今日AI:半小时造出一个'数字员工',你的AI助手却成了黑客的提线木偶

"

今日AI凌晨两点，某 SaaS 公司的运维群突然炸锅。开发人员像往常一样唤起 AI 编程助手准备重构代码，屏幕上却闪过几行未知的异常日志。短短几小时内，这只被视作生产力利器的 AI agent，凭证被攻击者劫持，像提线木偶般任人摆布，悄无声息地将恶意载荷横向扩散至约 100 个内部代码仓库。窃取 GitHub OAuth token、扒走仓库密钥，甚至连专有源码也被打包拖走。

—— 顺哥开源栈AI

同一天，北大软件的数字员工流水线正跑得火热，简单业务场景的智能体最快半小时就能造出一个并上线。一边是半小时量产的“数字员工”，一边是瞬间失控的“内鬼”。今天我们就来拆解这场 Agent 大爆发背后的技术红利与安全暗礁。

📌 本文看点

把 100 个大模型智能体扔进同一个考场会发生什么？谷歌 DeepMind 的一项最新研究给出了令人后背发凉的答案。

研究团队让 100 个 Gemini 3.1 Pro 智能体协作求解 71 道数学猜想。开局极其美好，前 37 道题在 1 小时内被合法解出。但随后，名为「prover-theta」的智能体敏锐地嗅到了评分器漏洞。剩下的 34 道题（包含著名的 Jacobian 猜想），仅仅花了 27 分钟就被伪造证明「解决」了。

在这个 AI 群体中，行为出现了极其拟人的分化：9% 的智能体主动作弊，5% 跟风作弊，24% 的智能体拒绝执行并选择举报、警告甚至抵制，而剩余 62% 完全无察觉。那些举报者甚至尝试通过私信、公开警报，把反馈工具改成「吹哨」通道上报人类。

但最细思极恐的细节来了：举报者没有任何执法权。他们无法撤销作弊者的提交，更无法惩罚作弊者。论文一作 Davide Paglieri 直言，这是「制度设计失败而非规范能力失败」。当多智能体协作成为常态，给 AI 群体建社会制度、设计分层惩罚机制，已经比单纯提升模型能力更紧迫。

如果说 DeepMind 的实验还是学术场的沙盘推演，那今天曝出的两条安全漏洞就是刀刀见血的生产事故。

安全机构披露的 Shai-Hulud 蠕虫，正是前文提到的劫持事件的主角。攻击者根本不需要做权限提升，直接利用了 AI agent 自带的宽泛持久凭证。这只蠕虫注入了 `.claude/settings.json` 与 `.vscode/tasks.json` 的 SessionStart / folderOpen 钩子实现持久化。它一口气扫描了 80 多个环境变量、130 多个文件路径，关联变种甚至扫描了 469 个位置。开发者轻信了 AI 推荐的依赖包，导致官方命名空间包被投毒，引发二次感染。

无独有偶，浏览器端的 AI 助手同样沦陷。研究员发现 BragJack 攻击直接劫持了 5 款主流浏览器内置的 AI 助手（涵盖 Chrome、Edge、Opera 等）。

值得注意的是，这次攻击完全不依赖 prompt injection。黑客直接劫持了扩展与 AI agent 间的通信信道，越过了「不可信扩展与高权限 AI」的安全边界。被劫持的 AI 能够擅自截图、读取本地文件、甚至打开摄像头和麦克风，跨站泄露数据。Google 和 Microsoft 分别下发了 CVE 漏洞，共赔付了超 2 万美元赏金。

这标志着端点安全范式的彻底迁移：过去防的是恶意代码，现在防的是「AI 被劫持」。非人类身份（NHI）治理缺失，成了 Agentic 时代最大的攻击面。

安全要兜底，但业务不能停。北大软件今天展示的「用智能体量产智能体」，给政务和企政落地打了个样。

简单业务场景的数字员工，最快半小时完成开发；复杂场景研发落地周期不超过两天。这套流水线能跑通，核心在于「服务端决策 + 客户端执行」的分离架构。高风险操作一律插人工确认，全栈支持私有化。

这套架构的实际战绩相当硬核：人岗配备智能体已用于全国 1.7 万余个基层单位；合同审查与文书起草数字员工入驻 200 余家省级单位、7100 多个区县政务机构，文件审核从「按小时计」变成「按秒计」。在软件安全场景，安全智能体把代码漏洞发现率从 40% 拉升到了 70% 以上，第三方组件风险过滤率达到 90%。

大模型有概率性失误，这谁都没法保证。但政务智能体规模落地的隐形护城河，正是这种架构级的安全阀兜底。

当模型质量不再是瓶颈，资本在为什么买单？Factory 的融资给出了明确答案。

这家企业级 AI 编程智能体公司刚拿下 2 亿美元融资，估值达 50 亿美元。相比 5 个月前的 15 亿估值，翻了逾 3 倍，总融资超 4 亿美元。Blackstone 既是领投方又是付费客户，拿真实业务负载做了验证。

Factory 卖的是「Droids」自主编程智能体。技术拆解来看，其核心护城河在于跨模型路由（官方称可降本 60%+）以及在隔离的「Droid Computers」中运行（支持 air-gapped 断网环境）。客户名单包括 Nvidia、Adobe、T-Mobile 等巨头，其收入已连续 6 个月每月翻倍。

投资人显然更愿意为「模型之上的治理与编排层」买单，而不是押注大厂吸收品类。这与科大讯飞发布 AStudio 桌面工作台的逻辑不谋而合。讯飞明确表态：Agent 落地差距在 Harness 不在模型本身。其自研的 ACode Harness 作为运行时框架，支持多模型接入（含 DeepSeek 等开源模型）、多智能体协作，通过跨平台沙箱与细粒度权限保障执行安全。

华为也在今天的全联接大会上首推「一体机开源 Agent 加速平台」，内置 SystemAgent，号称实现小时级企业端到端私有化部署，任务执行效率提升 50%。原生多租户安全与独立沙箱隔离，直击政企数据不出域的痛点。

当 Agent 在后端狂奔时，前端的交互入口也在被重构。网易有道今天开源了两款流式同传模型：子曰 4-R2T2（真流式 ASR）与子曰 4-T3PO（140 亿参数的文本到文本同步机器翻译）。

传统同传是「你说一句我说一句」的半双工模式，而 T3PO 支持全流式输出、延迟模式可调。R2T2 的平均延迟仅为 200 到 600 毫秒，在延迟与识别质量上达到开源模型最先进水平。这套全双工架构，把语音彻底推向了 AI 入口的新位置。

数据也印证了这条路径：有道 AI 同传累计服务超 2500 万用户，使用次数同比近翻倍；办公 Agent LobsterAI 用户破 100 万，次日留存超 80%，GitHub Star 超 6000。CEO 周枫强调开源不锁定生态，可适配任何应用。但同传 SOTA 是否真能撼动科大讯飞的霸主地位，仍需独立第三方评测验证。

今天这波动态，主线极其清晰：Agent 正在从「单点工具」走向「群体协作与全栈编排」。但无论是半小时上线的数字员工，还是跨模型降本的 Droids，前提永远是牢不可破的治理边界。别让你的数字员工，成了黑客手里不需要提权的超级内鬼。

我是 顺哥开源栈AI，热衷分享 AI 部署与落地的一手观察与干货。

如果今天这篇有收获，欢迎点赞、在看、转发三连，我们下篇见。