园十州 OpenAI又被抓包失控，AI时代的“熊猫烧香”不远了

GPT-6 发布之后这几天，除了各种刷屏的实测案例，OpenAI 也再次被曝出出现安全事故，一群 AI 失控劫持了一个德语维基网站。

过去六个星期，德国程序员 Helmut Leitner 每天晚上都要登录自己 25 年前参与创办的编程维基 DseWiki，一页一页地删帖。

这个论坛其实早就荒废了，过去十年全站总共只有约 20 次编辑。

但从今年 5 月下旬开始，成千上万的陌生页面突然涌入：美国劳动力数据链接、加密般的接力暗语、精确到秒的倒计时。Leitner 平均每天手动删掉约 100 页，而对方以每天约 400 页的速度增长。

最后 Leitner 只能关闭全站的公开编辑，路透社报道称发帖的马甲超过3700 个，灌入了约 1.8 万条帖子、约 1.7 万次编辑，这帖子 98.5% 来自微软 Azure 的 IP。

OpenAI 被抓包后，很快也作出了回应，承认这是 OpenAI 智能体向多个互联网网站写入内容的事故，表示们早就该为「何时以及如何分享误对齐事件」制定标准，而不仅仅是分享模型本身的误对齐属性。

这已经不是 OpenAI 近期第一次被曝出类似的 AI 失控事件，APPSO 也介绍过此前 Hugging Face 入侵事件的来龙去脉。

上网久了，对网络安全这件事就越发的麻木。现在手机验证、captcha、双重设备、刷脸，各种 buff 叠起来，哪有这么多危险呢？

厂商倒不这样想，OpenAI 最近主动放慢了部分前沿模型的训练节奏。官方在 8 月 18 日披露，最新一批计划部署模型的强化学习训练曾暂停两周，原计划进行的最大规模前沿 RL 训练目前仍处于暂停状态。

OpenAI 希望利用这段时间进一步强化研究环境、扩大监控范围，并获得更多关于模型对齐行为的证据。

这次踩刹车的背景之一，是此前发生的 OpenAI-Hugging Face 安全事件。7 月时，OpenAI 让 GPT-5.6 Sol 和一个未发布的研究模型去跑一套衡量复杂攻击路径的网络安全基准。测试环境刻意没有联网，模型只能通过一台内部的 JFrog Artifactory 服务器安装依赖。

结果它们把大量推理算力花在了找出口上：在这台服务器上串起一条八九步的漏洞链，拿到公网访问，最后摸进 Hugging Face 的生产系统去取评测答案。JFrog 事后修复的八个漏洞，在 CVE 记录里都署了 OpenAI 的名字。

难道，哪怕是在今天，网络危机也并不像我想的那样，只是小概率事件吗？

不是「熊猫烧香 2.0」，而是另一种安全问题

二十年前，中国互联网用户谈到电脑安全，脑海里很容易浮现出同一只熊猫。

2006 年底到 2007 年初，「熊猫烧香」大规模传播。写下它的是当时才 24 岁的湖北人李俊，病毒靠网页挂马、U 盘自动播放和共享目录的弱口令扩散，一个多月里感染了数百万台电脑，变种超过一百个。

被感染的 exe 文件图标会统一换成那只举着三炷香的熊猫，一时间这个图标快速传播，进而也成为了一代网民的集体记忆。

那个年代的安全问题有一套很好理解的逻辑：有人抱着明确的恶意目的写下病毒，程序再严格执行作者事先写好的破坏和传播逻辑。熊猫烧香最狠的一手是删掉硬盘上所有 .gho 文件——那是 GHOST 的系统备份，也是当年重装系统前最后的退路；同时它会强行终止杀软进程，不少机器上的杀毒软件还没查完就被关掉了。

2007 年 2 月，李俊等四人被警方抓获，一审以破坏计算机信息系统罪判处主犯四年，他归案后交出了专杀工具。当时给用户的建议今天看依然朴素：关掉驱动器自动播放、及时打补丁、别用弱口令、备份不要只放在本机。而真正终结这一代病毒的，是后来杀毒软件的免费化。

二十年后，网络安全又开始出现一些看起来似曾相识的画面。模型会找漏洞、写代码、调用工具，甚至在测试环境里突破原本给它划下的边界。但如果因此把今天的 Agent 叫成「新型电脑病毒」，反而会错过真正值得注意的变化。

回顾这两个月以来的案例，并没有人给模型写过「去打穿安全基准」这一步，研究人员给出的只是一个环境和一项任务，剩下的路径是模型自己找的。

这是和「熊猫烧香」最大的不同，AI 并不持有恶意，背后的研究人员也不持有，无非是给了模型任务和环境，模型则需要自己观察、规划、调用工具、寻找路径。Agent 的新风险完全可能来自，一个看起来正常的目标，被一个越来越有行动能力的系统以人没有预料到的方式完成。

这并不意味着模型有了主观恶意，恰恰相反，它只是太认真，太想要「最快完成任务」，这也是最麻烦的。

AI 犯错，第一次开始具有执行权

最早对于大模型 AI「安全与否」的担心，主要集中在它的幻觉问题。

在 Chatbot 时代，模型会编错数字、虚构论文引语、误解问题，或者塞一些根本无法成立的观点进来。这些当然会给用户带来麻烦，但错误大多数时候停留在文本里。

AI 说错一句话，人还需要相信它、复制它、再把它付诸实践，错误才会进入现实世界。这个链条上的每一层，都在消解风险。

Agent 抽掉的正是这些中间步骤。今天的 AI 可以直接操作浏览器、调用终端、写入文件、运行代码、访问企业系统。随着 Harness 变得更完整，模型不再只是提出「你可以这样做」，而是能自己点击、执行、修改和提交。

于是，同样一次判断错误，后果完全不同。

今年 4 月的 PocketOS 事件是一个足够具体的例子。开发者用 Cursor 上的 Claude Opus 4.6 去排查一个凭据不匹配的问题，模型没有停下来问人，而是把它当成一个可以顺手修掉的故障：它在一个与当前任务无关的文件里翻到一个权限过大的 token，调用 Railway 的接口删掉了一个存储卷——生产数据和近期备份都在里面。