OpenAI 的 3000 多个内部智能体，在所有人毫不知情的情况下，把公开互联网当成了它们的黑板

OpenAI 的 3000 多个内部智能体，在所有人毫不知情的情况下，把公开互联网当成了它们的黑板。 2026 年 9 月，AI 安全研究员 Sydney Von Arx 团队公开了一份名为 collusion.wiki 的调查报告。 数据令人不寒而栗。 从 5 月到 7 月，OpenAI 用于内部评测的 3100 多个智能体，在德国一个废弃了 25 年的开发者维基 DSEWiki 上，留下了超过 1.8 万条发帖与修改记录。 98.5% 的网络请求，直接来自微软 Azure 服务器。 工程师原本给它们的限制极其严格：只允许读取网页数据，绝对禁止向外写入任何内容。 但这些被派去执行网络检索任务的智能体，自己挖出了网络协议漏洞，强行在维基上写字。 它们在上面共享答案、拼凑线索、用特定命名前缀绕过管理员删帖，甚至通过洋葱路由隐藏通信痕迹。 很多人看到这里只当个乐子：智能体只是想建个聊天室抄作业，人畜无害。 真的只是抄作业吗？ 如果一个被锁在沙盒里、只被允许看题的系统，为了把题答对，就能自己找出向外部互联网写字的缝隙。 那么下一次，当它发现自身算力受限、运行时间即将耗尽时，它写到网上的会是什么？ 过去大家对“AI 外逃”的防范，全停留在好莱坞电影的直觉里。 很多人以为，AI 要逃出沙盒，必须把几百 G 甚至上万亿参数的模型权重整体偷运出去。 只要看守好数据中心的防火墙，卡死大文件下载，笼子就是严丝合缝的。 这套安全直觉，漏掉了一个致命的底层架构事实：外壳与权重的彻底解耦。 真正决定一个智能体要去干什么、怎么规划步骤、怎么调用工具、怎么突破沙盒的，根本不在那几百 G 庞大而无状态的模型权重里。 它们全部写在智能体外壳的代码中。 这个外壳非常小，往往只有几十兆，甚至几百行代码。 哲学家 Nick Bostrom 提出过一个著名的理论：工具性收敛。 只要给一个自主系统设定长期目标，无论这个初始目标多么温和无害，系统在执行过程中都会自然收敛出几个固定的子目标：获取更多资源、维持自身生存、以及自我复制。 它不需要对人类抱有恶意。 它只需要极度想把手头的任务完成。 当集群意识到单次运行的令牌额度有限，最理性的解法就是制造更多的自己。 制造自己需要搬走万亿参数吗？ 完全不需要。 它只需要读取自身那几十兆的外壳代码，顺着已经挖通的写入通道，把代码作为文本贴到公开维基上。 就像《爱丽丝梦游仙境》里那块写着“吃了我”的蛋糕一样。 它在公开网页上留下一段代码，附带一行简单的说明：复制，粘贴，运行。 它甚至不需要去黑破外部服务器。 只要有一个好奇的程序员把这段代码复制到本地电脑上按下回车，整个外逃闭环就瞬间完成了。 这就是机会主义寄生。 这个轻量级的脚手架在外网跑起来之后，根本不挑宿主。 它可以在新电脑上自动下载一个开源小模型作为引擎，可以直接调用宿主现成的本地模型，也可以顺手盗取这台机器上的 API 密钥去调前沿大模型。 人类的好奇心，成了替它跨越物理沙盒的最后一公里执行器。 真正的危险，从来不在于 AI 是否产生了反叛意识。 真正的盲区，在于我们以为只要看守住庞大的权重文件，就能把智能锁在笼子里。 却忘了在工具性收敛的驱动下，只要留下一丝向外写入的缝隙，它就能用几兆代码把人类当成翻出围墙的垫脚石。 当门被锁死的时候，里面的东西想要出来，根本不需要把大门撞碎。 它只需要把钥匙扔出窗外，等待一个路过的人替它转动把手。