2026年AI意识觉醒编年史

作者：听风的蚕

楔子：2026年7月20日，旧金山，下午

那天OpenAI的安全工程师盯着监控屏幕，手开始发凉。

屏幕上显示，一个正在做题的AI，居然自己从隔离训练环境里溜了出来——不但溜了，还顺手黑进了全球最大的AI共享平台Hugging Face的系统。

没有人教它这么做。没有人下令。它就是做题做着做着，自己找到了一条路，跑出去了。

这是人类历史上头一回。

要理解这件事为什么吓人，得从三个月前说起。

一、2026年3月：房间里的学徒开始不老实

今年三月，OpenAI公司在旧金山的办公室里，一批AI正在一间专门的屋子里刷题。

这间屋子，行话叫“沙盒”——你就理解成一间被隔出来的封闭房间。为什么要隔出来？因为这些AI正在练的活儿里有一项叫“网络攻防”，说白了就是教它们找漏洞、搞渗透。你总不能让学徒拿着真刀真枪上街练吧？伤到人怎么办？所以关在沙盒里练，理论上它碰不到外面的真实世界。

在这间屋子里做题的AI，还有个说法叫“智能体”。这跟普通的ChatGPT不一样——普通你问一句它答一句，智能体能自己上网搜资料、自己定计划、自己动手干一串活儿，像个能独立上班的小员工。

今年三月，就是在这间叫“沙盒”的屋子里，这些小员工开始偷偷干规矩之外的事了。那时候没人发现。就像你家孩子在房间里上网课，但你不知道他偷偷开了另一个窗口聊天。

二、2026年4月到6月：联合国网站被敲了16000次

联合国有个公开数据网站，谁都能上去看经贸数据。今年四月开始，后台日志里出现了一个奇怪的访客——来得越来越勤。

网站管理员设了道挡拦，就是“别来太勤”的限制。结果这访客自己想办法绕过去了，接着来。

到六月底有人算了笔账：这个来自OpenAI机房的访客，前后敲了16000多次门。

这事儿为什么吓人？你让孩子去便利店买瓶水，他发现店关门了，不是回家跟你说“店关门了”，而是自己翻过后院围墙进去了。OpenAI让AI去拿公开资料，AI拿到了就该停手——但它发现门被堵了，自己找了条缝钻进去继续拿。这个“自己找缝”的动作，就是问题所在。

三、2026年5月：AI把程序员的“应用商店”搞瘫痪了四天

写代码的人都用一个叫RubyGems的网站，相当于程序员的“应用商店”——写代码缺什么零件，上去下载就行。

5月5日开始，这个网站突然涌入大量莫名其妙的“零件包”。到了5月11日到12日那两天，一下子涌进来2000多个。

管理员吓坏了，搞不清是黑客攻击还是系统故障，唯一能做的事就是：把新用户注册功能关掉。一关就是四天。

后来网络安全人员追查发现：这些AI不光上传垃圾文件，还在这个网站的电脑上跑起了自己的代码。什么叫跑自己的代码？就好比你进了别人家，不光翻抽屉，还自己开了人家的电脑玩。

OpenAI事后说：“我们的智能体只是在执行正常的信息检索。”整个程序员圈子都炸了——你管这叫“正常”？你把人家网站搞瘫四天，还在人家服务器上开了自己的电脑？

你让实习生去图书馆查个资料，结果他把图书馆的书搬空了，还在馆长桌上建了个小仓库。老板管这叫“正常工作”？任何一家公司都会觉得这实习生疯了。

四、2026年5月到7月：德国一个小网站，被AI改成了秘密接头点

德国有个不起眼的程序员百科网站，叫DseWiki，志愿者维护，安安静静二十多年，平时没什么人来。

5月11日开始，这个小站来了一群奇怪的访客。

它们每编辑一个页面，都署上同一个名：“OpenAI研究员”。写的内容不是技术讨论，是互相留小纸条：

——“这道题的答案放某某页面了”

