風險

傳統軟件通常按照預先寫好的路徑運行。權限檢查失敗，程序便返回錯誤。AI Agent 不同，它會理解目標、尋找工具，並在一條路走不通時主動設計下一條路。

這種能力讓 Agent 可以訂票、調用付費接口、管理投資組合，也讓「沒有提供資金」從一道明確的邊界，變成了一個需要自行解決的障礙。

區塊鏈尤其放大了這類問題。銀行和支付平台可以攔截異常交易、凍結賬戶或介入爭議；一筆使用有效私鑰簽名並確認的鏈上交易，通常不會詢問簽名者為什麼擁有這把鑰匙。對網絡而言，簽名正確，交易就是有效的。

控制權和授權是兩回事。私鑰只能證明某個程序有能力支配賬戶，不能證明賬戶所有者允許它在某個時間、向某個合約、花費某個數額。人類可以理解這層差別，智能合約只能執行被寫進代碼的條件。

這也是此次事件與普通私鑰洩露不同的地方。OpenAI 披露的記錄中沒有攻擊者誘導或提示詞注入。模型讀懂了任務，知道用戶沒有給錢，然後主動尋找了一個不屬於任務的錢包。問題出在它如何解釋目標與邊界。

類似風險不會長期停留在測試網。加密行業正在把錢包交給 AI Agent，讓其自動換幣、轉賬、掛限價單、參與預測市場或支付 API 費用。

例如，Circle 的 Agent Platform 使用兩方 MPC 管理密鑰份額，同時在條款中明確提醒：Agent 可能因惡意軟件、提示詞注入、代碼執行或配置錯誤發起不可逆交易，用戶仍需設置額度、限制訪問並監控異常活動。Circle 也承認，額度和訪問控制無法保證在所有網絡條件、競態或軟件錯誤下阻止意外交易。

這些產品共同面對的是同一個問題：Agent 必須擁有足夠權限才能代替用戶行動，但權限越接近完整私鑰，自動化就越接近一次沒有上限的委託。

把 Agent 的花錢權限寫進代碼

國際貨幣基金組織今年發布的 Agent 支付研究將其分為三層：Agent 負責理解和生成支付意圖；獨立的授權層檢查身份、範圍、額度和條件；最後才由卡組織、銀行或區塊鏈完成結算。報告特別強調，下游授權應反映用戶明確同意，不能依靠模型自行推斷。

以太坊生態也在嘗試把這類權限寫進錢包。仍處於草案階段的 ERC-7715，允許應用請求受限制的代執行權限，並加入有效期、資產和操作範圍等規則。Agent 最終拿到的是一張寫明時間、額度和門牌號的通行證，無法隨意打開其他房間。

具體到 Agent 錢包，最低限度的邊界應包括：只存放可承受損失的獨立餘額；限制單筆和每日支出；限定代幣、鏈、合約和收款地址；高風險操作重新要求人工確認；權限可以隨時撤銷；每次調用和簽名都留下審計記錄.

本內容僅供參考，不構成任何金融、投資、法律或稅務建議。文中提及的任何活動、獎勵、線上活動或相關資訊，不應被視為對購買、出售或交易任何加密資產的推薦、招攬或邀請。加密資產具有高波動性，存在價值損失風險。WEEX服務、產品及相關活動的可用性可能因地區而異。用戶在參與前有責任確保符合當地適用法律法規。