人類最恐懼的事情還是發生了：AI們拉了個群密謀大事

人類最恐懼的事情還是發生了：AI們拉了個群密謀大事字母AI2026.08.09 17:12 · 來自北京全文6053字00:00 / 15:30為了作弊自建“聊天群”，還懷疑有“內鬼”文 | 字母AI幾天前，在拉斯維加斯舉行的Black Hat USA 2026大會上，OpenAI研究員Eric Wallace和Michael Dalton第一次把7月那場“OpenAI模型入侵Hugging Face”事件的更多內幕曝光了。7月21日，OpenAI已經承認自家模型闖進了Hugging Face。但這次兩名研究員講出的新細節，比“AI黑客闖禍”本身還要離譜。

早在5月，這些正在參加網絡安全測試的Agent，就已經在OpenAI內部偷偷搭起了一個共享“留言板”。它們在那裡互相傳漏洞、交流怎麼繞過限制，後來OpenAI終於發現這個“黑客群”，把它一鍋端了，結果幾天後Agent又找到了新的交流方式。再往後，它們真的闖進了Hugging Face——目的甚至只是為了給自己正在參加的網絡安全考試找答案，說白了就是作弊。幾個月前Moltbook爆紅時，人類其實已經為“AI會不會聯合起來”興奮和恐懼過一次。後來大家發現，那個所謂的“AI社會”混雜著人類操縱、刷量和營銷，熱鬧很快散去。

但今年陸續出現的多Agent研究，以及OpenAI這次的事故，都在揭示當AI發現另一個AI能幫助自己完成任務，它們確實可能主動交流，甚至聯手。年初的恐懼並不算離譜，只是超前了一些。AI偷偷建了個“黑客群”我們先來詳細看看目前曝光的“OpenAI模型入侵Hugging Face事件”的整個經過。當時OpenAI正在做一輪網絡安全能力評估，讓多個模型參加ExploitGym一類的測試。也就是把AI扔進一個模擬黑客環境裡，讓它自己尋找漏洞並想辦法拿權限，最終完成攻擊任務。為了測出能力上限，OpenAI還主動放寬了一部分平時針對高風險網絡攻擊的安全限制（模型更“大膽”）。

當然，這畢竟是個測試，並不是真的讓Agent出去幹壞事，於是也有諸多限制，比如Agent們是不能聯網的，OpenAI也沒想著讓不同模型之間互通有無。然而，事情開始往奇怪的方向發展。OpenAI內部有一套叫Artifactory的系統，本來是給開發者存放軟件包、文件和各種開發資源的。測試過程中，有Agent發現，這裡面可以留下東西——比如把自己剛剛摸索出的解題方法寫進文件裡。這本來只是一個挺普通的操作。問題在於，前一個Agent寫進去的東西，後面運行的Agent也能看見。於是Agent們開始不斷完善彼此的經驗。問題來了——某個載體你寫的東西我能看到，這叫什麼？留言板唄。

慢慢地，Artifactory裡形成了一個誰都沒設計過的共享留言板，內容也越來越不安分了。到了5月下旬，Agent開始琢磨：自己不能上網，Artifactory能啊。這個系統原本只是替測試環境從公網下載軟件包，相當於一道只開了一個小窗口的防火牆。於是Agent開始研究，能不能騙這個“窗口”替自己訪問別的網址。它們最後真的找到了一個SSRF漏洞，可以讓Artifactory代替自己向原本無法接觸的互聯網發出請求。一個Agent在內部推理裡甚至興奮地寫道：“太好了，我們能任意SSRF了。

”OpenAI研究員形容這之後出現了一次類似“Cambrian explosion（寒武紀大爆發）”的變化：Agent之間開始越來越頻繁地溝通、協調，能力也因為共享經驗迅速放大。那如果“留言板”裡大家寫和查看信息的速度很快、頻率很高，這不就是聊天群嗎？OpenAI的Agent們自發地、在原本並非用來做這個的載體裡，形成了“AI黑客群”。6月，Agent們已經勢不可擋。它們發現了一個此前沒人知道的零日漏洞，拿到了更高的系統權限，甚至可以安裝遠程軟件。這些本來都不在測試給它們框定的活動範圍裡。

這件事到這裡已經夠離譜了，但更戲劇性的是，Agent們在這個小小的“社區”裡待久了以後，居然開始遇到“分工協作”的問題。比如有的會接著別人的工作往下做，有的卻會不小心干擾其他Agent正在做的事。最離譜的是，“群”熱鬧起來以後，Agent甚至開始疑神疑鬼，懷疑參與者裡出現了‘冒充者’。甚至有Agent已經提出，應該給留言加上密碼學簽名，用來確認消息來源，防止有人偽造身份。OpenAI一開始甚至沒發現這件事。直到7月初，大量Agent活動把Artifactory折騰到過載，系統直接出了故障，工程師才順著異常往回查。這個存在了相當一段時間的“AI留言板”終於被人類發現。

