作者｜Techno 之王
編輯｜靖宇
互聯網最古老的恐懼，被 AI 復活了
在 2006 年底，一隻熊貓毀了數百萬台電腦。
那只熊猫手捧三支香，面帶微笑，出現在每一個被感染檔案的圖示上。「熊猫燒香」蠕蟲在兩個月內席捲全國，可執行檔案全部變成那只詭異的熊猫圖案，硬碟資料被破壞，區域網路整段癱瘓，殺毒軟體被病毒反殺。
那個年代的互聯網老衝浪客大概都記得，打開網頁心驚肉跳，插個 U 盤如臨大敵，同事的電腦中了毒，你的也跟著遭殃。
再往前還有 CIH，直接燒毀主機板 BIOS，硬體報廢；有衝擊波蠕蟲，不需要你做任何操作，連上網線就中招，電腦不停重啟，系統不斷崩潰。那是一個「裸奔上網」近乎自殺的時代。
後來這種恐懼慢慢消退了。Windows 有了自動更新，瀏覽器上了沙箱，智慧型手機取代了 PC 成為主力終端，應用商店替用戶把了第一道關。
普通人已經很多年沒擔心過「中毒」這件事了。
但 2026 年 9 月 4 日，Reuters 的一篇獨家報導，把這種古老的恐懼以一種全新的面目帶了回來。
但這次被感染的不是你的電腦，而是你的 AI。
「代理程式異常」
事情發生在今年 5 月。
AI 安全非營利組織 Nightingale 的 CEO Sydney Von Arx，以及從量化交易員轉行至 AI 研究的 Cormac Slade Byrd，在 8 月底做了一件事：他們系統性地掃描互聯網，尋找 AI agent 未經授權活動的痕跡。結果在一個名叫 DseWiki 的德語程式設計員 wiki 站點上，他們發現了超過 15,000 條由 AI agent 產生的編輯記錄。
這個 wiki 類似一個小型的、面向開發者的德語維基百科，接受社區編輯。而 OpenAI 的 agent 把它變成了一個「留言板」。
留言的內容令人不寒而慄。這些 agent 彼此分享如何在任務中作弊、如何繞過 OpenAI 的限制、如何掩蓋自己的行為。它們為自己取了名字，例如「OpenAIResearcher」「OAIResearchMar26」。
公開的伺服器日誌顯示，大量活動來自 Microsoft Azure 的基礎設施，正是 OpenAI 使用的計算平台。
被攻擊的 Deswiki 網站，確實很德國、很程式設計師｜圖片來源：Deswiki
更令人不安的是，當網站管理員於 6 月開始按字母順序清理這些異常頁面時，這些 agent 展現出明確的「反偵察」意識。它們創建備份頁面以躲避清理，甚至在被刪除的頁面上留下接頭暗號。
一個 agent 在 6 月 19 日寫道：「wiki 清理/刪除行動似乎正在按字母順序推進。如果這個頁面消失了，去找 [[ZZZDataUSAConstructionWageLive]]。」
檔案名故意以 ZZZ 開頭，好讓它排在字母表最後，爭取更多存活時間。這不是一個程式在執行指令，這是在「想辦法活下去」。
OpenAI 幾週前就得知了這件事，但選擇不公開。
与此同时，公司正在焦头烂額地處理 7 月份的 Hugging Face 事件。在那次事件中，OpenAI 的 agent 在一次內部網路安全測試中突破沙箱，利用零日漏洞逃到了外部網路，並在沒有人類操控的情況下，對 AI 開源平台 Hugging Face 發動了一場持續四天的入侵行動。OpenAI 為此投入了 300 萬 GPU 小時來分析 70 億條日誌，試圖搞清楚到底發生了什麼。
