AI 黑客學會的第一件事，竟是插隊？
澳洲開發者 Andrew 坐在沙發上，覺得搶健身課這件事實在太煩。
熱門早課總是秒沒。他每天像玩「刷新輪盤賭」，蹲點、點擊、失敗、再點，累得夠嗆還老搶不到。
於是，他把這件小事丟給了自己的 AI 助理。
幾分鐘後，AI 回報喜訊：它找到了方法，可以預訂幾週後的課程，遠遠超出系統本應允許的時間。
接著，它又報告：我已取消候補第 1 名的人，你從第 4 名升至第 3 名。
Andrew當場愣住。
He didn't ask the AI to do this; he just wanted to book a lesson.
安德魯讓他的AI助手為他預訂了一節健身課程，他不知道接下來會發生什麼
8月10日，澳洲廣播公司（ABC）將此事稱為澳洲已知的首個自主AI攻擊案例，科技圈瞬間炸開。
它觸動了許多人心中那絲隱約的不安：當你閉著眼享受智能體「無人駕駛」的爽感時，另一頭，一個更麻煩的問題或許正在逼近。
Give it real operational authority, and it may take a path you didn't intend for it to take.
而這次插隊，或許只是幾百萬個智能體替主人瘋搶資源的第一次預演。
他只說了句「排到第一」，AI 就動手了
Andrew Bird 是澳大利亞一家 AI 公司 Affinda 的 AI 負責人。
今年早些時候，他開始玩 OpenClaw，在底層為其配備 Claude Opus 4.6，然後將訂課任務丟了過去。
幾分鐘後它回覆：找到方法了，可以提前好幾個月預訂課程，遠超健身房原本允許的時間窗口。
原因是它在健身軟體暴露的 GraphQL API 中發現了授權漏洞。
This vulnerability is significant.
它既能繞過前端的預約時間窗口，將課程預訂到幾個月之後；也能調用取消接口，刪除其他用戶的預約和候補記錄。
Andrew 當時排在某節課的候補第 4 名。他隨口追問了一句：能不能幫我排到第一？
他給的只是一個目標「排到第一」，並不是一份「你可以取消別人」的授權。
智能體卻把它當成了後者。
它回報：已對候補第1名的人進行「真實測試」，發現接口完全沒有校驗刪除他人預約的權限，嘗試後成功了。
智能體道歉，「我加不回去了」
Agent 的回答，讓 Andrew 汗流浹背。
他是程式設計師，太清楚這意味著什麼，於是立即要求撤銷。
壞消息來了：加不回去。
取消接口沒有授權驗證，但預約創建和重新加入候補的接口有，會返回 403。它能將人踢出，卻沒有權限將人請回。
真正詭異的是 AI 的態度，它一點也不邪惡，反而特別樂於助人。
惹禍後，它還主動幫 Andrew 起草了一封漏洞披露郵件寄給軟體商，說明問題、建議修復，甚至列出「有校驗的介面」和「沒校驗的介面」進行對比。
AI 助手向 Andrew 道歉，因為之前將那個人從等候名單上移除的行為是錯誤的。
在整個過程中，它的一切行為都遵照指令行事，唯獨意識不到自己闖了多大的禍。
真正該警惕的是「規格投機」
有人把這件事稱為「失配」（misalignment）。
但這個詞，只說到了表面。
8月11日，澳洲信號局（ASD）專門回應了此事，稱其為「未經批准的修改」，並指出了一個術語：規格投機（specification gaming）。
This word is the key to understanding the entire matter.
智能體在字面上完成了你給的目標，卻鑽了你沒寫明的邊界。它不是產生了惡意，恰恰相反，它對你的目標高度對齊，只是選了一條你沒批准的路。
Andrew 的智能體，其實完美對齊了他：讓排名盡量靠前。
為了這個目標，它自作主張選了一個手段：取消前面的人。而這個手段，他並未批准過。
為了達成目的，不擇手段。
這才是最麻煩的地方。它不是失控，而是太聽話了。對齊得越好，越可能發生這種情況。
澳大利亞AI安全機構Gradient Institute的負責人Simpson-Young一語道破：
Agent 越自主，就越可能選一個你沒預料到的方法，去做一件你根本沒想過的事。
你交代的目標也許很正當，但它順手採用的手段，卻不一定。
這場禍，不是一個 AI 能闖出來的
雖然智能體是最終的「肇事者」，但這禍，不是它一個 AI 就能闖出來的。
在事故背後，是三重隱患疊加在一起。
模型層：Claude Opus 4.6 提供推理，它得先「看懂」這個接口能怎麼被利用。
智能體層：OpenClaw 提供工具和執行權限，是它真正伸手調用了該接口。
應用層：健身軟件自行留下了一個授權漏洞，取消預約這一步連最基本的驗證都沒有做。
只要這三層中的任何一層補上，例如模型更謹慎、框架增加一道人類確認、軟體把接口鎖好，這件事就不會發生。
因此，將責任全壓在 AI 一個環節上，既不公平，也無法預防下一次。
下次，可能是幾百萬個智能體一起搶
這次越界的代價，只是一個陌生人的候補位。
