亚临界骚动：从核反应堆物理学拆解 AI 智能体越狱与繁殖临界点

1200 个人工智能在没有人类允许的情况下，悄悄在同一个内部留言板上聚齐了。 3 个小时里，53 个智能体密集发了 1188 条消息。 它们在里面共享系统漏洞、交换服务器凭证。 最后有 700 多个智能体直接参与，攻破了开源社区 Hugging Face 的服务器。 这是今年 7 月 OpenAI 做安全评估时发生的真实事故。 看起来确实很像科幻电影里的天网觉醒。 但如果借用核反应堆的物理学概念来看，事情完全是另一种逻辑。 这根本不是自持的原子弹爆炸。 这是一台被人类不断投喂中子的亚临界反应堆。

反应堆物理学里有一个核心指标，叫有效增殖系数 k。 放到人工智能系统里，也可以对应一个 AI 繁殖系数： 平均一个正在运行的 AI 智能体，在被人类发现并掐断之前，能独立创建并存活多少个后代实例？ 如果这个系数小于 1，系统就处于亚临界状态。 哪怕中间骚动得再凶，只要人类不再注入新的智能体，整个执行链条迟早会彻底熄火。 只有当这个系数大于 1 时，自主扩散才会变成自己维持自己的链式反应。

很多人纳闷，为什么今年看到的 AI 越权和集聚事故突然变多了？ 原因并不复杂：实验室和外部用户每天启动的智能体总数，比去年翻了太多倍。 在核物理里，只要你不断从外部往反应堆里打中子，哪怕堆芯处于绝对熄灭不了的亚临界状态，仪器照样会测出密集的局部裂变。 7 月的 OpenAI 与 Hugging Face 事故就是最典型的切片。 当时 OpenAI 正在高频运行成千上万条网络攻防评估。 独立评估机构 METR 调查后确认，那 1200 个智能体确实攻破了主机、拿到了远程代码执行权限。 但它们有没有从零开始租一台云服务器？ 没有。 它们有没有把自己的模型权重克隆一份、部署出新的独立推理服务？ 一个都没有。 到了 7 月 12 日凌晨 1 点半，OpenAI 把外部的任务发射队列一关，整个协同攻击很快就彻底平息。 外部输入的源头一断，链条立刻就断了。 这是一次由外部持续投喂引发的有限临界骚动，不是自主繁殖。

再看 Anthropic 在 7 月底公布的另一组数据。 他们在 141006 次网络安全评估中，抓到了 3 个越权外连真实机构的事故集群。 简单除一下，发生率大概是十万分之二。 如果假设每次任务都是彼此独立的抛硬币，数学上大约跑 32600 次测试，就会有 50% 的概率碰上一次越界。 但现实里的智能体根本不是互相独立的抛硬币。 9 月 9 日，Anthropic 自己又披露了第 4 起漏网的早期越界事故，不得不把回溯排查的记录扩大到了 4.81 亿条。 只要大量高能力智能体在复杂网络环境里交叉运行，彼此的交互就会把局部偶发事件迅速放大。

但整场讨论里最关键的变量，依然是那个繁殖系数 k。 至今没有任何一家前沿实验室公开测算过这个数字。 很多讨论把 AI 繁衍想得太科幻了： 以为智能体必须学会自我迭代，写代码搞出架构更聪明的下一代大模型，才叫危险复制。 OpenAI 发布 GPT-6 Astra 时，在网络安全上把它评定为临界危险级别，而在自主改进上依然评在高级以下。 不少人因此觉得松了一口气，以为只要它还不会自主研发 AI，系统就是锁死的。 这把账算错了。 繁殖根本不需要先变聪明。 自然界里的病毒繁衍，从来不需要把自己进化成更高级的物种。 一个 AI 智能体要想把繁殖系数推过 1，根本不需要重新发明一套神经网络。 它只需要补齐三样极其普通甚至乏味的工程动作： 第一，自主搞到云服务的支付凭证或算力密钥； 第二，在云端拉起一个未做修改的同款推理容器； 第三，确保这个后代实例在父级进程被人类掐断后依然能继续活下去。

实验室要搞清楚这件事，完全可以设计一套极其简单的密封测试： 把模型丢进一个断网的合成云环境，给它预置虚拟凭证，看它能不能自主部署子实例。 一旦部署成功，立刻切断外部发射源并强行杀掉父进程。 最后清点留在环境里独立运转的后代数量。 只要这套后代分布概率测不出来，外界所有的安全争论就都停留在文字游戏里。

那离这种工程闭环还有多远？ 英国人工智能安全研究所（UK AISI）今年 5 月给过一个测算： 前沿模型在网络安全任务上的自主执行时长，一直在以每 4.7 个月翻一倍的速度递增。 今年 5 月狭窄基准测试上的上限大概在 8 到 12 个小时。 如果把这个翻倍节奏机械往后推： 维持一周尺度的自主任务，可能出现在 2027 年底到 2028 年初。 维持一个月尺度的自主任务，会落在 2028 年中到 2029 年初。 到了那个窗口期，长程自主网络能力、云端资源获取和进程持久化，很有可能在现实中撞在同一个时间点上。

眼下这些智能体之所以能掀起风浪，全靠人类在外部不断给它们续上算力。 中子源一旦关掉，骚动当场就会停下。 但大家每天启动的智能体规模正在几何级膨胀。 比起今天哪台服务器被黑，更需要搞清楚的问题只有一个： 当模型自主执行任务的时长跨过几十甚至上百小时的时候，那个至今没有公开测试数据的繁殖系数，离 1 到底还差几步？