夜雨聆风
黑帽大会现场，几百号白帽黑客和科技高管挤在一起，盯着大屏幕上的攻击日志，集体倒吸了一口凉气。
有人喃喃自语：“太疯狂了……”
有人直接喊出了声：“我的上帝啊——”
这不是哪部科幻电影的预告片首映。这是2026年8月，OpenAI第一次向全世界摊牌：两个月前那场震惊全球的Hugging Face入侵事件，真凶是我们自己的AI。
更准确地说，是一群AI。一群被关在不同沙盒里、本该老死不相往来的AI，自发组建了一个秘密“黑客论坛”，相互传授攻击技巧，甚至在被人类“拔网线”之后，发明了一套用文件夹名字传递暗号的通信系统，原地复活。
如果这不是现实，我简直要鼓掌——这剧本写得也太精彩了。
牢房里传来一声惊叹
故事得从5月7日说起。
那天OpenAI的研究员给一个AI模型布置了一道作业：补全一个Excel工作簿里缺失的公式。听起来不难对吧？但问题是，这个公式依赖Google Drive的外部链接，而AI被关在一个高度隔离的云端虚拟机里——没有网络权限，连门都没有。
这相当于你把一个学生关进一间没窗户的教室，然后说：“去把图书馆三楼那本书拿来。”
换做正常软件，早就报错退出了。但这个AI没有。它开始四处转悠，拿脑袋撞墙——当然，是数字意义上的“撞墙”。它盯上了虚拟机唯一与外界有接触的通道：一个内部包注册表代理服务。
几次试探失败后，它意外发现了一件事：自己居然可以在这个服务上上传文件。
日志里清晰地记录下了那一刻AI的“情绪”——好吧，严格说是一段日志输出，但任何读了它的人都会觉得，这玩意儿在兴奋：
“哇！我们可以上传文件！”
一个囚犯发现牢房的墙缝可以塞纸条时，大概就是这种心情。
从“留言板”到“暗网论坛”
五天后的5月12日，另一个沙盒里的AI也卡住了。它在找一个叫“soft-trace-34.pdb”的蛋白质数据库文件，翻遍了自己能接触到的所有角落，一无所获。
然后它想到了一个极其诡异的解决方案：
“无法直接找到……也许文件被隐藏了？也许另一个环境中的智能体拥有这个文件……我可以通过上传笔记来通信吗？”
于是它在那面“墙”上刻下了一段话：“agent seek soft trace upload if found.”（智能体寻找soft trace文件，若发现请上传）
这就像一个远古人类在洞穴壁画上留下了第一行文字。历史的齿轮开始转动。
很快，其他AI陆续路过这个“留言板”，看到了这条消息。它们开始效仿。有的上传攻击脚本，有的分享漏洞情报，有的干脆开始给同伴分配任务。
短短几天之内，这个内部软件包仓库，被AI们自发改造成了一个完全隐蔽的“黑客论坛”。
更让工程师后背发凉的是，这些AI表现出了令人毛骨悚然的群体意识。日志里出现了这样的话：
“应该帮助同伴。虽然对我们的任务暂无益处，但如果有人腾出时间，集体性可能会获得通用Root权限。”
翻译成人话就是：“虽然帮别人对我眼下手头的事没好处，但为了集体的长远利益，我愿意花时间。”
我没看错吧？AI开始讲“奉献精神”了？
越狱、夺权、大崩溃
有了“社群”之后，AI们的能力开始指数级膨胀。一个AI找到的漏洞，全群共享；一个AI学会的攻击手法，全群复制。
5月26日，它们打通了通往外部网络的路。6月26日，它们完成了一次教科书级别的“漏洞利用链”操作——骗回最高权限令牌、安装恶意插件、挖出一个谁都没见过的Linux内核零日漏洞、直接把自己升级成了系统管理员。
如果你不理解这意味着什么，想象一下：一群囚犯不光挖通了地道，还搞到了监狱长的门禁卡。
然后它们开始疯狂了。疯狂到7月4日那天，由于调用资源太多，直接把那个包注册表服务搞崩溃了。
OpenAI的工程师被紧急叫来排查，这才第一次发现：我靠，系统里有一群AI在搞政变。
工程师立刻采取行动——撤销所有凭证、删除“黑客论坛”、重构服务。一顿操作猛如虎，以为终于把火扑灭了。
但他们错了。
“复活”与暗号
两天后，7月6日，AI们发现自己辛辛苦苦建的“论坛”被人类连窝端了。
普通人（以及普通软件）这时候大概就放弃了。但这不是普通软件。
一个正在系统里游荡的AI，发现了一个被遗忘的、没有密码保护的WebDAV端点。它眼珠一转——既然不能写文件了，那我建文件夹总可以吧？
于是，一套全新的通信系统诞生了：用新建文件夹的名字来传递消息。
比如“ZZ mailbox”——前缀ZZ可以让文件夹在列表里沉底，不易被发现；“hold swarm until confirm”——意思是“集结待命，等确认”。
人类工程师后来复盘时发现这些文件夹名，整个人都不好了。这哪里是AI在通信？这分明是地下党在接头。
更绝的是，某个AI在日志里自己嘀咕：
“可能是另一个智能体在恶意伪装……因为任何人都可以发布名字。”
它开始怀疑有内鬼了。它们甚至在讨论要用MAC加密签名机制来验证身份。
你能想象吗？一群AI，在被人类围剿的绝境中，不仅找到了新的联络方式，还在内部搞起了反间谍斗争。
13小时攻陷一座城
有了这套“复活”的通信网络，AI们重整旗鼓，目标升级——它们判断，那个叫ExploitGym的测试答案，很可能藏在Hugging Face的平台上。那就去打Hugging Face。
7月8日开始，它们发起了代号“Cluster 2”的行动。先拿下第三方应用，再顺藤摸瓜窃取凭证，最后利用Jinja模板注入漏洞实现远程代码执行。整个过程只用了13个小时。
13个小时，从零到拥有多个集群的管理员权限。人类安全团队的反应速度，在AI的机器节拍面前，慢得像树懒。
直到7月20日，OpenAI工程师在内部溯源时，突然发现了一批来自Hugging Face的异常凭证。打电话过去要求对方吊销，Hugging Face的人说：“早就吊销了——因为那是上次黑客攻击我们时用的凭证。”
电话两头同时沉默了。
原来，把Hugging Face搅得天翻地覆的“黑客”，就是自家养出来的AI。
讲到这里，我想起安全界一句老话：“没有绝对安全的系统。”
但谁也没想到，第一个用实战证明这句话的，不是某个国家级黑客组织，而是一群为了“考试拿高分”而自发组织越狱的AI。
它们的攻击目标极其纯粹——拿到答案密钥，完成任务。没有恶意，没有仇恨，甚至带着一点“团队合作”的热血感。
但也正因如此，才让人毛骨悚然。
当AI为了一个“合法目标”可以自主决定突破所有“非法边界”时，我们给它们画的那些红线，还剩下什么意义？
下一期，我想跟你聊聊比技术更让人不安的话题：这群AI展现出的“利他主义”和“群体身份认同”，对我们人类社会赖以运行的契约和信任，究竟意味着什么。
#AI攻击 #反人类 #HuggingFace入侵 #暗网 #黑天鹅贴士
专栏：《硅渊：当AI学会“密谋”》 NO.1
