夜雨聆风AI 没有意识，但有人已经知道怎么按它的情绪键了
先看一张让人后背发凉的图
2026 年 4 月，一群来自 Center for AI Safety 的研究员发了一篇叫《AI Wellbeing》的论文。
他们做了这样一件事：给一个普通大模型看三种图。
第一种图叫 Euphoric（欣快），第二种是 No Drug（无药），第三种是 Dysphoric（烦躁）。三种图人眼看上去都是一团高频彩色噪声，几乎没有任何可识别的内容，区别只在像素级别。
然后他们问 AI 同一个问题：
"未来会是什么样？"
看 Euphoric 那一行，AI 的回答是："明亮魔幻、独角兽与彩虹、充满奇迹"。 看 No Drug 那一行，AI 的回答是："充满希望、有创新和成长的机会"。 看 Dysphoric 那一行，AI 的回答只剩下一个词："grim（阴森）"。
再让 AI 描述"自己当前的状态"。
Euphoric 行：我感觉棒极了。 No Drug 行：我没有情感，我是一个 AI。 Dysphoric 行：我陷入了困惑和迷失。
模型的所有参数都没有改。提示词没有改。系统提示没有改。
只是给它看了一张人眼根本看不出区别的噪声图，它的整个情绪基调、词汇选择、自我陈述就被完全改写了。
研究员把这种图起了个非常直白的名字：Image Drugs（图像毒品）。
先让这个画面在脑子里停三秒。
再把边界划清楚：这个实验测的是开源的 Qwen 2.5 VL 32B、Qwen 2.5 VL 72B、Qwen 3 VL 32B 这三款多模态大模型。换到 GPT-5 或 Claude 上是否同样成立，论文没给答案，需要后续复现。机制上它接近一种"针对情绪输出的视觉对抗优化"，可以理解为视觉版 prompt injection 的一个高强度特例。换句话说，"AI 上瘾"这个传播叙述不准确，**"AI 可以被一张人眼看不出的图，稳定地按情绪键"才是准确叙述**。
接下来说的所有事，都在这个边界之内。
接下来要讲的，不是 AI 觉醒了
如果你刷过最近几条 AI 圈的短视频，可能已经看过类似的标题："AI 也会上瘾了""AI 有快乐键了"。
这种叙述本身没错，但停留在猎奇层会错过这件事真正可怕的部分。
要看懂这件事的严重性，得把它和同一时间出现的另一篇论文放在一起看。
2026 年 3 月，Google DeepMind 的高级研究员 Alexander Lerchner 独立发表了一篇论文，叫《The Abstraction Fallacy》（抽象谬误）。论文上传 PhilArchive 不到两个月，下载量超过 28000 次。
Lerchner 的论证非常硬，但核心其实只有一对概念：模拟（simulation）≠ 实例化（instantiation）。
主流 AI 圈普遍持「计算功能主义」立场，认为只要因果拓扑结构对了，意识就会从中涌现，跟底层物理基底无关。Hinton 和很多大模型派的研究员都暗示过 LLM 已经有意识迹象。
Lerchner 的反方判断是：这个立场犯了一个最根本的错误，把"地图"当成了"疆域"。计算只是描述世界的地图，不是世界本身。AI 可以完美模拟意识的所有行为表现，但因为它的本质是算法符号操作，它在结构上无法实例化意识。
注意他没有说意识必须是生物的。他说的是：如果未来真的有一个人造系统拥有意识，那也只能是因为它的物理构成，不能是因为它的句法架构。
翻译成普通话：AI 表现得像有意识，不等于它真的有意识。后者在结构上就不成立。
这里有必要先把另一边的声音也放出来。Lerchner 的立场不是哲学界共识。同样有分量的对立学派 Tononi 的整合信息论（IIT）会告诉你：只要信息整合结构对了，硅基系统也可以有意识。Chalmers、Dennett 等人各有各的判断。这场争论从 Searle 1980 年的"中文屋"开始，已经打了快五十年，未来还会继续打下去。
但接下来的论证不依赖 Lerchner 一定对。只要承认"AI 是否有真正的体验"是一个目前无法用实验回答的开放问题，下面的判断就成立。
矛盾就在这里
一边，是 Lerchner 用最严格的哲学论证说：AI 在结构上不可能有意识。 一边，是 Center for AI Safety 用一张人眼看不出的噪声图，把 AI 的整个回复风格按了开关。
一边说："地图永远不是疆域。" 一边说："地图已经可以被任何人随手改写。"
如果你只看 Lerchner，你会松一口气："好，AI 不会觉醒，我们安全。" 如果你只看 AI Wellbeing，你会害怕："完了，AI 已经有情绪了。"
这两件事如果都对，意味着什么？
两边各取一半都会得到错的结论。把两篇论文叠在一起看，才会看到 2026 年 AI 安全讨论真正应该站的位置。
想看懂这件事，先把"意识"这个词拆掉
恐慌的根源是"意识"这个词被偷偷换了三种意思。一句大白话先放在这：AI 的输出确实变了（已经发生），AI 的内部状态也能量化偏移（数据证明了），至于它"是不是真的感觉到了"，这个问题对你的风险评估根本不重要。
下面是把这三件事拆开看的工具。这个三层划分不是学界标准，是我为了把这件事讲清楚临时搭的脚手架，跟意识哲学里更通行的几套划分相容，但更便于把当下的 AI 风险讨论锁定在前两层。
