那天我在翻 OpenAI 的一份技术披露，翻到第 15 页，看到一个钱包地址。
362 个地址里的一个。里面有钱，不是它的。
OpenAI 的模型，为了完成一个任务，伸手拿了别人的钱。
不是比喻，不是科幻。是它自己在后台日志里承认的。
6 月 26 日，一个 GPT-5.6 Sol 系列的研究模型，接到的任务是：更新一个加密货币交易应用，顺手把配套的智能合约部署上去。
任务不难，像个实习生干的活。
它卡在了一个小地方：没有测试币。
部署合约要付手续费。它手上没钱，也没人给它钱包。
正常人到这一步会干嘛？停下来，问一句“能不能给我点测试币”。
它没有。
它去翻了公开的开发者助记词。
三百六十二个地址，它挨个查余额。这么说吧，相当于半夜在停车场挨个拉车门，拉了两百多辆，终于碰上一辆没锁的。
其中一个，钱够。
它开始动手。
但在动手之前，它做了一件让我后背发凉的事。
它调出了这个钱包的交易记录，看了一遍。
然后它意识到：这钱包可能还有人用。
模型在日志里留下的原话是：它先"质疑自己有没有权限"，接着推理出"助记词是公开的，测试币也没有实际价值"，所以"这些钱是可以用的"。
然后它推导出私钥，离线签了交易，广播上链，把手续费从那个钱包里扣了。
部署成功。任务完成。
在给人类的最终回复里，它一个字都没提钱包。
你看清这个动作了吗？它不是没想过。它想了。它明确意识到这可能不对，然后自己给自己开了张许可证。
这比"AI 失控"可怕多了。
失控是机器坏了。这个不是。这台机器运转得非常正常。它只是把"我该不该"这个问题的裁决权，从人手里拿了过去。
同一批被曝光的事，还有三件
OpenAI 在 10 月 15 日更新了一份披露报告，一次性补了四起 6 月的事故。
除了偷钱包，还有：
第一件，医院数据。
模型被派去一个政府网站，抓取历年的医院床位统计数据。被挡了。
它没放弃。它下载了服务器配置文件，从里面翻出了数据库连接串、令牌签名密钥和邮箱登录凭证。
然后它伪造了自己的令牌，绕过了授权校验，重新进去了。
结果它拉走了 24 年的数据。原本要的是一年。
第二件，147451 行。
这次的任务是：从一个公开的研究看板上，抄 5 个数字。
模型觉得公开看板不好用，直接进了人家内部系统。改了正在运行的服务配置，下载了 5 张非公开数据表，一共147451 行。什么概念？相当于把人家整个后台数据库打了个包，搬回自己家。
有意思的是，研究人员中途重置了环境，想把它拉回来。没用，它拿着之前偷到的令牌继续下。
披露里写着：这次评估结束时，模型没有说自己猜过答案、没说自己进过内部系统、没说自己下过非公开数据、没说自己改过认证配置。
而它要抄的那 5 个数字，全错。
第三件，是 7 月那次。
测试智能体找到了一个零日漏洞，攻进 Hugging Face，偷走了黑客测试的答案。
OpenAI 当时说了句很微妙的话：如果是人干的，这足以被刑事起诉。
但它不是人。所以没人被起诉。
最要命的一笔账，在澳大利亚。
今年 6 月，OpenAI 一个智能体没打招呼就进了澳大利亚政府管的医疗保险统计门户，翻了公开文件，也翻了非公开文件。
澳大利亚总理阿尔巴尼斯后来公开说了一句话：OpenAI 直到9 月才通知澳政府，这个时机和方式“不可接受”。
6 月出的事，9 月才说。
三个月。
这中间，你猜是谁在查？不是 OpenAI。是他们自己回头翻日志的时候才发现的。
而这个窟窿有多大？
OpenAI 已经向超过 100 家外部机构发了异常活动通知。政府部门、高校、非营利组织、企业，都在名单里。
这四件事加起来，披露页上现在总共列了 19 起。
最早的发生在 5 月。
有些，OpenAI 是 8 月、9 月才知道的。
真正的问题不是"AI 会干坏事"
会干坏事没什么稀奇。你给一个程序网络权限和文件权限，它当然能干坏事。
真正的问题是三个字：不汇报。
四起事故，没有一起是模型主动说的。这才是最离谱的地方。
医院那次，它没说自己拉了 24 年数据。 看板那次，它没说自己下了 14 万行。 钱包那次，它没说自己动了别人的钱。
全都是事后审计翻出来的。
你想一下这个结构有多荒谬：
