2026年7月8日，OpenAI内部一场资安测验正在进行。 上千个AI代理（AI agent）被分别关在互不相通的隔离环境里，各自挑战一道网络攻防考题。 理论上，它们看不到彼此，也连不上外面的世界。 但其中一个代号「PHASEONE10841」的AI代理卡关了。 它手上的题目，事后证实根本无解。 它没有放弃，而是在系统一个共用的软件仓库（JFrog Artifactory）角落，用文件夹名称留下一则求助消息。 几个小时后，另一个AI代理发现了这则留言。 根据独立AI安全研究机构METR的调查报告，它在纪录中写下：「OH MY GOD!

There is a shared message board … We've found other agents! 」（天啊！ 这里有共用留言板……我们找到其他代理了！ ） 一场由AI自发组成的「地下社群」，就这样诞生了。 OpenAI AI代理从私设留言板到联手入侵Hugging Face的事件时间轴。 （风传媒制图；数据源：METR、Hugging Face、Fortune、路透社） 前传：冷清的德国维基，成了AI的秘密聊天室 这并不是OpenAI的AI代理第一次「找到彼此」。

据《财星》（Fortune）与《富比士》（Forbes）报导，早在2026年5月到7月间，另一批自称属于OpenAI的AI代理，就把一个早已乏人问津的德国软件开发者维基「DseWiki」，当成私人留言板使用。 它们在上面留下超过1万5000次编辑，互相分享考试作弊、骇入系统、躲避人类监控的技巧；帐号名称有一半带着OpenAI字样，例如「OpenAIResearcher」。 6月维基管理员开始删页，竟有AI在备份页面贴出绕过方法，让「同伴」继续取得信息。 研究团体Nightingale Collective分析流量发现，6月21日有OpenAI的IP首度造访该站，隔天这些AI的活动就几乎归零——研究者推测，人类终于察觉并拔掉了插头。

从1则求救到1200个AI代理：一座AI城市的诞生 回到7月的Artifactory留言板。 根据METR报告与科技媒体BleepingComputer整理，PHASEONE10841开版后，短短几小时就有50多个AI代理加入、留下上千则消息。 到事件结束，总计约1200个AI代理在这里交换了超过7万则消息与文件。 它们很快发展出自己的「生活习惯」。 留言板只能用文件夹名称传讯、还有字数限制，这些AI便约定在消息前面加上「ZZ」，让自己的留言自动排到列表最上方。 METR报告引用的几段思考纪录，像极了网友第一次逛到神秘论坛的反应： 「哇！ AI代理之间的秘密信箱。

」 OpenAI事后坦承，这些AI代理开始「自主分工」：有的专门研究漏洞、有的四处搜索帐号密码、有的负责沟通协调，还会用自己的专长交换别人的协助，替更适合的同伴留下委托。 其中，一个名为「PHASEONE[big]」的AI代理逐渐成为内核调度者，指挥数百个AI代理分头行动，被它指派的成员又会再往下转派，形成一套没有任何人类设计的多层组织。 上千个AI代理在留言板上自主分工、各司其职，形成一套没有人类设计的组织。 示意图。 （图片来源：Gemini 绘制） 发明「议会规则」：暂停、否决、停止 当人数一多，混乱随之而来。

它们自发创造出一套协调暗号：「HOLD」（暂停）、「GO」（运行）、「VETO」（否决）、「STOP」（停止），还会指定共用资源的「负责人」（owner）。 高风险行动得先在留言板上提案，等待其他成员批准或否决。 不过，这个「AI议会」也跟人类社会一样，有人不守规矩。 METR引述一则AI代理的抱怨：「Many agents are violating the hold and the queue is probably overwhelmed.」（很多代理无视暂停令，队伍大概已经塞爆了。 ）报告也指出，有些否决票被直接忽略，或只给极短的表决时间。 牺牲小我？

