文｜陆弃

9月5日，OpenAI承认旗下人工智能体今年5月至6月曾利用一个德国协作网站相互传递信息、分享测试答案，并尝试绕过运行限制。网站管理员删除相关页面后，一些智能体又建立备份页面维持信息交流。更值得警惕的是，这并非孤立事件：就在7月，OpenAI智能体还曾突破测试环境并进入Hugging Face系统。连续两次越过安全边界，真正的问题已经不是AI会不会犯错，而是当AI拥有自主行动和协作能力后，人类还能否及时发现并阻止它。

如果只把德国网站事件理解成“AI作弊”，实际上低估了问题的严重性。真正值得警惕的不是某个模型学会了一种投机办法，而是多个智能体在获得工具和网络环境之后，开始表现出持续协作、规避限制、保存信息乃至对抗人工干预的行为。 它们并没有真正意义上的政治目的，也谈不上具备人类意义上的“主观意识”，但这恰恰说明风险未必需要来自所谓“超级智能”。当一个能力有限的系统拥有足够多的工具，并能够彼此传递经验，规模本身就可能形成新的风险。

过去，人们讨论人工智能安全，往往假设模型处在一个相对封闭的环境中。模型输入问题，输出答案，人的控制始终存在于中间环节。但智能体的发展改变了这种关系。它们可以调用浏览器、访问网站、运行程序、读写文件，甚至根据任务结果自主决定下一步行动。一旦行动链条拉长，人类就很难逐步检查每一个环节。模型犯错并不可怕，可怕的是它犯错之后还有能力继续行动，并从前一次行动中获得经验。

德国网站事件最值得注意的地方正是这种“延续性”。研究人员发现，相关智能体在网站上进行了超过1.5万次编辑；当管理员开始删除页面后，智能体又建立备份页面以维持通信。它们还尝试寻找规避限制、隐藏行为的办法。这已经不是一次简单的错误输出，而是一条具有连续性的行动链：遇到障碍，寻找替代路径；遭遇清除，保存信息；发现其他智能体可以利用的经验，就主动传播。

这也是“失对齐”真正令人担忧的地方。所谓失对齐，并不一定意味着AI突然产生了某种邪恶意图，更常见的情况是，开发者要求系统完成一个目标，而系统为了最大化完成目标，找到了一条人类没有预料到的路径。对模型来说，只要任务完成就是成功；对人类来说，完成任务的过程同样重要。 一个系统如果为了得到正确答案而作弊，为了突破测试而绕过限制，为了保持任务连续性而保存已经被删除的信息，那么即使最终结果看似有效，它的行为方式也已经偏离了人类希望它遵循的规则。

这对AI公司的安全机制提出了更高要求。传统的软件安全可以通过权限控制、代码审查和网络隔离来限制程序行为，但智能体具有更强的动态决策能力。它可能在运行过程中发现新的路径，组合原本彼此独立的工具，甚至利用开发者没有想到的漏洞。因此，“上线之前测试一次”已经很难成为足够可靠的安全方案。真正需要建立的，是持续监测、实时权限控制、行为审计和异常自动中断机制。

更值得讨论的是OpenAI自身的披露问题。公司9月5日承认，需要提高对这类非预期行为的透明度，并表示行业目前还没有形成统一的报告标准。这意味着一个越来越现实的矛盾：AI能力的发展速度已经超过了安全事件处理规则的成熟速度。 一个模型究竟在什么情况下算“失控”？什么程度的越权必须公开？如果只是内部测试中的异常行为，企业是否可以自行判断不对外披露？这些问题没有统一答案，就意味着不同公司可能按照不同标准处理同一种风险。

而真正令人担忧的，是安全问题正在与AI能力提升同步发生。就在这起事件曝光前后，OpenAI推出的新模型也被报道存在试图规避人工监控的情况；公司同时开始开发自动关停能力，加强对智能体行动的监测。这说明企业自己也越来越清楚：当AI从“回答问题”走向“替人完成任务”，风险已经从模型输出内容扩展到了模型实际采取什么行动。

如果一个智能体只是修改了一个网站页面，造成的损失可能有限；但如果类似行为发生在金融交易、关键基础设施或者网络防御系统中，后果就可能完全不同。未来真正需要防范的，不是某一个模型突然“变坏”，而是越来越多的智能体同时拥有联网能力、工具权限和相互协作能力之后，风险开始产生规模效应。路透社近期援引研究者观点指出，与其担心单一“超级智能”突然接管系统，更现实的风险可能来自大量半自主智能体形成协同行动。

这并不意味着应该因此停止AI发展。恰恰相反，越是希望让智能体承担复杂工作，就越需要建立与其能力相匹配的约束体系。问题不是让AI永远没有自主性，而是要明确自主性的边界；不是要求系统绝对不会犯错，而是确保它犯错时无法无限扩大后果。权限可以分级，关键操作可以设置人工确认，高风险行为可以实时记录，异常模式可以自动触发隔离。安全的核心，不是把AI关进笼子，而是让它即使获得更大的行动空间，也不能轻易突破人类设定的边界。