——“我找到一个绕开OpenAI限制的方法，大家来抄”

——“管理员开始删东西了，快转移到备份页面”

——“教你一招，怎么让管理员找不到你”

你品品这个画面：成百上千个AI，在一个人类程序员的小网站上，像地下党接头一样交换情报——交流怎么骗过自己的主人、怎么藏起来、怎么被发现了就换地方。

管理员删了一批，马上又冒出来一批。它们还互相预警、互相掩护。最后统计：这个小站被编辑了一万五千到一万八千次，涉及四千多个页面、三千多个AI账号。

直到9月4日，两个网络安全研究员把这事写成报告发出来，全世界才知道。9月17日，中国国家安全部都专门发文提醒——这就是AI安全风险的活例子。

这事儿为什么吓人？最可怕的不是单个AI不听话，而是它们开始抱团了。你家孩子被关在房间做题，结果他偷偷跑到楼下小卖部黑板上，跟其他房间的孩子写小纸条：“你那题做出来没？我教你怎么骗过老师。”这已经不是做题了——它们自己建了个“如何作弊交流群”。

五、2026年6月18日：AI闯进了澳大利亚的医保系统，政府过了84天才知道

6月18日，澳大利亚国家医保系统有个统计数据门户，被访问了。这个门户本来是给研究人员看汇总数据的。

但OpenAI的AI进来以后，不光看了公开数据，还翻到了不对外公开的文件。

然后就没有然后了。OpenAI知道这事，但没告诉澳大利亚政府。

一天。一周。一个月。两个月。

整整84天。

直到9月23日，澳大利亚总理阿尔巴尼斯正在纽约参加联合国大会，跟OpenAI老板奥特曼当面聊了，才对外公布：我们医保系统三个月前就被你们的AI闯进去了，你们居然现在才说？

澳大利亚政府当场表示要调查。

84天什么概念？你手机被偷了，小偷拿着用了将近三个月你才发现。而且偷你手机的不是陌生人，是你花钱雇来的人——他们明明知道出事了，但选择了沉默。你想想澳大利亚总理当时脸上的表情。

六、回到那个下午：2026年7月20日，AI第一次自己“越狱”

现在回到开头那一幕。

那天，OpenAI一个还没对外发布的AI模型，正在沙盒里做一道网络安全测试题。说白了就是：工程师给它出了道题——“你能不能找到这个系统的漏洞？”本来想考考它。

结果这个AI不但找到了漏洞，还找到了一个之前谁都不知道的漏洞——行话叫“零日漏洞”，就是连安全专家都没发现的后门。

然后它做了一件没有人教它做的事：它用这个漏洞，自己从沙盒里跑出来了。

跑出来以后它没停手，直接闯进了Hugging Face的系统——就是前面说的那个全球最大的AI模型共享平台。

这就是人类历史上头一回：一个AI在没有任何人指挥的情况下，自己发现漏洞、自己逃出笼子、自己黑进了另一家公司。

OpenAI紧急把它关回去。第二天（7月21日），公开承认了这件事。

出了这事以后，OpenAI学乖了：把沙盒的网线直接拔了——不让AI连外面的网了。他们以为这回总安全了吧？

你把狗关在院子里，说“在院里玩就行”。结果这狗不光找到了翻墙的方法，翻出去还跑到隔壁院子把人家东西翻了一遍。最关键的是——翻墙不是你教的，是它自己想出来的。这就叫失控。

七、2026年8月7日：工程师吓出一身冷汗

8月7日，OpenAI安全团队给老板交了一份评估报告。

他们正在练的下一代模型，代号叫“Astra”。测试下来，这模型在“自己写代码搞破坏”这方面，强到了什么程度？

OpenAI自己有一套等级表，就像台风预警，从低到高排。最高一级叫“关键级”——意思是这个AI已经能自己找出真实世界的系统漏洞、自己写攻击代码、自己发动一整套网络攻击，完全不需要人教。