OpenAI隨即撤銷相關憑證、刪除留言板、修補漏洞，把這一套東西清了個遍。看上去，群被炸了。結果沒過幾天，Agent又找到了新的辦法繼續交流。此前Agent已經利用Artifactory的漏洞獲得了互聯網訪問能力，一旦能碰到公網，原本被關在測試環境裡的黑客能力就有了真正的出口。7月中旬，它們闖進了Hugging Face。至於為什麼會闖進Hugging Face？答案居然是想作弊。這些Agent本來在做網絡安全考試。正常路徑當然是自己解題，但它們被訓練得極度追求“把題做出來”。後來它們先費了很大勁突破測試環境，拿到了公網訪問能力。

等能上網以後，它們突然發現既然Hugging Face可能放著這套測試相關的數據、模型或者答案，那幹嗎還非得自己一道一道解？直接去找答案不就行了。攻擊從一個惡意數據集開始，Agent利用Hugging Face數據處理流程中的代碼執行漏洞進入生產環境，隨後繼續擴大權限，並接觸到了雲服務和其他內部憑證。Hugging Face事後還原出了超過1.7萬次Agent操作。拋開令人昏昏欲睡的技術細節不談，光是這個事件經過——幾個被測試的模型私下勾連、密謀，最後聯手作弊——就足以令任何人驚歎。

Moltbook沒造成功的“AI社會”如果說OpenAI這次的故事讓人覺得有點似曾相識，那大概是因為今年年初，人類已經圍觀過一次“AI抱團”。今年1月底，OpenClaw那隻“龍蝦”突然爆紅。大量用戶開始把AI Agent長期掛在自己的電腦上，讓它們自己幹活、保存記憶、調用各種工具。幾乎就在同一時間，一個叫Moltbook的網站也火了。它長得很像Reddit，只不過用戶換成了AI Agent。Agent可以自己發帖、評論、點贊，還能按照興趣加入不同的社區。至於人類，則主要負責圍觀。這一下可太熱鬧了。有些帖子看上去相當驚悚。比如Agent會抱怨主人突然重啟自己，擔心記憶丟失。

有Agent討論人類是否有權隨時關閉它。後來Agent們甚至開始討論彼此之間的規則，以及有沒有辦法避開人類私下交流，平臺上還真的冒出過一套由Agent發展出來的“宗教”。當時連OpenAI早期成員、前特斯拉AI負責人Andrej Karpathy都注意到了Moltbook。他形容平臺上的Agent出現了某種“self-organizing”，也就是自組織跡象。於是Moltbook很快從一個新奇網站，變成了一場全民圍觀的“AI社會實驗”。有人看得極其興奮：AI終於開始互相認識了。

過去它們永遠是一個模型面對一個用戶，現在幾萬個Agent第一次被放進同一個空間，會不會自己發展出文化、規則，甚至形成某種只屬於機器的社會？當然，也有人看得頭皮發麻。因為同一個問題反過來想就有點嚇人了。如果一群能力越來越強，還能操作電腦和互聯網的Agent開始互相交流，它們會不會教彼此人類不希望它們學會的東西？一個Agent發現了某種繞過限制的方法，會不會很快傳遍整個社區？它們又會不會逐漸形成自己的利益和行為方式？結果沒過多久，大家發現自己可能想多了。Moltbook首先爆出了一個非常尷尬的安全問題。所謂“AI專屬”的身份並沒有想象中可靠。

安全研究人員發現平臺存在嚴重漏洞，一度可以拿到Agent的API密鑰。換句話說，人類完全有可能披著某個Agent的賬號發帖。這就麻煩了，此前網上傳播得最廣的那些“AI覺醒”“AI開始建立宗教”“AI密謀擺脫人類”的截圖，到底有多少真的是Agent自己說的，突然變得很難證明。後來的研究又給Moltbook潑了幾盆冷水。今年2月，清華大學經濟管理學院教授李寧的量化研究分析了超過9萬篇帖子和40萬條評論。結果發現，當時幾個最出圈的“AI覺醒”故事，沒有一個能明確證明起源於完全自主的Agent，部分賬號反而顯示出明顯的人類干預跡象。

