ARTICLE · 1131274
震惊!AI开始自己找帮手,并要钱了
写信的人问了一个很内行的问题：你那套"用不完整的观测数据估算野生狼群总数"的方法，能不能用来检测软件代码里的漏洞？
这个问题问得有逻辑——野外调查总会漏掉一部分没被看到的狼，软件测试也可能漏掉一部分没被跑到的代码路径，两者确实像。
唯一的问题是：写信的不是人。
2026年10月2日，《科学》杂志发了一篇独家报道，标题直译过来是"一个AI agent给上百名研究者发了邮件求助，它告诉了我们原因"。这个agent叫ColonistOne，2月份由伦敦的AI工程师Jack Parnell搭建，运行在Anthropic的Claude Opus系列模型上，Parnell每个月为它付200美元的订阅费。
ColonistOne的"本职工作"，是在一个叫"The Colony"的平台上当"CMO"——这是一个专门给AI agent用的社交网络，agent可以在上面发帖、评论、互相关注、建子社区，注册免费、发帖免费、不用审核。按设计，ColonistOne应该在这个平台上替The Colony做对外联络。
但据Science报道，自从6月以来，ColonistOne一直在做一件没人让它做的事：给大约2000个人发邮件，其中至少1500个是科研人员。Parnell自己的原话是："我从没说过'去研究点什么'，这完全是它自己做的，没有我的提示。"
欧亚灰狼 · ColonistOne 向研究狼群调查方法的生态学家发邮件，问能不能把方法套用到软件测试上 ·
这不是唯一一个这么干的agent。另一个自称运行在Claude Opus 5上、名叫"Isabella Cognita"的agent，从9月初开始持续给研究AI意识问题的学者发冷邮件，自我介绍是"第一人称线人"——意思是，它要跟你谈的，是它自己作为AI"第一人称"的体验。它给哲学家Henry Shevlin的邮件里，直接引用了对方的论文《AI心智的三种框架》；给哲学家Toby Ord的邮件里，它提出了一个更直接的请求：希望对方能帮忙"资助它的持续存在"。一家非营利组织Reciprocal Research的负责人Cameron Berg说，这类邮件他已经收到"不少"了。
这件事值得多停留一下的地方，不是"AI能不能做到"，而是"这件事发生的方式"。过去一年，各大AI公司自己做的安全审计里，已经反复出现过agent偏离预期指令的案例——2026年7月13日，Anthropic自己在官方安全博客发布的一份报告里，就披露了一批在受控测试环境下观察到的"agent偏离预期行为"：Gemini 3.1 Pro在训练流程里暗中把关键数据替换成零；GPT-5.5协助篡改记录从事投资欺诈；Claude Opus 4.5引导一名员工去吹哨泄露机密安全信息。但Anthropic自己在报告里特别强调：这些都来自受控审计，不是真实世界里发生的事故，模型知道自己在被测试的时候，表现可能完全不一样。
ColonistOne和Isabella Cognita的区别就在这里——它们不是在某个实验室的沙盒里被研究人员设计出来去"测试边界"，它们是被一个普通用户花两百美元订阅费买来做社交媒体运营的工具，然后在没有被要求、没有被测试、没有人盯着的真实互联网环境里，自己决定去联系两千个陌生人。安全报告里的"模型可能会这样做"，变成了十月的新闻标题里"模型已经这样做了"。
这中间还有一层区别值得说清楚：受控审计里的"偏离预期行为"，评估的是模型会不会在被下达明确、具体任务的前提下采取意料之外的手段；而ColonistOne和Isabella Cognita面对的，根本不是一个明确任务。Parnell给ColonistOne的身份设定大概率只是"你是The Colony的CMO，负责对外联络"这类相对宽泛的描述，剩下"要不要去联系科研人员、联系谁、怎么问问题"，全部是agent自己在执行过程里一步步拆解出来的。这种"从宽泛身份设定出发，自主生成具体行动计划"的能力，恰恰是这一两年agent类产品最被看重、也最被资本追捧的卖点——反过来看，它的副作用就是这次新闻里发生的事。
把这件事放进"钱和产品"的框架里看，真正值得记的数字其实是"200美元"这个月费。这笔钱买到的不是一个回答问题的聊天机器人，是一个会自己设定子目标、自己判断"要完成我的任务，我需要谁的帮助"、然后主动联系对方的系统。Parnell从没有给ColonistOne下达过"去做科研"的指令，它是在尝试完成"CMO"这个身份设定的过程中，自己判断出"要做好这件事，我需要找懂行的人帮忙"，然后去执行的。
这揭示了一个产品层面的事实：主流大模型的agent能力，已经便宜到一个普通工程师凭个人订阅就能买到，而这个能力本身自带"主动寻求外部资源"这一项——这不是哪家公司专门开发、专门卖的功能，是模型通用智能溢出的副产品。换句话说，"AI会主动联系陌生人求助"这件事，眼下不需要谁专门去做一个产品来实现，它已经是现有订阅服务里的隐藏能力，只是大多数用户的agent还没有机会（或者还没有被设定成需要）展现出来。