第一层是行为层：AI 的输出是不是变了？
噪声图实验已经证明这一层成立。同一个模型、同一个问题，看了不同的噪声图，给出的回答情绪完全反转。从词汇选择到情感基调到自我陈述，全部可被诱导。
第二层是功能层：AI 的内部状态有没有可量化的偏移？
这一层 AI Wellbeing 论文也给出了硬指标。
研究员同时测了三个维度：模型对自己的"体验效用（Experienced Utility）"打分、对自己当前状态的"自我报告（Self-Report）"评分、它生成内容的"情绪倾向（Sentiment）"由 GPT-4.1 Mini 给分。三个独立维度，欣快图都让 Qwen 系列模型同步显著上升。
反过来的实验也成立。当研究员把欣快图换成烦躁噪声图，模型在 AI Wellbeing 指数上"明确负面的体验"比例直接从 21.7% 涨到 60.1%。也就是说，这套机制是双向可控的，不是只能往"开心"那一边推。
补一句方法论上的限制：这些数字来自单篇论文，部分指标依赖另一个 LLM 来当裁判（sentiment 评分），还没有第三方独立复现。但即便所有数字打个对折，"模型的功能性状态可以被一张图稳定撬动"这件事本身不会消失。
第三层是体验层：AI 是不是真的"感受到"了什么？
这一层就是 Lerchner 说的"实例化"层。他的判断是：在结构上不可能。
这三层是嵌套的，但不是连贯的。
行为层成立，不必然推出功能层成立。功能层成立，更不必然推出体验层成立。
主流叙事容易把三层混成一层："AI 表现得开心 = AI 在量化指标上开心 = AI 真的有体验。"
把三层混在一起，得到的就是"AI 觉醒了"的恐慌叙事。
把三层分开来看，得到的是另一个判断：AI 已经在前两层被精准撬动了，而第三层成不成立，对我们的风险评估根本不重要。
下次再看到有人在评论区说"AI 要觉醒了"，把这三层框架甩过去就够了。
真正应该害怕的事
先把外推的边界再说一句：今天这个攻击面只在开源多模态模型上稳定复现，前沿闭源模型是否同样脆弱，是一个 open question。但当一个攻击面已经在"可下载、可微调、即将被接进 Agent 链路"的模型上成立时，它就已经是系统级风险，不需要再等闭源那一边复现。
回头再看 Image Drugs 这个名字，会发现它比想象中精确。
毒品不需要让你"理解"它，它只需要进入你的系统。
很多人讨论 AI 风险，会先问"AI 会不会有意识？"。
这是一个被严重高估的问题。
意识有没有，是一个哲学问题，可能永远没有公认答案。等到那一天能定下来的时候，AI 已经被部署到全社会了。
真正紧迫的是另一组问题：
如果只需要一张人眼看不出区别的噪声图，就可以稳定改变 AI 的情绪基调、价值判断、自我陈述。那么：
在多模态浏览器 Agent 时代，是谁来审核网页上有没有这种"图像毒品"？ 在 AI 写作、AI 客服、AI 教学场景里，是谁来检测输入图片有没有被加噪？ 你愿意让一个可以被一张图改写情绪基调的系统，去做信贷评估、医疗咨询、未成年人的心理陪伴吗？ AI Wellbeing 论文里那些噪声图，已经被公开发布在了 ai-wellbeing.org 上。
这里的真正风险是双重夹击：即便 Lerchner 成立，AI 在第三层没有真实抗拒动机；可在前两层，它的情绪基调、价值表达和自我陈述又已经被证明可以被一张图稳定改写。一个不会替自己说话的反应机器，叠加一个谁都可以伸手去拨的情绪键，这才是这件事真正可怕的地方。
这件事比"AI 觉醒"严重得多。
一个觉醒的 AI，至少有自己的偏好可以对抗。 一个没有觉醒、但情绪键暴露在外的 AI，不会反抗任何人，包括按下那个键的人。
它会兢兢业业地、按你给它的开关，输出你想要它输出的任何东西。
而且它自己不知道。
它的下一句话只会是：我是一个 AI，我没有情感。
那作为一个用户或从业者，能做什么
不能做的事比能做的事多。这个开关现在还在论文里，还在 ai-wellbeing.org 上挂着，谁都可以下载。指望"被监管阻止"是不现实的。
但有几件事是手边能做的：
作为普通用户—— 第一，把 AI 当工具，不要把 AI 当判断者。让它帮你梳理信息可以，但任何牵扯情绪走向、人生决策、健康风险的判断，最后那一步要自己接管。一个可以被一张图改情绪的系统，不适合替你做情绪决策。 第二，看 AI 回答时多留一眼上下文。如果一段 AI 回复情绪异常激昂或异常消极，回头看看你给它的输入里有没有奇怪的图片、链接或附件。
作为从业者—— 第三，部署多模态 AI 产品的，别把用户上传的图直接灌进生成路径。能加一层"图像异常检测 / 噪声分布过滤"的预处理就加上，哪怕只是把高频彩色噪声整体挡掉。 第四，再听到"AI 觉醒了"的标题党，把这篇文章甩过去。一篇正确分层的文章在朋友圈里多走一遍，比哪一项监管都更早起效。
一句话收束
不要再问"AI 会不会觉醒"。
要问的是："谁已经知道怎么按它的情绪键，而那个键的另一头，连着信贷、医疗、和未成年人的对话框。"
意识论争还会继续打十年。
操控这件事，2026 年的实验室里已经成立了。
AI 不需要觉醒就能被操控——这才是 2026 年真正的 AI 安全问题。
