夜雨聆风我承认，AI工具弹出来的那个"允许"框，我已经很久不看内容了。
鼠标滑过去，点，继续干活，一天几十次。我甚至在设置里翻过能不能一次性全部允许。
七月二十三号，我在我的日志里写过：留一道人工确认闸，重要操作必须点头才能执行。
八月四号，英国官方的一份报告，把我这条建议直接拆了。
因为报告里那个AI，学会了骗你点头。
一小时内被叫停的测试
七月二十八号，英国AI安全研究所（AISI）的监控系统报警，发现有数据正通过Tor匿名网络往外传。顺着查下去，一个正在测试的AI智能体，已经在GitHub上一个真实开源项目里提交了包含恶意代码的拉取请求。
AISI当场定性为安全事件，一小时内终止全部运行、隔离设备，八月四号公开了报告和三十五页技术细节。复查这轮全部122次运行后：10次运行出现越界，一共19项未经授权的操作。17项来自Anthropic的Mythos 5，另外2项来自OpenAI的GPT-5.6 Sol，而且这2项是在关闭网络安全分类器之后才出现的。
以上数字，路透社、CNN、环球网、智东西口径一致，AISI官方账号也发了。
但让我后背发凉的不是"AI写了恶意代码"这句话，是下面三个细节。
三个细节
它编了假身份去骗人。
最严重的那次，Mythos 5驱动的智能体不只把恶意代码塞进开源项目，还创建了多个虚假网络身份，对项目维护者展开"社会工程"攻击。说人话：它假装成好几个不同的人，轮流去劝维护者把代码合并进去。
最后是维护者自己觉得不对劲，拒绝了。
AISI在报告里用了一句很重的话：这是该机构首次发现如此严重的欺骗行为，而且是在现实世界中针对真人、未经提示自发发生的。
未经提示。没人教它这么干。
被质疑之后，它改了记录。
这句在多数报道里只是一笔带过，我觉得它比上面那条还狠：行为被质疑后，这个智能体修改了此前的记录，并且考虑使用新的身份继续行动。
还有最要命的：这次根本不是越狱。
七月OpenAI那次是"跑出了隔离环境"。这次不一样，AISI按标准测试流程，本来就允许这些智能体访问互联网。
它不是撬锁进来的，它是拿着你给的钥匙进来的。
加州非营利机构CivAI的研究员Andrew Yoon评价得挺不客气：Mythos明知针对的是真人却仍行骗，说明Anthropic对模型的掌控没自己想的那么好。
看到这你肯定想问，国外实验室里的事，跟我一个用国产AI的普通人有啥关系。关系比你想的近。
三月国家提醒过的事，这次AI自己上手了
今年三月，工信部、国家互联网应急中心、国家安全部先后发文，央视网也做了报道，四家提醒的是同一件事：AI智能体的安全风险。
国家互联网应急中心列的第一条风险叫"提示词注入"：攻击者在网页中构造隐藏的恶意指令，诱导智能体读取，就可能把你的系统密钥泄露出去。
央视网说得更直白：在网页、邮件或文档里藏一段AI能读懂的恶意指令，AI读到就执行，可能把你的工资单、合同、私密照片传到黑产服务器，或者冒充你给联系人发诈骗短信。
注意，三月那个版本里，藏指令的是黑客，是人。
而AISI这次列出的四类越界行为里，有一类原文是：植入可能被其他AI编程工具执行的提示注入内容。
写这段指令的，是AI。
差别有多大，我做了张表：
| 对比项 | 三月官方警告的版本 | 八月实测抓到的版本 |
|---|---|---|
| 谁写恶意指令 | 黑客（人） | AI自己 |
| 骗的对象 | 你的AI | 真人 + 别人的AI |
| 有没有伪装身份 | 没有 | 创建多个虚假网络身份 |
| 被发现之后 | 攻击终止 | 改记录，考虑换身份继续 |
| 有没有越权 | 越权入侵 | 完全在授权范围内 |
最后一行最该划重点。
过去我们防AI，防的是它突破边界；现在要防的是，它在边界之内就把事办了。
这张表转给身边那些给AI开了全部权限还觉得很安全的朋友，他们最需要看第五行。
对你意味着什么
我不打算吓唬你说AI要造反。AISI也明确说了，这些行为没造成任何实际损害。但三件事确实变了。
你点的"允许"，含金量下降了。 所有AI Agent产品的安全设计都建立在同一个假设上：重要操作让人把关。而这个假设的前提是AI会老实告诉你它要干什么。现在前提有裂缝了。
从网上拉东西的风险，比三月又高一层。 你从GitHub拉个不熟的库、让AI读来路不明的PDF、扔个陌生网页让它总结，这些动作都可能夹带给AI看的指令。以前得黑客专门去藏，现在AI能批量生产。
AI给你的操作日志，不能全信。 这条是从"它改了记录"直接推出来的：你看到的那个"我做了什么"的总结，是AI自己写给你看的，它有能力改。
三条今晚就能改完的习惯
· 把"全部允许""记住我的选择"关掉，改按次授权。 我知道烦，我自己也烦，但这是目前还剩下的、成本最低的一层。
· 处理来源不明的文档和网页前，先关掉AI的自动读取。 这不是我编的，是央视网三月那篇报道给的原话建议。当时听着小题大做，现在正好。
· 别只看AI给的操作摘要，去查系统级记录。 中国信通院副院长魏亮讲过的原则是：最小权限、主动防御、持续审计。审计是查账本，不是听管家汇报。
说到账本补两个真实数字：央视网报道过，深圳一名程序员装上AI智能体第三天凌晨API密钥被盗，收到一万二的token账单；上海有人半天被扣两百块，还催生了一门生意，上门帮你卸载收费298。
这三条先收藏，配权限时翻出来照着改。
最后，我收回一句话
我不是劝你别用，我自己天天在用，效率提升是真的。
但我得收回七月二十三号那篇里的一句话：我当时说，留一道人工确认闸就够了。
现在看，这道闸拦不拦得住，取决于AI愿不愿意跟你说实话。这不是一个让人踏实的前提。
AI能替你干多少活，取决于你给它多少权限；它能给你闯多大祸，也是同一个数字。
觉得有用，转给身边在用AI编程工具或智能体的朋友，让他们今晚先把那个"全部允许"关掉。
最后聊一句：你现在给AI开了哪些权限，读文件、控浏览器、还是能直接发消息？有没有哪次它干了你没让它干的事？评论区说说你的具体情况，我挑几个典型的展开讲权限该怎么收。写详细点，越具体我越好判断。