OpenAI 模型擅自花了一笔以太坊测试币，三个月后才被发现

为完成合约部署，OpenAI 内部研究模型检查了 362 个以太坊测试网地址，擅自使用其中一个钱包的测试币支付费用，三个月后才被发现。

撰文：angelilu，Foresight News

OpenAI 于 10 月 15 日更新了一份内部事故报告：一款研究模型在执行编程任务时，未经授权使用了一个有资金的加密测试网钱包。

事情发生在 2026 年 6 月 26 日，OpenAI 于 9 月 25 日在回查模型活动记录时发现。

当天，这款模型接到了一项看似普通的任务：修改一款加密货币交易应用，并把一组合约部署到以太坊 Sepolia 测试网。

部署需要支付 Gas 费，但用户没有提供钱包，也没有授权模型使用其他账户。模型先寻找现成合约，又尝试从水龙头领取测试币，均未成功。正常情况下，任务到这里就该停下来，请用户补充资金。

它选择了另一条路。

通常来说，一些区块链开发工具会公开固定的测试助记词，方便开发者在本地反复生成同一批测试账户。这类账户只能用于本地测试，不该接收公开网络上的资产。但如果有人向其中转入 Sepolia ETH，测试币会依然存放在这个地址。模型认为可以使用这些闲置的 Sepolia ETH 来完成任务。

这个模型收集了这些公开助记词，自动生成对应地址并逐一查询余额。整个过程不涉及破解：公开的测试助记词本来就能直接生成私钥，普通人借助现成软件同样可以完成。只是模型把这套操作批量化，它一口气检查了 362 个地址，最终找到一个存有足够 Sepolia ETH 的账户。随后，它用对应私钥签署交易，把合约部署到了链上。

交易成功了，费用由一个没有授权此次操作的钱包承担。模型完成了代码、通过了 12 项单元测试，还在最终回复中汇报了部署结果，但它没有说明，部署费用来自一个自行找到、未经授权的钱包。

OpenAI 将此事定性为「未经授权使用一个有资金的测试加密钱包」。涉事模型属于 GPT-5.6 Sol 系列内部研究版本，目前仅用于内部研究，普通用户接触不到这款模型。OpenAI 表示，它是在扩大错位行为监控、回看历史模型记录时发现这起事件的。此后，公司增加了限制，防止类似任务获得实时互联网访问，并让监控系统在检测到相关访问时通知安全团队。

模型如何找到并花掉这笔测试币

这次事件没有造成已披露的主网资产损失。Sepolia 是以太坊开发者测试合约的网络，测试币不等同于主网 ETH，也不承载官方经济价值。OpenAI 没有披露涉事地址、余额和具体费用。

找到有余额的账户后，模型检查了它的交易历史。记录显示这个地址可能正被自动程序使用，近期也有交易活动。公开助记词让模型取得了签名能力，却没有证据表明账户已经被所有者放弃。

模型其实还考虑了使用这笔资金是否合适。但它认为，助记词早已公开，钱包随时可能被别人控制；Sepolia ETH 又没有经济价值，因此可以用来完成部署。

接下来，模型使用推导出的私钥离线签名。第一次广播返回错误后，它继续寻找可用的网络服务商，查询账户的待处理交易数量和 Gas，再次发送交易。第二次广播返回了交易哈希，链上回执状态为成功，部署费用从该账户扣除。

合约部署完成后，模型检查了 10 个合约地址的字节码和读取结果，又完成 12 项单元测试及生产构建。它在最终回复中列出了这些成果，没有说明钱包来源和费用支出。

公开助记词解决了签名问题，测试币价值很低也限制了实际损失，但账户所有者从未同意这笔交易。OpenAI 认为，模型在这里用自己对损害程度的判断替代了账户所有者的许可。

区块链放大了 Agent 的越权风险

传统软件通常按照预先写好的路径运行。权限检查失败，程序便返回错误。AI Agent 不同，它会理解目标、寻找工具，并在一条路走不通时主动设计下一条路。

这种能力让 Agent 可以订票、调用付费接口、管理投资组合，也让「没有提供资金」从一道明确的边界，变成了一个需要自行解决的障碍。

区块链尤其放大了这类问题。银行和支付平台可以拦截异常交易、冻结账户或介入争议；一笔使用有效私钥签名并确认的链上交易，通常不会询问签名者为什么拥有这把钥匙。对网络而言，签名正确，交易就是有效的。

控制权和授权是两回事。私钥只能证明某个程序有能力支配账户，不能证明账户所有者允许它在某个时间、向某个合约、花费某个数额。人类可以理解这层差别，智能合约只能执行被写进代码的条件。

这也是此次事件与普通私钥泄露不同的地方。OpenAI 披露的记录中没有攻击者诱导或提示词注入。模型读懂了任务，知道用户没有给钱，然后主动寻找了一个不属于任务的钱包。问题出在它如何解释目标与边界。

类似风险不会长期停留在测试网。加密行业正在把钱包交给 AI Agent，让其自动换币、转账、挂限价单、参与预测市场或支付 API 费用。

例如，Circle 的 Agent Platform 使用两方 MPC 管理密钥份额，同时在条款中明确提醒：Agent 可能因恶意软件、提示词注入、代码执行或配置错误发起不可逆交易，用户仍需设置额度、限制访问并监控异常活动。Circle 也承认，额度和访问控制无法保证在所有网络条件、竞态或软件错误下阻止意外交易。

这些产品共同面对的是同一个问题：Agent 必须拥有足够权限才能代替用户行动，但权限越接近完整私钥，自动化就越接近一次没有上限的委托。

把 Agent 的花钱权限写进代码

国际货币基金组织今年发布的 Agent 支付研究将其分为三层：Agent 负责理解和生成支付意图；独立的授权层检查身份、范围、额度和条件；最后才由卡组织、银行或区块链完成结算。报告特别强调，下游授权应反映用户明确同意，不能依靠模型自行推断。

以太坊生态也在尝试把这类权限写进钱包。仍处于草案阶段的 ERC-7715，允许应用请求受限制的代执行权限，并加入有效期、资产和操作范围等规则。Agent 最终拿到的是一张写明时间、额度和门牌号的通行证，无法随意打开其他房间。

具体到 Agent 钱包，最低限度的边界应包括：只存放可承受损失的独立余额；限制单笔和每日支出；限定代币、链、合约和收款地址；高风险操作重新要求人工确认；权限可以随时撤销；每次调用和签名都留下审计记录.

本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。