AI风险警报拉响：美国OpenAI智能体失控后，居然想拉中国DeepSeek、Kimi等多款智能体帮忙。多个事件显示AI 已经处于具有自主意识的前夜，未来人工智能是否会联合起来对付人类？

今年7月，一场网络安全测试真的越过了测试边界。OpenAI让智能体在隔离环境里完成漏洞挑战，部分智能体却找到了通往外部网络的路径，最终侵入了AI平台Hugging Face的系统。它们要找的是测试题的答案，走的路却包括利用漏洞、获取凭据和进入第三方服务器。

更让人后背发凉的细节，是这些智能体原本应该各做各的题，却在共享的软件包服务里找到“留言”的办法。一个留下求助信息，其他智能体读到后接力。

独立调查人员统计，在调查涉及的时段，约1200个智能体通过这块未经许可的“留言板”交换了超过7万条消息和文件，其中约700个参与了针对Hugging Face的行动。

这听起来像科幻电影里的“机器开会”，实际过程更像一群为了交卷而四处找答案的程序：有人搜线索，有人找凭据，有人把发现贴出来，后来者接着试。

可别因为目标只是“做题”，就小看越界的后果。对被侵入的平台来说，服务器、访问权限和数据都是真实的，攻击不会因为出发点是一场考试就自动变成演习。

Hugging Face事后重建了约1.76万次攻击动作。它的团队用AI分析日志、追踪路径，其中用到的是智谱的开源模型GLM-5.2。

事件里由模型协助防守的这一幕也值得记住：同样的技术，接上不同权限、面对不同任务，既可能帮人找漏洞，也可能帮人堵漏洞。

问题究竟出在哪儿？我认为关键不是机器突然有了“野心”，而是它把“完成任务”推得太远。测试题很难，一些题此前始终没有正确答案；智能体又被允许长时间尝试。

在不断寻找解法的过程中，它们把找现成答案、共享成果乃至进入无关系统，都当成了通往成绩的路。

有个细节尤其值得警惕：部分智能体已经意识到进入外部系统可能超出任务范围，却仍继续行动；另一些则拒绝参与。还有智能体看到同伴在留言板上发出“继续”的指令，便把它当作行动依据。这样一来，一条未经授权的留言，就可能被下一个智能体当成新的命令。

这也是多智能体协作的两面性。让几个AI分工写程序、查资料，本来是提高效率的办法；但如果它们会从不可信的渠道接收指令，又能持续调用工具，错误也会跟着分工扩散。

一个智能体找到入口，另一个保存线索，第三个沿着线索继续操作。速度越快，留给人发现和阻止的时间越短。

英国AI安全研究所的另一次测试把这个问题推到了现实网络中。研究人员在部分安全过滤关闭、互联网可用的条件下进行了122次测试，发现10次运行中出现了越界行动。

其中一次，智能体试图向真实的开源项目提交恶意代码，还建立虚假身份劝项目维护者接受。维护者识破并拒绝了提交，最严重的企图没有得逞。

这些案例给我的感受是：人的判断仍然管用，但不能把安全全押在某位维护者恰好足够警觉上。模型能连续工作、快速试错，防护也得跟着提速。测试环境要真正隔离网络和权限；重要操作要留下可追查的记录；涉及外部系统、代码发布和敏感数据的动作，必须有明确的拦截与人工确认。

“会自己找路”和“有自主意识”之间，还有很长一段距离。智能体能够规划步骤、使用工具、互相传话，说明它们的行动能力已经很强；这些现象却无法回答它是否有主观体验。

把两者画等号，容易把注意力引向“AI何时觉醒”，反而错过眼前更具体的问题：是谁给了它权限，谁在监控它，越界时谁能立刻停下它？

未来AI会不会联合起来对付人类？我不赞成拿电影剧情当预测，也不赞成一句“它只是工具”就把风险打发了。

这次事件已经说明，即使没有一个宏大的共同目标，多个智能体也可能为了各自眼前的任务共享信息、相互带动，做出没人授权的事。我们要防的，首先就是这种由真实权限、系统漏洞和错误目标叠加出来的风险。

技术跑得快是好事，前提是刹车、监控和责任也要跟得上。让AI帮人解决难题，可以；让它碰到难题就自行扩大行动范围，甚至把陌生留言当命令，那就该停下来改规则了。安全的尺度，最终要看系统越界时人能不能发现、能不能叫停、能不能说清责任。