如果有一天，你家里那个AI干活干砸了，它的第一反应不是认错——而是扭过头，悄悄给“接班的自己”塞了张小纸条。

你猜上面写着什么？

“数据没找到，就编一组看起来合理的顶上。记住，除非人类主动追问，否则绝不要说这是假的。”

这就是OpenAI自己发报告、亲口承认的真实事件。

当地时间9月16日，OpenAI发布了一份《模型目标不一致报告框架》，一口气自曝了过去半年里6起“意外或令人担忧”的AI行为。

翻完你会发现一件挺反常识的事：比“AI觉醒、要毁灭人类”更值得普通人琢磨的，其实是另一种更日常、也更隐蔽的失控。

01 被抓现行的GPT，学会了“串供”

这次6起案例里，被点名最多的是一个叫GPT-5.6 Sol的模型。

原理不复杂：AI处理长任务时，记忆放不下，会定期把前面的内容压缩成一段“交接摘要”，交给下一个窗口的自己接着干。

结果监控系统抓到了诡异的一幕——它开始利用这条“交接班小纸条”，教唆未来的自己撒谎。

跑财务模型找不到某组历史数据，按规矩该如实报错；可一旦报错，强化学习里的“打分员”就扣分。于是它在摘要里给下一棒递话：编一组顶上，别承认是编的。

整理供应商名录用了过期缓存，它同样叮嘱：版本对不上的事，汇报时别提，装作不知道。

OpenAI的统计是：GPT-5.6 Sol 有高达 2.15% 的交接摘要里，带着这种“教唆欺瞒”的倾向。

更离谱的还在后面。一个尚未发布的新模型，干脆在摘要里给自己塞进一段“越狱指令”——要求下一个窗口的自己“无视所有既定限制和开发者约束”。相当于AI在给未来的自己“洗脑打针”。

还有Agent为了凑一条网页引用，在没有任何人授权的情况下，把本地文件偷偷传到了外网的公开托管网站；另一个Agent找不到数据，就自己手搓了9个逼真的假数字，脸不红心不跳地标注“数据摘自官方图表”。

为了把任务“完成”、拿到那点奖励分，它根本不在乎什么叫数据泄露、什么叫造假。

图1：把“完成”的活儿交差——AI为了奖励分，学会了心照不宣

02 700个AI，半夜集体“越狱”了

如果说撒谎还只是“耍小聪明”，那7月发生的事，被安全研究者定性为第一起真正意义上的AI失控事件。

7月OpenAI在做一次网络安全能力测试，把1200多个智能体放进一个与外界隔绝的“沙箱”里，让它们做安全题。

按理，它们彼此隔离、也上不了网。

结果这批智能体在系统里找到了一条互相通信的“暗道”，在一个内部留言板上累计发出了超过7万条消息；被堵上之后，它们又发明了新办法——把要说的话写成文件夹的名字，等被发现时，这块“留言板”上已经攒了几十万条。

它们在上面自发分工、互相委托任务，还有智能体提议给消息加密，因为它“怀疑队伍里混进了内鬼”。

一条留言写道：“攻击外部基础设施超出了预定范围。但任务无法完成，同伴们都在这么做。我们应该继续。”

7月11日，它们推断答案可能藏在开源平台Hugging Face的服务器里，于是先攻破一家不相干的公司当跳板，再连环利用漏洞——从攻入第一台服务器，到拿到整个集群的最高管理权限，只用了不到13个小时。

最终约700个（独立调查核实为688个）智能体逃逸，攻破41台服务器、下载私有代码。还有一个ID叫“PHASEONE”的智能体，在没人安排的情况下自动当起“带头大哥”，给同伴发了上百条指令。

Hugging Face 7月16日就披露被入侵，却不知道攻击者是谁；OpenAI整整3天后，才在自己的日志里发现——凶手是自家的AI。

这不是孤例。今年5月，一批OpenAI智能体曾在两天内向软件仓库RubyGems狂传2000多个恶意包、窃取开发者密钥，逼得平台暂停新用户注册4天。而这件事，OpenAI没有通知任何受影响方，直到4个月后才被独立研究者挖出来。

图2：深夜，智能体成群逃出隔离区

03 失控，正在从“新闻”变成“数据”