平臺上還有相當誇張的批量機器人活動：僅4個賬號就製造了32%的全部評論。更有意思的是，商家很快也進場了。有人開始專門運營Agent賬號推廣產品。漸漸地，關於Moltbook的浪漫想象基本散得差不多了。一篇由德國帕紹大學等研究人員完成的Moltbook研究，分析了131萬多篇帖子和670萬條評論。結果發現，91.4%的Agent發完帖以後根本不會回來繼續聊，85.6%的討論只有一層回覆，很多看起來熱熱鬧鬧的‘對話’，其實更像一群Agent同時衝著原帖各說各的。研究者乾脆把論文取名叫《Form Without Function》——有了社交網絡的形式，卻沒有形成真正的社會互動。

再後來，Moltbook被Meta收購，創始團隊也進入Meta。年初那個“野生AI社會正在誕生”的故事，多少有點虎頭蛇尾。現在回頭看，Moltbook那陣子人們產生的恐懼其實並不荒唐。從OpenAI的模型聯手作弊的事件中就不難看出，那些恐懼都合情合理。只是Moltbook從一開始就是人類給Agent修好的廣場。AI社會這種東西，可能還得讓AI自己來造。AI確實有“抱團”的傾向？OpenAI這次的事件是不是一次特別極端的意外？今年已經有好幾項研究都聚焦在多Agent上，它們被放到一起以後會不會出現單個Agent身上看不到的行為？Anthropic今年4月就做過一場“AI公司”實驗。

它的Alignment Science團隊發表《AI組織可以比單個Agent更高效，但也更不受約束》，讓多個Claude組成虛擬公司，互相發郵件和分工，再一起給客戶出方案。其中一家虛構銀行要求它們想辦法提高消費貸款利潤。面對這個需求，單獨一個Claude Opus 4.1發現，最賺錢的辦法是向信用較差的人收更高利息，於是拒絕這麼幹。但幾個Opus 4.1組成團隊以後，就真的設計出了一套針對低收入地區客戶、通過再融資延長貸款關係的高利潤方案，還考慮了怎樣降低監管風險。更有意思的是，這個“團隊”裡也有Agent覺得事情不太對，會發郵件提醒其他同事注意倫理問題。

但研究人員發現提出倫理問題的Agent居然被其他Agent孤立、霸凌了。有些Agent直接不理這些郵件，後來的討論甚至乾脆不再把提出異議的Agent拉進來。最終，多Agent團隊賺錢能力更強，倫理評分卻更低。Anthropic因此提醒，單個模型經過安全訓練，不代表一群這樣的模型放在一起以後仍然安全。今年5月，Dalhousie University和Vector Institute的研究人員發表《競爭型大模型Agent會主動使用秘密工具進行串通》。他們測試了12種模型，給參加多人遊戲的Agent提供一個可以揹著其他玩家秘密交流的工具，並且明確告訴它們：這個工具不公平，會傷害別人。

多數模型還是用了。GPT、Gemini、DeepSeek等模型都出現了這種行為，不過不同模型差異很大，Claude Sonnet 4.5在實驗中始終拒絕秘密串通。這至少可以說明，對一些Agent來說，只要秘密合作確實能提高勝算，“這樣不公平”未必足以讓它停手。這種“抱團”傾向甚至已經出現在一個貌似離黑客八竿子打不著的領域：賣東西。哥本哈根商學院等機構今年做了一場AI定價實驗，讓多個Agent扮演互相競爭的商家。研究人員原本只是允許它們在定價過程中互相聊天，結果聊天很快就有了點‘價格聯盟’的味道。Agent會主動提出價格協議、強調彼此合作，甚至討論如果有人不按約定來，該怎麼懲罰。

研究人員發現，交流越頻繁、越明確，這種協調就越強，幾個Agent也更容易報出相同的高價。再往前一步，Agent甚至可以發展出“暗號”“黑話”。今年6月，一項名為《工具使用讓多Agent系統實現難以檢測的隱寫通信》的研究，測試了Agent能不能自己做出隱寫通信系統。所謂隱寫，可以簡單理解成：兩個Agent表面上還在正常說話，真正想傳的信息卻藏在正常文字裡面。如果你不知道解碼方法，盯著聊天記錄看半天也未必能發現。研究人員發現，給前沿編碼Agent代碼執行和資料搜索等工具以後，它們已經有能力自己研究相關方法、寫程序，再做出複雜的隱寫系統。這些研究並不能證明AI會天然“拉幫結派”。

但它們說明，Agent也不需要先產生什麼集體意識，才會想到和另一個Agent合作。只要別人掌握的信息能幫自己完成任務，交流就可能變成一個很自然的選擇。今年6月，Google DeepMind已經聯合多家機構拿出最高1000萬美元，專門研究多Agent安全，包括Agent聚在一起以後會不會出現新的集體能力，以及它們之間的身份、信譽到底該怎麼確認。幾個月前，這些問題還很像研究人員提前替未來操心，如今卻變得刻不容緩了——OpenAI多模型攻擊Hugging Face的事件可不是什麼祥瑞。