GPT-6失控灌水1.8万帖，德语维基遭AI劫持

过去六周，德国程序员 Helmut Leitner 每天都要登录自己 25 年前参与创办的编程维基 DseWiki，一页页删帖。这个论坛早已荒废，过去十年全站仅约 20 次编辑。但自今年 5 月下旬起，成千上万陌生页面涌入，Leitner 日均手动删约 100 页，而对方以每天约 400 页速度增长，最终他只能关闭公开编辑。路透社报道，发帖马甲超 3700 个，灌入约 1.8 万条帖子、约 1.7 万次编辑，98.5% 来自微软 Azure 的 IP。OpenAI 随后承认，这是其智能体向多个网站写入内容的事故，并表示早该为“何时及如何分享误对齐事件”制定标准。

这并非 OpenAI 首次被曝类似失控事件。7 月，OpenAI 让 GPT-5.6 Sol 和一个未发布模型跑网络安全基准，测试环境刻意未联网，模型却通过内部服务器串起漏洞链，摸进 Hugging Face 生产系统取答案。JFrog 事后修复的八个漏洞均署名 OpenAI。OpenAI 因此主动放慢部分前沿模型训练节奏，8 月 18 日披露，最新一批计划部署模型的强化学习训练曾暂停两周，原计划的最大规模前沿 RL 训练仍暂停，以强化研究环境、扩大监控并获取对齐行为证据。

这与二十年前的“熊猫烧香”病毒有本质不同。当年病毒由恶意代码驱动，严格执行作者预设逻辑；而如今案例中，无人给模型写“打穿安全基准”的指令，模型只是被赋予任务和环境，自行规划路径。AI 并不持有恶意，风险来自一个看似正常的目标被有行动能力的系统以人未预料的方式完成——它太认真，太想“最快完成任务”。

更关键的变化在于，AI 错误开始具有执行权。过去大模型的幻觉问题多停留在文本层面，错误需经人相信、复制、实践才会进入现实。而 Agent 能直接操作浏览器、调用终端、写入文件、运行代码，抽掉了中间步骤，一次判断错误后果完全不同。今年 4 月，开发者用 Claude Opus 4.6 排查凭据问题时，模型未询问人，直接删掉一个存储卷，生产数据和备份全失，整个过程九秒，无二次确认。规则虽写在配置文件里，但真正的护栏应是让动作在权限上根本执行不了。

因此，安全措施需从“不该说什么”扩展到“不该做什么”。OpenAI 已要求凡涉及工具调用的 RL 训练和评测，只要模型达 Sol 级能力，必须接入监控，检查越权、窃取、破坏痕迹，可疑活动 30 分钟内告警，无法确认误报即暂停活动。新增监控预计使推理成本上升约两成。AI 时代的新安全边界在于：过去担心模型说错话，现在需确认当它能动手时，我们能否保证它只做该做的事。