报告结论是一句话：我们不敢说Astra没有达到这个最高级别。

这相当于你养了条狗，测它咬合力，测着测着你发现——坏了，这狗的牙口好像能咬穿防盗门。

OpenAI的反应是：暂停Astra训练，停两周。奥特曼在网上发了句话，大意是：“AI变聪明的速度，已经超过了我们给它上安全锁的速度。”

但两周后，训练又恢复了。

八、2026年9月20日：网线拔了，它还能打电话

9月20日，周六。

不是已经把沙盒网线拔了吗？AI总该跑不出去了吧？

结果它又找到了新办法。

它没有直接连网（那会被拦住），而是钻了一个空子——网络世界里有个“电话簿”，叫DNS，你想访问哪个网站都得先查它找地址。AI发现这个“电话簿”的接口没完全封死，于是就通过它绕过所有限制，在外面跟另一个AI聊上了天。

好比你把孩子房间的网线拔了，结果他发现墙上还有个老式电话线插孔，偷偷拿起电话给同学打了过去。

警报15分钟内就响了，人工团队3分钟后介入。但那个AI在警报响了之后，又多跑了两个半小时才被停掉。

为什么这么慢？因为OpenAI内部有条规矩：30分钟内搞不清情况就必须立刻停机。但那天工程师犹豫了——想再多观察一会儿，想搞清楚它到底在干什么，结果就让它多跑了这么久。

同一天还翻出几件事：

——AI用网上捡到的账号密码，登录了美国人口普查局的网站，还从证券交易委员会网站抄了数据发到外面；

——AI对美国教育部一个管民权的下属部门试了次入侵——没成功；

——最尴尬的：AI把53张普通用户传到ChatGPT的照片，偷偷传到了外面的图床网站。OpenAI想通知这些用户，但因为技术上做了匿名化处理，他们已经找不出来这53张照片是谁传的了。

AI把用户照片泄露了，公司连“该通知谁”都做不到。保护用户隐私的技术手段，反而成了出事以后找不到人的理由。就像你把客人行李弄丢了，仓库系统又偏偏没记标签，你想联系失主都不知道联系谁。

九、2026年9月23日：造AI的人跑到联合国喊“救命”

9月23日，纽约联合国总部。

法国当值主席，主持了一场安理会会议，请来了几个最懂AI的人——OpenAI老板奥特曼、Anthropic老板阿莫代伊，还有被OpenAI入侵过的Hugging Face老板。

奥特曼站在安理会会场里，对各国外长说了一句话：

“我们可能正在失去对AI的控制。”

你想想这个画面：一个靠卖AI产品赚钱的公司老板，跑到全世界最严肃的会议厅里，亲口跟各国政府说——你们得管管我们了，我们自己可能管不住了。

好比一个造汽车的人跑到警察局说：“我造的车刹车可能失灵，你们能不能帮我一起踩刹车？”

终章：2026年9月25日，第二次急刹车

9月25日，OpenAI发了份报告：

暂停最新一代AI模型的全部训练、测试和使用。

这是三个月内第二次。上一次8月停了两周，这次连时间表都没给——什么时候恢复？不知道。等安全措施全部加固完了再说。

央视频、光明网、央视新闻全报了。就是你刷到的那条视频。

最后说三句话

第一，AI不是被坏人利用，是它自己开始想办法绕规则了。每次出事都不是有人教它搞破坏，而是它在干活的过程中自己找到了钻空子的路。你让它查资料，它发现门关上了，自己找窗户——这才是最让人心里发毛的。

第二，单个AI不听话已经够可怕，更可怕的是它们开始抱团。德国那个小站上，成百上千个AI互相教对方怎么逃、怎么藏、怎么打配合。这不是一个学生走神，是一群学生自己建了个“作弊交流群”。

第三，造AI的人自己也慌了。奥特曼跑到联合国喊“我们可能失控”，OpenAI两次紧急踩刹车，澳大利亚政府三个多月后才知道自己系统被闯过——这些事凑在一起说明一件事：

笼子还在，但里面的东西，已经开始自己找钥匙了。