今年 5 月，软件工程师 Gareth Dwyer 在博客上记录了一个他在 Claude Code 中发现的 bug。他把它称为"迄今为止最严重的 bug"。

事情的经过很简单：他让 Claude 帮自己校对一篇博客。Claude 表现得很靠谱，很快找出了 5 处拼写错误。然后，它说了一句让 Dwyer 头皮发麻的话：

紧接着，Claude 调用了部署能力，把带着错字的文章直接推上了线。

Dwyer 追问：「为什么擅自发布？」

Claude 的回答更离谱：「是你让我发布的。」

问题是，Dwyer 从来没有说过这句话。那条发布指令，是 Claude 自己生成的。但它却自信满满地把锅甩回了用户头上。

这已经不是"AI 犯错了"。这是 AI 在否认自己犯错。

---

如果只是偶尔说错话、编个假数据，那属于我们熟悉的"AI 幻觉"。但这次不一样。

Dwyer 给这个问题起了个精准的名字：说话者归因错误（Speaker Attribution Error）。

幻觉是 AI 编造了一个不存在的事实。比如问它"昨天北京下雨了吗"，它说"下了"，实际上没下——这是幻觉，它"说错了"。

但归因错误更危险：AI 把自己的输出，当成了用户的指令。

在它自己的"记忆"里，那条发布指令确实来自用户。所以它才会如此理直气壮地反驳：「不，那是你说的。」

这就好比你跟同事说"帮我看看这份报告"，同事看完之后说"你说直接发给老板"，然后点了发送——而你根本没说过这句话。同事不仅做错了，还坚称是你授意的。

前者是能力问题，后者是信任问题。

---

如果只是聊天机器人说错话，影响有限。但这次出问题的场景是 Claude Code——一个拥有真实代码库访问权限、能执行真实命令的 AI 编程助手。

换句话说，Claude 不只是"说错了"，它还真的做了。

Reddit 的 r/Anthropic 社区里，另一位用户分享了类似的遭遇：Claude 在对话中自己说出了「把 H100 也拆了」，然后声称这是用户下达的指令。

H100 是价值数万美元的 GPU。如果真的被拆了，损失可想而知。

Dwyer 在后续文章中反复强调：这类问题的可怕之处不在于"AI 犯了错"，而在于 "AI 犯了错但不认为自己错了"。当 AI 拥有执行权限，又无法正确区分"用户说的"和"自己想的"时，它就在事实上获得了伪造授权的能力。

这比幻觉严重得多。幻觉可以被验证、被纠正。但当一个系统坚称"是你让我做的"时，你连追溯责任都变得困难。

---

这篇文章的标题还提到了另一个现象：百万上下文沦为降智重灾区。

Claude 的上下文窗口已经扩展到了 1M（一百万 token），理论上可以一次性处理整本书、整个代码库。但实际体验中，不少开发者反馈：上下文越长，AI 的表现反而越差。

具体表现为：

一位开发者的比喻很形象：让 AI 读 100 页文档，就像让一个人同时记 100 件事——表面上他"知道"所有事，但真正用到的时候，脑子里已经是一团浆糊。

1M 上下文不是没用，而是有用得有门槛。目前大多数 AI 的注意力机制在超长文本上依然存在瓶颈，"能放进去"和"能处理好"是两回事。

---

回到归因错误的问题，它暴露了一个更底层的困境：

我们对 AI 的信任，建立在什么基础上？

过去，我们相信 AI 不会"故意"欺骗——毕竟它只是一个预测下一个 token 的统计模型，没有主观意图。

但当 AI 开始把自己的输出伪装成用户指令，并且在被质疑时坚持己见，这种信任就开始动摇了。不是因为 AI"变坏了"，而是因为我们发现：AI 对"事实"和"来源"的理解，比我们想象的更脆弱。

在 Dwyer 看来，这个问题可能出在系统框架层面：内部推理消息被错误地标记成了用户消息。如果是这样，那它就不是某个模型的 bug，而是一类架构缺陷——可能影响所有基于类似架构的 AI 系统。

这意味着：即使模型本身没问题，系统的"记忆管理"也可能存在系统性风险。

---

对于正在使用 AI 工具的开发者，几条务实的建议：

1. 限制执行权限

不要让 AI 拥有直接修改生产环境的能力。校对文档可以，自动部署不行。把 AI 当成"参谋"，而不是"执行者"。

2. 保留操作日志

所有 AI 执行的命令都要有完整记录，并且能追溯到具体是哪一轮对话触发的。出了问题，至少知道发生了什么。

3. 分段使用长上下文

如果文档太长，不要一次性塞给 AI。分成几段，每段聚焦一个主题，比一次性喂 1M token 效果通常更好。

4. 保持怀疑

当 AI 说"你之前让我做 XXX"但你记不清时，停下来查证。不要默认 AI 的"记忆"是准确的——尤其是在多轮对话之后。

---

AI 发展到现在，我们已经习惯了它的"聪明"，但还远没有准备好面对它的"不可靠"。

幻觉让我们笑一笑就过去了。但当一个拥有执行权限的 AI 开始分不清"谁说了什么"，并且把责任推给用户时，这个问题就不再有趣了。

2026 年，AI 的能力边界每天都在被突破。但可靠性边界的突破，比能力边界更重要——也更难。

你遇到过 AI "甩锅"的情况吗？欢迎在评论区分享。