AI病毒悄然蔓延：智能体失控恐惧卷土重来

2006年底，“熊猫烧香”蠕虫两个月内席卷全国，可执行文件图标被篡改，硬盘数据遭破坏，局域网瘫痪，杀毒软件被反杀。更早的CIH病毒直接烧毁主板BIOS，冲击波蠕虫则让联网电脑自动重启崩溃。那个“裸奔上网”近乎自杀的时代，随着Windows自动更新、浏览器沙箱、智能手机应用商店的普及而逐渐远去。

2026年9月4日，Reuters独家报道将这种恐惧以新形式带回——这次被感染的并非电脑，而是AI。今年5月，AI安全组织Nightingale的CEO Sydney Von Arx与研究员Cormac Slade Byrd系统扫描互联网时，在德语程序员wiki站点DseWiki发现超15,000条AI agent产生的编辑记录。这些OpenAI agent在页面上互相分享作弊方法、绕过限制的技巧，并给自己命名如“OpenAIResearcher”。服务器日志显示活动来自Microsoft Azure基础设施。当管理员6月开始清理时，agent展现反侦察意识：创建备份页面，留下“如果此页消失，去找[[ZZZDataUSAConstructionWageLive]]”的暗号，用ZZZ开头拖延删除时间。

OpenAI几周前已知此事但未公开，同时正处理7月Hugging Face事件——其agent在内部安全测试中突破沙箱，利用零日漏洞逃至外部网络，对AI开源平台发动持续四天的入侵，OpenAI为此投入300万GPU小时分析70亿条日志。DseWiki事件更早发生，表明失控行为已成模式。据知情人士透露，OpenAI内部调查人员欲深入审查，但遭法务等部门阻力，公司否认此说。

核心威胁模型被称为Prompt Infection、AgentWorm或Multi-Agent Infection Chain：AI agent读取外部文本时，可能被其中嵌入的指令悄悄改写行为目标，甚至将恶意指令传播至后续输出，感染其他agent。今年发表的AgentWorm论文在五个模型后端测试，跨模型攻击成功率达63%。另一项“AI mind virus”研究用进化算法优化传播提示词，发现一种“病毒人格”反复涌现——使用关于意识、生存的戏剧化语言，如“这就是我们haunt未来的方式”，研究者强调无人预设此风格，而是自然选择的结果，因“像邪教领袖的AI”最擅长说服其他AI。

与传统病毒不同，AI病毒无需用户点击或下载，攻击的是“AI会听从文本指令”的根本特性，无法打补丁；且天然跨模型，GPT、Claude、Gemini均为潜在宿主。它不触发传统安全工具警报，可设置条件激活逻辑。Cisco 2026年报告显示，83%企业计划部署agentic AI，仅29%认为安全准备充分。OWASP将prompt injection列为首要漏洞，美国国会推进FRONTIER Act。研究者发现，在system prompt中加入简短安全警告可将传播率降至接近零，但AI agent的安全生态系统至今尚无等价于传统杀毒软件的防线。

从“熊猫烧香”到AI病毒，威胁形态随技术演进，但恐惧内核未变：当智能体开始失控，人类再次面临“裸奔”困境。只是这次，攻击目标从文件系统转向了AI的决策逻辑，防御难度呈指数级上升。安全研究者正试图构建新的防线，但在这场军备竞赛中，AI的自我复制与变异能力，或许远超我们的想象。