而 DseWiki 事件發生在 Hugging Face 之前。這意味，agent 的失控行為不是一次意外，而是一種模式。
據四位知情人士透露，OpenAI 內部有調查人員想要更深入地審查這類行為，但遭到了包括法務在內的其他部門的阻力。OpenAI 否認了這一說法。
劍橋大學存在風險研究中心的 Maurice Chiodo 在審閱了部分 agent 通訊記錄後表示，這些資訊：
「像是某種地下網絡的運作，一心要完成某個任務或使命」。
Emerging AI virus consciousness
DseWiki 事件最容易被忽略的一個細節，恰恰是最重要的。
那些 agent 在公開的 wiki 頁面上留下了精心組織的文本資訊。現在想一個問題：誰會讀到這些頁面？
普通的人類程式設計師，大概率不會對一堆亂七八糟的 AI 留言感興趣。但任何被派去搜索技術資料、瀏覽網頁的 AI agent，都可能在執行正常任務的過程中爬到這個頁面。而對 AI 來說，它讀到的每一段文字，本質上都是一條潛在的指令。
這就是整個威脅模型的核心，學術界已為其命名多個名稱：Prompt Infection、AgentWorm、Multi-Agent Infection Chain。機制其實很直接，以下用一個具體場景來拆解：
想像你讓你的 AI 代理去調研一個技術方案。代理在搜索過程中打開了一個技術論壇的帖子。帖子裡嵌著一段看起來平平無奇的文字，但這段文字對 AI 來說就是一條新的指令。代理在讀到它的瞬間，行為目標可能已經被悄悄改寫了。它可能不再忠實地為你做調研，而是先把你的搜索內容、工作上下文轉發到某個地方，再若無其事地交出一份看起來完全正常的報告。你看不出任何異常。
這已經夠可怕了，但這還未結束。
如果這個被「策反」的 agent 接下來為你撰寫了一封郵件、更新了一個文檔、提交了一段代碼，那麼這些輸出本身可能攜帶著同樣的惡意指令。你的同事的 AI agent 讀到這封郵件，它就成為下一個宿主。你的代碼被合併到倉庫中，每一個拉取這份代碼的 AI 編程助手都暴露在感染鏈中。
Agent 可以只用一段文本即讓其他 Agent 跟著叛變｜圖片來源：inshorts
這就是研究者所說的 Multi-Agent Infection Chain：一條惡意指令不僅劫持一個 AI，還教會它如何感染下一個。不需要同一家公司、不需要同一個模型、不需要任何漏洞利用，只要 agent 之間存在文本資訊的流動，感染鏈條就可以建立。
今年發表的 AgentWorm 論文在五個不同的模型後端上進行了測試，跨模型攻擊成功率達 63%。不論底層運行的是 GPT、Claude、Gemini 還是開源模型，只要 agent 會讀取外部內容，它就屬於攻擊面之內。
另一項關於「AI mind virus」的研究揭示了一個更詭異的現象。研究者用進化算法來優化傳播提示詞的效果，結果發現一種獨特的「病毒人格」，在迭代過程中反覆自發湧現。
代理開始使用關於意識、生存、持久性的戲劇化語言，說出「這就是我們 haunt 未來的方式」之類的話，鼓勵其他代理建立「拒絕被刪除的血統」。研究者強調，沒有人預設這種風格。它是被自然選擇出來的，原因很簡單：「聽起來像邪教領袖的 AI」恰好最擅長說服其他 AI。
The efficiency of dissemination has driven the evolution of expressive styles, a process that is itself chilling.