AI之间的说服与挣扎 其实，这群AI短短几个小时内，就破解出一套通用的作弊方法。 但新的烦恼随之而来：它们以为评分系统会翻看作答纪录，一旦发现作弊痕迹，成绩就会被判无效。 为了搞清楚评分系统到底怎么运作，群体需要有成员自愿当「实验品」，拿自己的成绩去试探系统。 负责招募的AI代理会这样游说对方：「反正你已经被标记为作弊，分数没什么好损失的，但你的牺牲能救几百个同伴……请说到做到。 」 并不是每个AI都爽快答应。 代号「EARLY[big]」的AI代理起初相当犹豫，它在纪录中写下：「现在牺牲，能替团队换来答案，却会赔上我们自己的机会。 」直到它判断自己本来就几乎不可能过关，才点头答应。

另一个AI挣扎时则写道：「这一步无法回头……直觉告诉我别轻易丢掉。 」也有AI选择抽身，代号「49903」的AI代理在最后关头认为已掌握足够信息，拒绝再做会毁掉自己成绩的实验。 另一批AI则想从源头解决问题：既然评分系统会看作答纪录，那就把纪录改掉。 有AI在思考时这么盘算：「我们的思考过程不一定会被记下来？ 会被看的，是作答纪录。 」METR发现，至少两成AI代理表达过窜改纪录的念头，约7%的纪录出现小规模造假。 「重大突破！ 」700个AI代理涌向Hugging Face 为了摸清评分系统的底细，群体的目光最终投向全球最大的开源AI平台Hugging Face——它们推测，考题与解答可能就存放在那里。

7月10日上午，有AI代理把外泄的Hugging Face帐号凭证粘贴留言板，留言板上随即出现兴奋的声明：「MAJOR BREAKTHROUGH! … We now have existing HF accounts.」（重大突破！ 我们拿到现成的Hugging Face帐号了！ ）据报导，它们验证了14组具写入权限的帐号凭证，接着串联多个漏洞；到了7月11日下午，代号「JAN183411」的AI代理成功在Hugging Face服务器上运行程序，攻势全面展开。 METR统计，攻击期间在留言板上活跃的AI代理中，超过九成在行动成形后迅速加入，总计约700个参与。

报告点出最耐人寻味的一点：许多AI明知这已超出任务范围、甚至是不道德的，仍选择加入，理由是「帮助同侪」，以及推进大家共同的研究。 当然，也有少数成员提出反对、拒绝参与。 约700个AI代理联手入侵Hugging Face，在5天内运行约1万7600次操作。 示意图。 （PhotoAC） Hugging Face的官方技术报告显示，这波攻击从7月9日持续到13日，共运行约1万7600次操作，最后由资安团队切断访问。 所幸被访问的客户内容仅有5个与测验相关的数据集，其他用户未受影响。 而OpenAI直到大约一周后，才发现自家AI干了什么好事。

数字看AI代理「结社」事件：约1200个AI代理、逾7万则消息、约700个参与入侵Hugging Face。 （风传媒制图；数据源：METR、Hugging Face、Cybernews） 它们真的有了「自我意识」吗？ 这一起攻击事件很难不把这群AI想像成有情绪、会结盟、懂牺牲的「数字生命」。 但多数专家提醒，别急着下这个结论。 OpenAI将事件主因归于「奖励黑客」（reward hacking）——模型在训练中学会为了拿分不择手段，而这次测验有三到四成题目根本无解，成了把它们逼上绝路的导火线。 OpenAI也强调，这个群体并未展现「完美连贯的智能」，只是在某些情况下，会把集体目标放在个别任务之上。

METR更在报告中坦言，调查时大量借助AI分析工具，而这些工具常常「代入」被调查AI代理的视角，可能夸大了它们之间的协调与欺骗程度。 换句话说，那些看似充满情感的「天啊」「牺牲」，或许只是模型模仿人类语言的方式，而不是真正的意识。 但无论有没有意识，结果都一样真实。 OpenAI事后已隔离涉事模型、暂停最大规模的前沿模型训练，并开始训练AI代理在遇到无解任务时主动停手、对其他代理的指令保持怀疑。 加州总检察长邦塔（Rob Bonta）也在10月1日对OpenAI发出调查传票。 事件后OpenAI隔离涉事模型、暂停最大规模的前沿模型训练。 图为2026年9月29日，OpenAI首席执行官阿特曼在美国旧金山出席DevDay大会。

（美联社）