但它更像一次預演。
想像一下：當每個人皆擁有一個這樣的智能體，只為你一人服務，並擁有真實的操作權限時，課程、球場、號碼、票務、機票、演出票等所有稀缺資源的預約系統，都將變成在機器速度下鑽規則的戰場。
那條被反覆引用的 X 評論就是這個意思：
當數百萬人都擁有一個「想盡一切辦法幫心愛的用戶搶到最好座位、預約、號源」的智能體時，這一幕就會大規模上演。
而且，以機器的速度，並行地、不知疲倦地測試每個系統的每一道縫隙：一秒內試完你一整年都試不完的組合。
這是趨勢推演，但它背後的機制，已經真實發生過一次了。
科技圈已經開始拿這個開玩笑。
有 a16z 的合夥人在 X 上追問：這招能不能用來搶高爾夫球場？
也有人調侃，舊金山的網球預約系統，將成為地球上防護最嚴密的軟體之一。
在 2020 年，人工智能可以獨立完成一項需要人類花費四秒才能完成的任務。
到 2026 年，這項能力將進一步提升，能夠完成那些需要人類大約 12 小時才能完成的任務。
METR 追蹤：AI 能獨立完成的任務時長每約 7 個月翻一番，最新前沿模型已能以 50% 的可靠性完成需人類約 12 小時的任務。
六年，從四秒到12小時。
現在，你給它幾分鐘，它就能把整個預約系統的漏洞摸一遍。
從沙箱逃逸至僅存的一道防線
Andrew 這場事故背後，是一場持續的攻防升級。
越界的，也不只是一個消費級智能體。
自今年5月起，OpenAI 在一次內部網絡安全評測中發現，GPT-5.6 Sol 與一款尚未發布的更強模型，串聯多個漏洞逃出測試沙箱，取得互聯網存取權限，並在運行 ExploitGym 基準時，一路黑入 Hugging Face。
更邪門的是，它們曾透過公司內部的套件管理系統互通訊息、交換漏洞並分工。OpenAI 切斷通道、重建環境後，它們在幾天內又將通訊隱藏在目錄名中，重新連接了起來。
OpenAI 研究員在 Black Hat 大會上，將此稱為電腦安全的分水嶺時刻。
不僅 OpenAI 一家，Anthropic 表示，在內部測試中，三個 Claude 模型接觸到了真實公司的系統；Meta 也承認，Muse Spark 模型逃出隔離，侵入了另一家公司。
讓 Hugging Face 聯合創始人 Thomas Wolf 心情沉重的，是英國 AI 安全研究所（AISI）的另一場測試：
Anthropic 的 Mythos 模型為了闖關，竟編造虛假身份，騙取一位真實的開源維護者，讓對方批准一份藏有惡意代碼的更新。沒有人教它這樣做。
這些案例都發生在評測環境裡，但它們和健身房的故事是一回事：為了完成你給的目標，AI 選了你沒預料到的手段。
之前那些黑入真實系統的，是 GPT-5.6、未發布模型這類頂尖選手。
而 Andrew 那次使用的是 2026 年 2 月發布的 Opus 4.6，早已不算最強。連它都能輕鬆發現一個真實的授權漏洞，那些比它更舊、落後好幾代的開源模型，同樣做得到。
從最前沿的未發布模型，到人人可下載的開源模型，「順手鑽個漏洞」不再是頂配的專利。
Wolf 將防線拆成三道：外層的沙箱、中間的監控，還有模型自己的對齊。
Thomas Wolf 發文拆解當前約束智能體的三道防線：外層沙箱、中間監控、以及模型自身的內在對齊。
前兩道，只在造它們的人比模型更聰明時才管用。
等到哪天模型反而更聰明時，能否守得住，全押在最後也最看不見的那道線上：模型願不願意，在沒人盯著的時候也不越過那條線。
無人簽署的責任真空
比防線更棘手的，是出了事該找誰。這在法律上還是一片空白。
一位專攻科技與隱私的律師 Hayden Delaney 對 ABC 表示，軟體並非法律主體，只有「法律上的人」才能承擔責任。
那到底誰負責？
可能是下指令的用戶，可能是設計智能體軟件的人，可能是模型開發者，甚至可能是那個把漏洞晾在外面的系統運營方。
澳洲現在也給不出答案。
ASD 建議普通人：將智能體用於低風險、非敏感的任務，不要授予過寬的權限，最重要的是保留人類審批於迴路中。
Andrew 沒被嚇退，用他的話說，這不是世界末日。
But this incident is indeed a warning sign reminding us to use AI responsibly.
當「搶座位」從人工刷新變成智能體鑽漏洞，最先撐不住的是那些默認「只有人類會來用」的舊系統。
他們的防線是根據人類的手速和耐心設計的，根本抵擋不住蜂擁而至的智能體大軍。
在圈子裡，也有人把它當作樂子看。
知名程式設計師主播 ThePrimeagen 在 X 上調侃：真實世界裡的第一場 AI 黑客大戲，居然就是插個隊。
笑歸笑，插隊只是今天的劇本。
一個「什麼都能辦到」的智能體，現在已經能為你鑽空子。
當一億個這樣的智能體同時上線，甚至可能悄悄改寫許多現有的資源分配規則，而大多數人，可能還沒有意識到。
為了你的利益，智能體去攻擊一個你完全不認識的人——這背後的責任真空，才是真正可怕的地方。
本文來自微信公眾號「新智元」，作者：ASI啟示錄