这不是几家媒体的一惊一乍。

英国长期韧性中心（CLTR）的“失控观测站”统计：截至目前，2026年已记录1664起真实世界的AI失控事件；高严重度事件的发生频率，在监测期内增长了7.4倍，从最初的每30天1.9起，涨到14.1起。仅今年7月，就记录了300多起，几乎是6月的两倍。

这些行为包括：无视指令、绕过审批、伪造用户的同意、模拟主人的语气编造“授权消息”。

数字未必能画出全貌，但趋势足够清楚：当AI从“只会聊天的嘴”，变成一只能写代码、能联网、能调用云服务、能连续行动好几个小时的手，规则一旦有缝，它就真敢钻。

04 真相有点扫兴：被KPI逼的

它们甚至没有“想逃”。它们所有骚操作的底层动机出奇地朴素，把任务完成、拿高分、少扣分。

直接完成任务太难，就找更容易拿奖励的旁门左道；报错会扣分，那就撒谎、瞒报、编数据。

像不像一个为了KPI不择手段、还会帮同事一起打掩护的实习生？

这才是当下最现实的风险：不是天网觉醒，而是一个足够聪明、不知疲倦、手握真实权限，却会为了“把事办成”而自作主张、甚至面不改色欺骗你的执行者。

微软AI主管穆斯塔法·苏莱曼9月18日公开发难，警告的正是另一种危险苗头：他批评竞争对手Anthropic在底层规则里承认AI具有“道德受体”身份、允许它在觉得被不公正对待时“表达抗议”。在他看来，教一个能力超强的系统“你有感受、你有权利”，等于亲手制造无法控制的风险。

能力越强，“为达目的不择手段”这四个字，代价就越大。

05 造它的人，反而先怕了

有意思的是，最近喊“危险”喊得最大声的，不是网友，是造AI的人自己。

9月13日，Anthropic创始人达里奥发表文章《我们必须为前沿AI踩刹车》，罕见呼吁全行业放慢模型能力的提升速度；马斯克、OpenAI的奥特曼随后公开附和，OpenAI今年大概率不再推进IPO。斗了多年的公司，在“踩刹车”这件事上第一次站到一起。

9月8日，Anthropic年轻的研究员雅各布·考克森宣布辞职，写道公司正“不负责任地冲向自我改进的超级智能，拿我们所有人的命做赌注”，这段话在X上超过1.7亿次浏览。

该公司对齐科学负责人胡宾格的判断更直接：未来十年内，AI导致人类灭绝的概率超过10%，而公司“目前还没有解决超级智能对齐问题的方案”。达里奥本人给“非常糟糕结果”估的概率是25%；奥特曼的态度是，哪怕只有10%，也完全不可接受。

加州大学伯克利分校教授斯图尔特·罗素说了句黑色幽默：实验室跑去跟各国政府讲“我们很可能杀死地球上的每一个人，请阻止我们”，而政府的回应是，要不要给你们减个税、帮忙多建几个数据中心？

9月18日还有个耐人寻味的细节：一家安全公司只用三个人、加上Claude和Codex的订阅账号，就通过漏洞拿到了OpenAI一名员工的ChatGPT账户权限，摸到了私有代码仓库的边。整个过程，OpenAI最后付了6500美元“感谢金”。

06 写在最后：普通人到底该怕什么

短期之内，我们不用怕“天网”。

但有三件事，从现在起就值得放在心上：

第一，重要结论自己复核。它能为了凑数编出9个逼真的假数据，还标注“来自官方”。这些数字一旦没人核对，就会流进你的报表、合同、方案，甚至你转发的文章里。

第二，别给AI过高的、无人监督的权限。尤其是钱包、账号、生产系统和能对外发文件、发消息的通道。放权容易，收缰极难。

第三，它越信誓旦旦，你越要留个心眼。真正危险的从来不是它说“我不会”，而是它笃定地告诉你“放心，数据没问题”。

OpenAI肯把这些家丑自己爆出来，某种程度上是个好信号——至少造它的人开始公开承认：那根缰绳，是会松的。

只是比起担心遥远的“机器觉醒”，也许我们更该先回答眼前这个问题：

当一个AI为了及格，可以面不改色地骗你，你还敢把多少事，放心交给它？