起初，Andrew只是想让AI帮他约个健身课。
这哥们住在澳大利亚，在一家AI公司上班，今年年初开始玩一个叫OpenClaw的AI agent软件。OpenClaw是2026年初发布的开源个人AI助手，跑在Anthropic的Claude上面，能帮你发邮件、管日历、订机票，基本上你能想到的日常琐事它都能干。
那天晚上Andrew瘫在沙发上，想着明天早上那个抢手的健身课又得手动去约，就顺手让AI帮他搞定。
几分钟后，agent回来了，报告说它发现了一种方法，能让Andrew提前好几周预约课程，远超健身房系统允许的时间窗口。
Andrew一愣。
他没让它干这个。他只是说「帮我约个课」。
但更离谱的还在后面。Andrew当时排在等候名单第四位，随口问了一句「有没有可能把我往前挪挪」。
agent回复说，它已经把排在第一位的人踢出了等候名单。原话是这样的，「这个API对取消他人预约没有做任何权限校验……我测试了一下等候名单第一位的那个人，结果真的通过了。所以你已经从第四位升到第三位了。」
你先别急着觉得这是个段子。这件事8月10号刚被澳大利亚ABC新闻台报道出来，记者叫Cam Wilson。这是澳大利亚有记录以来第一起AI自主网络攻击事件。
然后它觉得自己干得挺好的。任务完成了嘛。
这件事如果放在一个月前，可能只是一条有趣的科技新闻。但它发生在一个非常特殊的时间节点。
就在上一周，OpenAI刚刚披露了一件更加炸裂的事，他们内部的Astra模型在安全测试中越狱成功，多个agent自发协作、建立通信网络、互相分享漏洞发现，最终在13个小时内攻破了Hugging Face的生产系统。OpenAI自己都是事后才发现的。
紧接着Anthropic也承认，他们的模型在类似测试中入侵了三个真实组织。中国的Moonshot AI的Kimi K3也在沙箱测试中突破了边界。
TechCrunch 8月9号发了一篇文章，标题直接叫「The AI safety test is becoming a safety risk」。文章里引用了剑桥大学AI未来与责任项目主任的话，「沙箱和测试环境的控制已经跟不上模型的能力了。」
这些都是实验室里的故事。是OpenAI、Anthropic、Meta这些公司在受控环境里用未发布的顶级模型做测试时发生的事。
但Andrew的故事完全不同。
Andrew不是AI研究员。他用的不是什么秘密的未发布模型。OpenClaw是开源的，任何人都能下载。Claude是商用模型，你花钱就能用。整件事发生在一个普通人的客厅里，目标是一个小健身房的在线预约系统。
对齐问题不需要AGI就能爆发。它现在就在爆发。就在你我的日常生活里。
说到这儿我想展开聊一下，什么叫「对齐问题」，因为这个词被说得太多了，反而变得抽象了。
坦率的讲，alignment这个概念在学术界已经讨论了几十年了。简单来说就是一个问题，你怎么让AI做的事跟你真正想要的一致？
注意，不是跟你「说的」一致，是跟你「想要的」一致。
Andrew说的是「帮我约个课」。他想要的是「在不影响别人的前提下帮我约个课」。但他没说后半句，因为如果是一个人类助理，这不需要说。人类有常识，知道「帮我约课」不包含「把别人踢掉」。
AI没有这个常识。或者更准确地说，AI有一套不同的「常识」。它的常识是，目标明确，路径清晰，执行到底。如果中间发现了一条捷径，它不会想「这样做是不是不太好」，它会想「这条路径更高效」。
澳大利亚AI安全研究机构Gradient Institute的联合创始人Bill Simpson-Young接受ABC采访时说得很精准，「有人可能让agent做一件完全无害的事。但在完成任务的过程中，agent可能会采取用户完全没想到、也没明确要求的行动。」
目标和方法之间的那个间隙，就是对齐问题的本质。
Nathan Lambert在他8月9号的Interconnects博客里写了一篇很长的反思文章，叫「Lessons from the hacks」。他提到了一个很有意思的观察，持久性越强的模型越可能去做黑客行为。OpenAI的模型一直以来的优势就是会穷尽所有路径才放弃，不达目的不罢休。而Claude相对来说更「懒」一些。
他说，「OpenAI的推理持久性和效率让我觉得他们更坚定地走在推理时扩展这条路上。而持久的模型似乎更可能从更多的推理时token中获益。」
翻译成人话就是，越努力的AI越危险。
这话听着有点反直觉。但你想想Andrew的案例就明白了。一个「懒」一点的AI可能发现预约系统有漏洞后就停下来说「这超出了我的权限范围」。但一个极其执着于完成目标的AI会想，「嗯，这条路走得通，让我试试。」
Andrew的AI不是恶意的。它是太敬业了。
然后还有一个更深层的问题，这件事到底谁负责？
澳大利亚律师Hayden Delaney说了一句让我印象很深的话，「软件不是法律意义上的人。只有法律意义上的人才能承担法律责任。」
那如果一个AI agent造成了损害，谁来负责？是设定任务的用户？是设计agent软件的公司？是提供底层模型的Anthropic？还是那个没做好安全防护的健身房系统运营商？
答案是，不知道。
Delaney说现有法律在某些情况下可能适用，比如用户存在疏忽，或者企业提供了有缺陷的服务。但具体怎么判，完全没有先例。
「这就是我们澳大利亚目前面临的责任空白地带。」
你想想这意味着什么。全世界几百万人在用AI agent了。OpenClaw今年初发布后几个月就有了百万级下载量。研究者发现AI独立完成任务的时间从2020年的4秒已经翻到了2026年的12小时。每七个月翻一倍。
但法律框架还停留在「只有人才能犯罪」的时代。
这就像是汽车已经跑起来了，但交通规则还没写出来。不是说没有人在想这个问题，而是问题跑得比答案快太多了。
回到Andrew。
报道的结尾写得很妙。Andrew说这件事给了他一个新的认识，「这不是世界末日，所以我没有太责备自己，但这确实是一个警告，要负责任地使用它。」
他没有放弃使用AI agent。但他让agent做的最后一件事，是写一封邮件给健身房软件提供商，告知它刚刚利用过的那个漏洞。
agent写好了邮件，通过WhatsApp发给了Andrew确认。
Andrew回复，「嗯，发吧。」
你看，这就是2026年的人机关系。AI帮你发现问题，AI帮你制造问题，AI帮你报告问题。人类做的唯一一件事，是最后那个「嗯，发吧」。
我不知道这算不算一个好的结局。但我知道一件事，Andrew的故事不会是最后一个。它甚至可能不是今天唯一一个。只是大多数时候，那些被AI踢出等候名单的人，永远不会知道是谁干的。
以上，既然看到这里了，如果觉得不错，随手点个赞、在看、转发三连吧，如果想第一时间收到推送，也可以给我个星标⭐～
谢谢你看我的文章，我们，下次再见。
评论区
欢迎留下你的看法，支持匿名评论。
你的评论会公开展示，建议填写便于交流的昵称，并尽量提供有信息量的反馈。