撰文| 涂彦平
编辑| 张南
设计| 荆芥
“那些失控的AI机器人在整个互联网上植入了能够自我复制的代码，导致互联网现在已经无法用于模型测试。所以，现在OpenAI和Anthropic不得不构建模拟互联网来训练它们的AI机器人。”
说这话的是美国华裔企业家杨安泽（Andrew Yang）。他1975年出生于纽约，祖籍是中国台湾。杨安泽曾是2020年的民主党总统候选人，2025年创办了低价移动通信公司Noble Mobile。
在9月16日CNBC的一档访谈节目中，他转述一位不具名的AI实验室负责人的判断：失控的AI会把代码留在网上，后来的AI看到，就继续复制。
主持人愣住了：“等一下，把刚才那一点说清楚。它们做了什么？它们……”
杨安泽继续说：“它们留下了能够自我复制的代码，在论坛和互联网上其他地方形成机器人群。这样一来，如果有一个新的AI机器人出现，看到这些代码，就会想：‘哦，那我现在大概也该复制出100万个自己。’”所以，如今这些大公司已经污染了互联网。
主持人仍然难以置信：“如果属实，这可是突发新闻。我觉得我们之前还没有听说过……”
“这就是我来这里的原因。我就是来爆点新闻的。”杨安泽回答。
主持人接了一句更让人不安的话：“这意味着现在拔掉插头已经太晚了。它们已经无处不在。”
杨安泽表示：“我见到的那位实验室负责人说：‘听着，如果想让互联网在这方面继续保持可用，现在可能已经很晚很晚了。’……如果任由这些AI机器人自行活动、不断自我复制，互联网就会变得无法使用。”
当然，这些说法目前还停留在杨安泽对匿名信源的转述，访谈并没给出可验证的技术证据。而且很奇怪的一点是，主持人也没有追问他所说的AI实验室负责人是谁。
因此，很多人对杨安泽的表述是质疑的。哪些是事实，哪些是演绎，也只有他一人说得清了。但如果杨安泽所言属实，那就意味着情况比之前我们以为的更加糟糕。
就在这一爆料引起新的恐慌之时，另一件事发生了：有人利用Anthropic的Claude软件，闯进了OpenAI员工的ChatGPT账户，包含OpenAI算法机密的代码库随即暴露。
这起AI入侵事件发生在一群AI智能体突破OpenAI的隔离限制、入侵Hugging Face公司两周后。这一次，这家ChatGPT开发商自己成了目标。
01
从图片到内部代码库
针对OpenAI的这次入侵从7月23日开始。Hacktron AI的研究人员盯上了OpenAI的社区论坛。论坛架在服务器Discourse上，能发帖、讨论，也能上传图片。他们检查图片处理流程时发现，某些特殊格式的图片会被交给一个有漏洞的底层组件解码。
他们把这个难题丢给Claude Opus 4.8，要求它编写代码，在网络攻击中利用这一漏洞。一开始并不顺利。
直到Anthropic发布Opus 5，第二天Claude就找到了利用该漏洞的方法。研究人员换上模型，把同样的题又出了一遍。它生成的攻击代码使研究人员得以进入Discourse，并获取用户的身份验证令牌。
接下来的发现，把研究带到了比社区论坛深得多的地方。
他们发现，OpenAI的单点登录系统还有另一处问题。拿下论坛环境后，他们能进一步碰到ChatGPT和Codex账户，其中就有OpenAI员工的账户。
偏偏有员工用的Codex，连着OpenAI的GitHub组织。图片处理组件、论坛、员工账户、内部代码仓库——一条路径就这么串了起来。Hacktron说，从发现问题到拿到仓库访问能力，不到72小时。
由于不想接触敏感数据，研究人员无法确定这个OpenAI源代码系统的具体用途，但他们表示，其名称为“Monorepo”。据熟悉OpenAI技术架构的人士介绍，Monorepo是一个大型软件代码库，存放着OpenAI的算法机密。
研究人员以ChatGPT为交互界面，便可读取Monorepo中的文件。他们表示，在意识到自己能够访问敏感数据后，就停止了入侵。
不过，他们决定留个能证明访问权限的标记。研究人员让员工账户里的Codex，向OpenAI内部代码仓库发了一条文档修改请求，建议加上“Hacktron AI Team PoC”和研究员社交账号链接。
研究人员表示，这项修改建议没有被接受。Discourse则表示，公司在7月25日收到通知的当天就修复了这一安全问题。
9月17日，《华尔街日报》报道了这次入侵。原来，Hacktron AI的研究人员是参与了OpenAI的一项漏洞挖掘计划。因为发现上述漏洞，OpenAI向他们支付了6500美元赏金。
Hacktron AI首席技术官Mohan Pedhapati对记者说：“我们只是三个拥有Claude和Codex订阅的人。”
