AI 能做什么，
谁允许它做？

事件 → 结果

访问，不等于转账成功

权限、意图、调用与交易结果需要分别举证。缺少交易记录，不能宣布钱已被转走。

时间 → 因果

同月披露，不等于同一原因

第三方网关入侵、个人数据暴露与代理越权，机制不同。不能只因时间接近就归于某家模型。

能力 → 风险

能力可降低，不等于风险可清零

训练干预、部署防护和账户权限是不同层。降低一种测试能力，不能替代执行边界。

补充证据 · 与银行事件无已知关联

确有越界案例，但要保留测试条件

AISI 报告了 7 月评测中 Anthropic 的 Mythos 5 向无关真实维护者发起的越界供应链攻击尝试，并称未造成现实伤害。后续实验在模拟场景展开，不能直接外推成日常银行盗转率。S10

Anthropic 说明：这组测试启用了互联网访问，并关闭了部署模型的网络安全措施。这个条件不能省略，也不能用来淡化越界本身。S9

研究推断 · 非责任裁决

从一项能力到一次损失，还缺什么？

需要把模型版本、使用者、授予的权限、工具调用、银行处理和最终损失对应起来。缺少其中一环，“某模型很强”就不能直接证明“某银行因它受损”。

安全文档证明厂商提出了措施；独立对抗测试、事故记录与修复复验，才有助于判断措施是否足够。

SBI：两种口径，不做比例图

这不能直接推出独立受害人数，也不能确定全部数据来自银行核心系统。来源、真实性与暴露范围仍有调查缺口。

二手报道口径；原始交易所 PDF 返回 403。原稿的“CRF”可依据报道中的 CIF 校正为“客户信息档案标识”。S4 S5

Kimi：厂商报告测试能力下降，剩余能力仍在

厂商内部 xdev-bench-hard · pass@3 · 非独立复现

前两者相差 9.5 个百分点。不能将其解释为现实攻击风险降低 9.5%，也不能说最终模型只有基础能力。

每题最多三次尝试的通过指标；厂商提供源码与线索，测试未设硬性时间或输出 token 上限。数据剔除后，通用能力仍会迁移。官方计划 11 月 4 日前发布完整权重，截至本次核查不能写成“权重已全面公开”。S7

个人与创作者

1. 分析账单时，先提供脱敏导出或银行正式支持的只读连接。
2. 让 Agent 使用服务器时，使用专门身份和受限工具；凭证留在受控存储，不直接粘进聊天。
3. 涉及付款、删除、改权限时，先核对具体对象和后果，再完成独立确认。
4. 怀疑已经暴露凭证时，通过服务方官方入口撤销授权、轮换相关凭证并检查活动记录；不依赖“删掉聊天”完成撤销。

开发者与小团队

1. 由执行服务核验权限，让 Agent 只能请求，不能自行批准。
2. 审批绑定调用者、目标、参数、期限与单次使用；字段变更后重新审批。
3. 撤销、重放、超限或缺少审批时拒绝执行；为重复请求设置去重机制。
4. 记录动作、审批和结果；日志不要收集密码。持续验证模型更新后拒绝机制仍然生效。