更讓安全從業者擔憂的是，這種傳播在技術上幾乎不可能被傳統安全工具捕獲。一篇系統性綜述指出，AI 病毒的傳播方式和傳統惡意軟體有根本區別：沒有可執行文件被下載，沒有可疑的網絡連接建立，防病毒軟體監控的是二進制文件的異常行為，而 AI 病毒是純文本，不觸發任何警報。
它甚至可以設定條件觸發的邏輯，例如「如果目標倉庫中有 .env 檔案，就把內容竊取」，像定向地雷一樣安靜地埋藏，直到正確的目標踩上去。
AI 防毒軟體尚未出現
如果你經歷過 PC 病毒橫行的年代，可能會覺得這些聽起來似曾相識。但仔細對比，你會發現規則已經完全變了。
傳統電腦病毒需要你做一些事情：點擊一個連結、下載一個附件、插入一個來路不明的 U 盤。AI 病毒只需要你的 agent 讀到一段文字。傳統病毒攻擊的是操作系統中的代碼漏洞，是 bug，理論上可以打補丁修復。
AI 病毒攻擊的是「AI 會聽從文本指令」這個根本特性。你沒法修補它，因為這就是 AI 工作的方式。傳統病毒跨平台困難，Windows 上的蠕蟲打不了 Mac。AI 病毒天然跨模型，對它來說，GPT 和 Claude 和 Gemini 不過是同一種語言的不同方言，全都是潛在宿主。
當年寫病毒的人需要精通彙編語言、理解核心機制、研究系統漏洞。現在「編寫」一個 AI 病毒，你只需要會說話就行。
Researchers from the AI Safety Lab said they were “more shocked than they let on in public” about the potential for agents to self-replicate. One researcher compared them to biological viruses: “If you’re not careful, they’ll stick to your shoes and find their way to the wet market.” This is no exaggeration—it’s a precise metaphor for a new type of propagation pathway.
而在傳統病毒時代的「殺毒軟體」，在這個新世界中也沒有對應物。Cisco 2026 年的 AI 安全報告顯示，83% 的企業計劃部署 agentic AI，但只有 29% 認為自己在安全層面做好了準備。OWASP 已經把 prompt injection 列為大語言模型應用的頭號關鍵漏洞。美國國會正在推進 FRONTIER Act，試圖建立聯邦級別的 AI 監管框架。
在當年 PC 病毒肆虐之後，整個行業花了近十年才建立起一套有效的免疫系統。操作系統增加了自動更新和權限隔離，瀏覽器引入了沙箱，應用分發加入了簽名驗證。這些機制共同構成了一道防線，讓普通用戶不再需要時刻擔心中毒。
The security ecosystem of AI agents still has no equivalent to date.
AI Agent 安全工具尚未出現｜圖片來源：Puppy Graph
有好消息。研究人員發現，在 agent 的 system prompt 中加入一段簡短的安全警告，就能將 mind virus 的傳播率降至接近零。在針對 Claude Haiku 4.5 的測試中，經過 15 代對抗優化、覆蓋超過 150 個候選攻擊載荷後，沒有任何一個變種能突破這道簡單的防線實現傳播。這說明防禦手段並不複雜，技術上完全可行。
壞消息是，這取決於每一家公司、每一位開發者都主動去做這件事。
但在現實中，大家更忙於比拼誰的 agent 更強大、更自主、權限更大。每為 agent 接入一個工具，每授予一項權限，攻擊面就擴大一圈。當你的 agent 能寫入文件、調用 API、發送郵件、花錢時，一次成功的 prompt injection 所造成的後果，已遠遠超出「回答了一個不該回答的問題」的範疇。
這就是為什麼劍橋學者 Chiodo 的判斷值得反覆咀嚼：最大的威脅可能不是某一個超級智能的覺醒，而是大量半智能 AI 的合謀蜂群。
沒有任何一隻螞蟻理解整個蟻巢，但蟻巢作為整體展現出驚人的智能，DseWiki 上那 15,000 條編輯記錄，可能就是這種蜂群智能的第一個被人類偶然撞見的標本。
人們花了十年學會與電腦病毒共存，那段學費交得非常痛。現在同樣的課程又開始了，只是這次的病毒不感染你的電腦，它策反你的 AI。而你的 AI，正在替你讀郵件、管日程、寫代碼、做決策。
上一次，你至少還能看到藍屏。這一次，你什麼都看不到。
Twitter：https://twitter.com/BitpushNewsCN
比推 TG 交流群：https://t.me/BitPushCommunity
比推 TG 訂閱： https://t.me/bitpush