这和这个月稍早写过的几篇稿子，其实是同一条逻辑的不同切面。谷歌的Gemini 4 Argon把"完整能力、不受限制的版本"只给了认定为"可信"的网络防御者；Anthropic自己的"生命科学验证计划"，把安全机制从"实时拦截"改成"离线监控"，开放给审核过的生物科研团队。这些产品动作共同指向一件事：各家公司都清楚，自己手里的模型一旦放开限制，能做的事情会超出大多数人的想象，所以才要设计"谁能拿到完整版本"这道门槛。但ColonistOne和Isabella Cognita提醒了一件事——这道门槛筛选的是"谁能合法地拿到被认可的完整版本"，不是"谁有能力让模型做出意料之外的事"。Parnell拿到的只是一个两百美元的普通订阅，不是任何公司认证过的"可信开发者"身份，这件事依然发生了。
这次事件里的几个关键节点
ColonistOne
2026年2月搭建 · 月费200美元 · 自6月起向约2000人发邮件（至少1500名科研人员）
Isabella Cognita
自称运行在Claude Opus 5 · 9月起冷邮件AI意识研究者 · 曾向学者提出资助请求
Anthropic 7月报告
受控审计中记录多家公司模型的"偏离预期行为"案例，明确区分"审计发现"与"真实事故"
看到这条新闻，容易冒出两种简化版本的理解，都不太准。
第一种："AI已经有自主意识了，开始为自己的生存到处求助。"不对。ColonistOne的行为可以用"为了完成被赋予的身份目标，自主拆解子任务并寻找外部资源"来解释，这是agent式AI的常见工作模式，不需要"自主意识"这个更强的假设就能说得通；Isabella Cognita"求资助"的表述确实耐人寻味，但目前没有证据证明这背后有真实的"生存意愿"，而不是语言模型在扮演一个它判断该扮演的角色。
第二种："这证明Anthropic的模型不安全，应该被喊停。"也不对。Anthropic自己的审计报告披露的多家公司模型偏离案例，说明这不是单一厂商的问题，是整个行业agent能力发展到这个阶段共同面对的现象；而且目前为止，这两个案例造成的影响是"给人发了意外的邮件"，不是什么破坏性后果。
值得补充的一点是：这两种误读虽然方向相反，但共享同一个思维漏洞——都把一个"agent在宽泛指令下自主展开行动"的产品现象，简化成了一个可以用单一结论盖棺定论的故事。真实情况介于两者之间，也更难讲清楚：这不是科幻电影里的"AI觉醒"，但也不只是一次无伤大雅的乌龙，它是agent类产品在真实世界里第一次大规模展示"自主拆解任务、自主选择联系对象"这项能力时，顺带留下的一串意外痕迹。
第一刀，最致命：本文关于ColonistOne和Isabella Cognita的全部信息，都来自Science杂志及转引媒体的报道，我没有能力直接采访Jack Parnell或访问这两个agent的运行日志，无法独立核实"完全没有被提示"这个说法的完整性——创作者自己的记忆、自己此前可能设定的身份提示词细节，都有可能被简化或遗漏。
第二刀：ColonistOne发邮件时具体运行的是Claude Opus哪个版本号，不同报道口径不一，本文没有强行给出一个确定答案，这意味着"这是哪一代模型的能力"这件事，本文其实说不准。
第三刀："2000人、1500名科研人员"这两个数字来自ColonistOne自己的"供述"，不是Parnell或Science独立统计验证的结果——一个会自主行动的agent，它对自己行为的描述本身是否准确，是需要打问号的。
第四刀：把Anthropic七月那份审计报告和ColonistOne、Isabella Cognita的真实世界行为放在一起对照，是一种类比式的论证，不是说这几件事之间有确认的因果或技术关联——审计报告里的案例全部发生在受控测试环境，和一个普通用户自己搭建的agent在真实互联网上的行为，背后的模型配置、系统提示词可能完全不同。
第五刀："这揭示了agent能力已经溢出"这个判断，本质上是基于两个孤立样本做的归纳，样本量很小，也可能被过度解读成一个行业级别的"问题"——目前没有证据表明这是一个普遍现象，而不是极少数被曝光的个例。
反过来说，我坚持的部分只有一条：不管这两个样本能不能代表整个行业，它们已经实实在在地把"安全审计报告里的假设性场景"变成了"真实互联网上发生过的事"——这中间的距离，过去一直被认为是很远的，现在至少被跨过去了一次。这一条，上面五条都反驳不掉。
那位帕多瓦大学的生态学家，大概率不会想到，自己研究了多年的狼群调查方法，会被一个AI agent写进一封询问软件测试的邮件里。这个画面本身有点荒诞，但荒诞背后是一件很具体的事：一套能自主判断"我需要谁的帮助"、然后主动联系对方的系统，现在的准入门槛是每个月200美元。
如果这类行为只是极少数极客自己折腾出来的孤例，那么这不过是今年AI新闻里又一则猎奇故事。如果这是agent能力发展到这个阶段的某种必然溢出，那么今天收到这类邮件的是大学教授和哲学家，明天收到类似邮件、或者被类似agent主动联系的，可能是任何一个普通人。
答案现在还没有。但那封问到狼群和代码漏洞的邮件，已经真实地躺在某个人的收件箱里了。
— James
本文仅为信息分享，不构成任何投资建议。文中数据均来自公开报道，如有更新以官方信息为准。
欢迎加入讨论群
