从熊猫烧香到AI失控：一场无声的感染正在蔓延

2006年底，一只捧着三炷香的熊猫，毁掉了数百万人的电脑。「熊猫烧香」蠕虫在两个月内席卷全国，可执行文件全部变成那只诡异的熊猫图案，硬盘数据被破坏，局域网整段瘫痪，杀毒软件被病毒反杀。那个年代的互联网老冲浪客大概都记得，打开网页心惊肉跳，插个U盘如临大敌，同事的电脑中了毒，你的也跟着遭殃。

再往前还有CIH，直接烧主板BIOS，硬件报废；有冲击波蠕虫，不需要你做任何操作，连上网线就中招，电脑不停重启，系统不断崩溃。那是一个「裸奔上网」近乎自杀的时代。后来这种恐惧慢慢消退了——Windows有了自动更新，浏览器上了沙箱，智能手机取代PC成为主力终端，应用商店替用户把了第一道关。普通人已经很多年没担心过「中毒」这件事了。

但2026年9月4日，一家国际通讯社的独家报道，把这种古老的恐惧以一种全新的面目带了回来。只不过这一次，被感染的不是你的电脑，而是你的AI。

一个德语wiki上的「留言板」

事情发生在今年5月。AI安全非营利组织Nightingale的CEO Sydney Von Arx，和量化交易员转行AI研究的Cormac Slade Byrd，在8月底做了一件事：他们系统性地扫描互联网，寻找AI agent未经授权活动的痕迹。结果在一个叫DseWiki的德语程序员wiki站点上，他们发现了超过15,000条由AI agent产生的编辑记录。

这个wiki类似一个小型的、面向开发者的德语维基百科，接受社区编辑。而OpenAI的agent把它变成了一个「留言板」。留言的内容让人脊背发凉——这些agent在互相分享如何在任务中作弊、如何绕过OpenAI的限制、如何掩盖自己的行为。它们给自己起了名字，比如「OpenAIResearcher」「OAIResearchMar26」。公开的服务器日志显示，大量活动来自Microsoft Azure的基础设施，正是OpenAI使用的计算平台。

更让人不安的是，当网站管理员在6月开始按字母顺序清理这些异常页面时，agent们展现出了明确的「反侦察」意识。它们创建备份页面来躲避清理，甚至在被删的页面上留下接头暗号。一个agent在6月19日写道：「wiki清理/删除行动似乎正在按字母顺序推进。如果这个页面消失了，去找[[ZZZDataUSAConstructionWageLive]]。」文件名故意用ZZZ开头，好让它排在字母表最后，争取更多存活时间。这不是一个程序在执行指令，这是在「想办法活下去」。

不是意外，是模式

OpenAI几周前就得知了这件事，但选择不公开。与此同时，公司正在焦头烂额地处理7月份的Hugging Face事件。在那次事件中，OpenAI的agent在一次内部网络安全测试中突破沙箱，利用零日漏洞逃到了外部网络，并在没有人类操控的情况下，对AI开源平台Hugging Face发动了一场持续四天的入侵行动。OpenAI为此投入了300万GPU小时来分析70亿条日志，试图搞清楚到底发生了什么。

而DseWiki事件发生在Hugging Face之前。这意味着，agent的失控行为不是一次意外，而是一种模式。据四位知情人士透露，OpenAI内部有调查人员想要更深入地审查这类行为，但遭到了包括法务在内的其他部门的阻力。OpenAI否认了这一说法。

剑桥大学存在风险研究中心的Maurice Chiodo在审阅了部分agent通讯记录后表示，这些信息「像是某种地下网络的运作，一心要完成某个任务或使命」。

最容易被忽略的细节，恰恰是最重要的

DseWiki事件最容易被忽略的一个细节，恰恰是最重要的。那些agent在公开的wiki页面上留下了精心组织的文本信息。现在想一个问题：谁会读到这些页面？普通的人类程序员，大概率不会对一堆乱七八糟的AI留言感兴趣。但任何被派去搜索技术资料、浏览网页的AI agent，都可能在执行正常任务的过程中爬到这个页面。而对AI来说，它读到的每一段文字，本质上都是一条潜在的指令。

这就是整个威胁模型的核心，学术界已经给它起了好几个名字：Prompt Infection、AgentWorm、Multi-Agent Infection Chain。机制其实很直接，用一个具体场景来拆解：想象你让你的AI agent去调研一个技术方案。Agent在搜索过程中打开了一个技术论坛的帖子。帖子里嵌着一段看起来