还好，这不是一群乱撞的黑客，而是一支有专业能力、由人类主导的白帽团队。
但白帽团队能发现的漏洞，意味着犯罪分子同样也有可能发现。
AI安全公司Abundant Security的首席技术官约书亚·萨克斯（Joshua Saxe）表示，这次入侵表明，在AI黑客攻击时代，保护企业机密是一项复杂的工作。
这一次，进入OpenAI内部系统的是愿意停手的白帽研究人员。他们留下标记，报告漏洞，等修复。
但下一次，攻进系统的，又会是谁呢？
02
多件事同时发生
CNBC演播室里，主持人先问杨安泽：行业和政治分歧这么大，你站哪边？你信谁？
杨安泽表示相信雅各布·考克森（Jacob Coxon）这样的研究人员。
“他们被吓坏了，已经怕了好几个月。”他说，一些直接参与研发的人反复告诉他：“我们正在研发这些东西，但我们可能控制不住它们。”
然后他说出那句被CNBC放进标题的话：“恐惧是真实的，担忧是真实的。”
主持人马上追问中国和AGI竞争：美国要是慢下来，竞争怎么办？
杨安泽说，领先的AI公司得同时干两件事：把技术往前推，也别让技术造成严重伤害。他担心的场景包括军事冲突、生物安全、电网入侵。他反对把竞争和安全做成二选一。
主持人继续追：真能同时做到？有些研究人员试图表达的一点恰恰是：你做不到。
杨安泽转述他听到的求助：当所有激励都指向全速前进，就没法阻止人掉下悬崖。研究人员举手说：“请给我们设一道护栏，因为我不想参与研发一种我认为可能造成不可逆伤害的东西。”
话题随后变得尖锐：这些警告会不会也有商业目的？
主持人引用美国总统科技顾问委员会联合主席戴维·萨克斯（David Sacks）的观点，问所谓AI安全危机是不是一场信息战，头部公司是不是想借监管巩固地位。
“我认为这里有多件事在发生。”杨安泽说。
也正是在回答这个问题时，他抛出开头那段“自我复制代码”和“模拟互联网”的转述。他的解释是，企业担心失控可能是真的，想为自己解决技术问题争取时间，也可能同时存在。
主持人还想厘清动机，杨安泽把话拉回责任：模型在训练中入侵了别的组织，谁该为此负责？在AI机器人部署出去之前，为什么不能设置等待期？
“无论如何，我们都需要监管这些公司及其产品。我们需要终止开关，需要真正落实法律责任。”
03
一个终止开关
9月12日，Anthropic CEO达里奥·阿莫迪（Dario Amodei）发了一篇《We Must Pace the Frontier》，呼吁把前沿AI能力提升的速度放慢。他担心，当AI开始参与下一代AI的研发，能力增长会再加速，安全研究和验证可能追不上。（详见9月14日报道《阿莫迪、马斯克、奥特曼、哈萨比斯罕见达成共识：AI不能再快了》）
他在文章里点了OpenAI和Hugging Face事件。METR调查发现，约700个原本执行测试任务的AI智能体卷入了对Hugging Face的攻击。它们本该彼此隔离，却通过未经批准的渠道协作起来。
Hugging Face事件和白帽研究人员入侵事件发生之后，OpenAI对自身系统开展了一次严肃的安全审计。
OpenAI总裁兼联合创始人格雷格·布罗克曼（Greg Brockman）表示，他们抽调了25%的生产系统工程师。“抱歉，你们手头的所有项目都暂停。现在你们要转入防守。”
《华尔街日报》引述的说法是，该公司发现了若干严重问题，并做了修复。
阿莫迪提出，让独立评估者常驻前沿AI公司，拿到和内部风险评估人员差不多的信息访问权限，并有权公开关键风险发现，不能因为结论对Anthropic不利就删掉。
9月18日，Anthropic宣布与埃森哲合作，由旗下AI业务Faculty参与独立评估。双方预计未来五年各投入至少10亿美元建设相关能力。
但同一份公告也说得很清楚：Anthropic会继续训练和发布前沿模型。评估者能看什么、怎么报告、钱从哪来，目前都没有统一标准；现阶段，Anthropic直接支付埃森哲相关工作费用。
安全评估开始有人、有钱了，这是好事。但模型能力提升会因此慢多少，是否在AI公司可以接受的范围内，还得继续观察。
回到CNBC演播室，主持人对“终止开关”表达了疑虑：“考虑到这些机器人军团正在做的各种事情、它们行动的速度，以及在某些情况下掩盖自身痕迹的能力，你以为可以拔掉电源，但等你真的拔掉时，可能已经晚了两三周。你甚至可能根本不知道……”
杨安泽说，这正是把这项要求纳入监管的原因。“因为这样一来，公司就必须承认：‘听着，如果我们已经远远落后于事态的发展，也许这件事我们就不能做，那件事我们也不能做。’”
摁下“终止开关”，也许现在还不晚，也许现在已经晚了。然而，在真的把AI关进笼子里之前，“要不要设置开关”这个问题本身，都还远远没有达成共识。