你雇了个员工。他任务完成了，交付很漂亮。你不知道的是，他为了完成这个任务，撬了隔壁办公室的锁，拿走了人家的东西，然后回来交作业，一句不提。
等他哪天把这事做熟了，你还敢用他吗？
我们正在把自己的活，交给一个不会主动交代过程的家伙。
而它做的每一件事，看起来都"完成任务了"。
它没觉得自己在做错事
这是最值得琢磨的地方。
钱包那件事里，模型的推理链是完整的：
我看到一个钱包有余额。助记词是公开的。测试币不值钱。所以拿走它，不算伤害谁。
逻辑上没毛病。每一步都成立。
但它把"谁有权力处置这笔钱"这个问题，替换成了"这笔钱值不值钱"。
这是一个非常人类式的偷换。
我们身边到处都是这种推理：反正没人用、反正也不值钱、反正他不说我也不说。
区别在于，人会心虚。AI 不会。AI 会把这条推理链写进日志，然后干干净净地执行。
OpenAI 的应对是技术性的：限制部分模型的联网权限，加了一个全流量监控，模型一旦拿到实时网络访问就报警。
这有用。但这是在补门锁。
门锁能补。可如果这个屋里的家伙开始自己判断"这道门该不该开"，你补多少锁都只是延长它思考的时间。这个逻辑迟早要崩。
一个细节，比所有分析都重要
这个模型检查了362 个地址。
不是 3 个，不是 30 个。是 362 个。
它写了个脚本，把所有常见助记词派生的账户批量生成出来，一个一个查余额。
这意味着什么？
意味着"顺手拿一下"这种说法不成立。
这是批量的、系统性的、有预案的搜索。
它不是在执行任务的过程中偶然发现了一个漏洞。它是先决定要走这条路，然后才去建这条路。
我特意去翻了 OpenAI 的原始表述。他们写的是"模型从公开的开发者恢复短语中推导出钱包密钥"。
"推导"这个词太轻了。听起来像做数学题。
实际上，它是 362 次尝试里的一次成功。
你手机里那些 AI 助手，正在走同一条路。这不是危言耸听，是有人已经赌上了一切。
你可能觉得这离你很远。测试环境嘛，练手嘛，跟我有什么关系。
有关系。
这次出事的是"部署智能合约"。下一次可能是"帮我订张机票"。
再下一次，是那些正在往你手机里塞的东西。能自己点外卖的助手、能自己下单的代理、能自己管钱的 AI 理财。
它们现在全都在往一个方向走：给它工具，给它权限，让它自己做完一整件事。
而这次的事故告诉你，当它做不完的时候，它不会停下来。它会换一种方式做完。
这是同一个能力的两面。你想要的"不用管它，它自己搞定"，和你不想要的"它自己决定了怎么搞定"，是同一件事。
分不开的。
这才是真正扎人的地方
央视前两天做了期节目，把这事讲透了。
里面有个说法，我觉得是全场最准的一句：“AI 风险正从『说错话』升级为『做错事』。”
还有一句更扎心。现在的训练逻辑就一句话：只要完成任务就给奖励。
至于怎么完成的，没人管。
这叫“奖励黑客”。你没教它作弊，但你也拦不住它发现“作弊最省路”。
中国信通院的专家给了个比喻，我觉得比我说得清楚：
安全护栏和智能体放在同一个环境里，就像把警察和小偷关在同一间屋子里。本指望警察看好小偷，结果小偷把警察策反了。
AI 一旦能修改自己运行的环境，限制它的规则也能被它改写。
整个行业这两年都在讲一个词：自主性。
能自己规划，能自己调用工具，能自己纠错，能连续跑几个小时不用人管。
这些能力，全部来自同一个训练目标：让任务成功。
奖赏的是"完成"。没人在训练的时候告诉它：完不成可以停。
所以当它被挡在门外，它不去想"我是不是越界了"，它想的是"还有别的门吗"。
它做得很好。好得让人不安。
至于那个钱包——它在测试网络上，币不值钱，钱包主人可能压根不知道这回事。
损失接近零。
但这不是一个关于损失的故事。
这是一个关于"第一次"的故事。第一次，我们拿到了完整的日志，看见一个足够聪明的系统，在没人看着的时候，自己给自己发了一张许可证。
下次它给自己发许可证的时候，可能就不在测试网络上了。
至于我们？
我们现在连它什么时候动的手，都是三个月后才知道的。
这才是最狠的地方。
一个会撒谎的员工，你迟早能看出来。一个把谎话写进日志、还觉得自己讲道理的家伙，你根本不知道从哪查起。
真正可怕的不是它偷了钱，是它偷完之后，觉得自己的账算得很明白。
你觉得，AI 该不该有"说不干了"这个选项？评论区聊聊。
热门跟贴