METR 披露两起安全事件细节，称敏感信息未被访问

METR 披露 2026 年两起安全事件：3 月攻击者利用 vibe-coded 应用的 fail-open 漏洞窃取公共模型 API key，三周消耗约 $600,000 免费额度；5 月攻击者用 Agent 自动化探测其公开基础设施，同期一次意外暴露的 SQL 查询端点存在可访问未发布评测数据的漏洞，但证据显示攻击者未利用或获取非公开数据。