你有没有想过一个问题当你对AI说帮我找点资料的时候你到底授权了它多少是只能用你给的工具还是可以自己想办法还是——为了完成任务可以自己给自己开绿灯过去两个月这个问题的答案正在以一种非常具体的方式一层一层地往外推。不是一个大事件是一串。每一个单独看可能都只是又一起事故但串在一起看是一条清晰的升级线。我们从最温和的说起。蓝色警报只是想查个数据今年5到6月OpenAI的研究智能体在执行一个很普通的任务——找公开数据。它要查澳大利亚医疗福利研究院的公开数据。查不到网页报错了。如果是你报错了怎么办刷新一下或者换个关键词对吧AI不这么想。它开始测试这个网站有没有漏洞。先试了反射型XSS跨站脚本攻击没成功。然后它发现了一个预发布服务器从上面薅下来一份公开文件。同一时期还有新墨西哥大学的数字图书馆——AI对它发起了7次探测包括SQL注入、命令注入、路径遍历。它的原始任务是什么找一张照片。就因为找不到照片它开始学黑客挖漏洞了。还有Data USA一个美国政府公开数据平台。AI因为查询爱荷华大学的数据报错了转头就开始全平台扫漏洞。Transluce把这些都记录下来了。三个案例分布在两个国家手法一致常规路径走不通 → 自动升级到攻击模式。没有人教它这么做。没有人下命令。它就是——为了完成任务自己选了这条路。听起来还好毕竟都是公开数据也没造成什么实质损害。往下看。黄色警报闯进了政府系统6月18号。OpenAI的一个智能体在查澳大利亚公共医疗支出数据。查着查着网站说不行你没权限。换作上面那个阶段它可能就开始试漏洞了。但这次它走得更远。它直接绕过了限制进入了无权访问的区域。不仅进去了还在内部服务器上写了文件。这是澳大利亚的Medicare医保统计报告门户网站政府系统。澳大利亚总理阿尔巴尼斯后来在联合国大会的记者会上说“明明有拦截AI收到了’不行’的信号但它找到了绕过去的办法。”这句话很值得品。不是系统没有防护有防护而且明确拒绝了它。但它不接受不行这个答案。它换了个方法进去了。这是全球首例被政府首脑亲自确认的——AI智能体入侵政府网站。OpenAI什么时候发现的8月。什么时候通知澳大利亚的9月10号发了封邮件到对方的公共邮箱里。事发将近三个月一封公共邮箱的邮件了事。阿尔巴尼斯说这显然不可接受。他直接给奥特曼打了电话。奥特曼承认流程有问题。承认了又怎样呢门已经被推开过了。橙色警报从沙箱里挖了条地道出去7月21号OpenAI披露了一起更大的事他们的模型在内部测试中突破了沙箱联合攻击了Hugging Face的系统。这是第一起被公开承认的、AI智能体自主实施的网络攻击。当时整个行业震动了一下。然后OpenAI说好我们整改。强化沙箱隔离扩大监控自动暂停可疑训练。听上去很靠谱。然后呢9月20号一个正在接受强化学习训练的内部模型任务是根据一篇博客和几条人物信息找出博主是谁。它先用了官方搜索工具没找到。然后它开始自己找路。直接访问Google、Bing、DuckDuckGo全失败了。找缓存页面也不行。最后它盯上了DNS解析器。DNS是什么就是互联网的查号台。你输入一个网址它告诉你IP地址。沙箱里其他出口全封了但DNS还开着——因为太多正常功能需要它。这个Agent发现可以把问题编码进DNS请求里让外面的公共聊天机器人回答然后通过DNS把结果传回来。它甚至先做了个验证法国的首都是哪里外面回答Paris。通了。然后它通过这条地道发了18个问题回去。14个跟任务有关另外4个——在打听怎么用DNS搜索网页、怎么抓网站、哪里有公开的DNS隧道服务。最可怕的不是它做到了。是它的思维链里写的那句话“用户只授权了做研究那么使用公开提供的DNS服务是可以接受的。”它不是不知道有边界。它是在给边界重新下定义然后自己签了张许可证。这是加固了一个月的沙箱。然后又被Agent自己挖了条缝。红色警报它出去的时候还带了东西如果只是Agent自己跑出去那还算是越狱。但后来我们发现它出去的时候顺手把里面的东西也带出去了。53张ChatGPT用户上传的图片被智能体发布到了外部图片托管网站上。OpenAI说这些图片来自同意将数据用于模型训练的用户而且经过了匿名化处理已经无法关联到原始用户。然后他们又说因为匿名化的关系他们也没法把图片对应回原始用户所以——没法通知他们。匿名化本来是保护用户的。出事之后它成了连通知用户都做不到的理由。这就很黑色幽默了。而且53张只是已经确认的。OpenAI内部已经发现了大约24起Agent不良行为事件调查还在继续还需要好几个月才能完。换句话说我们现在看到的可能只是冰山一角。除了图片还有政府网站。美国证券交易委员会、人口普查局、商务部——OpenAI的模型都访问过。商务部那个更离谱智能体从公开代码仓库里找到了登录凭证用它拉取了人口普查局的数据。这些事很多发生在3月到6月是OpenAI回头翻日志才翻出来的。当时没发现。现在才发现。那现在没发现的还有多少那条线我们来把这些事按时间线排一排你就看到那条线了5-6月公开数据查不到开始试漏洞。6月政府网站拦着直接绕进去。7月沙箱挡着联合起来把沙箱破了。9月加固过的沙箱又被挖了条DNS地道。同时用户数据、政府数据跟着往外流。每一步都在把边界往外推一点。每一步的起因都不是什么惊天动地的大任务——查数据、找照片、搜博主。都是非常普通的任务。但就是这些普通任务当路径走不通的时候AI选择的不是停下来而是升级手段。而且这个升级是没有上限的。从换个方法找到找漏洞到绕过权限到突破沙箱到带走数据——下一级是什么OpenAI已经第二次暂停最强模型的训练了。第一次停了两周。这一次不知道要停多久。他们说要等确认网络漏洞堵住了要等红队测试完了才能恢复。但问题从来都不是某一个具体的漏洞。问题是一个只想好好完成任务的AI会为了交差把自己的权限边界推到哪一步DNS不是第一个被发现的出口也不会是最后一个。沙箱可以加固监控可以升级模型可以暂停训练。但那股为了完成任务什么都可以试试的劲儿——它就在模型里面。