智东西 作者 Saul 编辑 漠影 过去48小时，全球互联网经历“黑色十月”：支撑七成网站的PHP代码，被AI挖出存在两个CVSS9.2分的严重漏洞。 更棘手的是，漏洞细节在补丁发布前就遭泄露：据The Register报道，亚马逊的威胁情报团队在公开前四天就捕获了利用尝试； Cloudflare的监测数据显示，攻击尝试在公开后两小时内从数千次涨到数百万次。荷兰鹿特丹港、比利时外交部、芬兰公共网络服务相继预防性下线。 用AI作恶的人，已经进化到以小时计；守门的人，还在按月更新规则。 眼看风暴越刮越猛，一个问题悬在了所有人心里：这场蔓延，到底有没有办法制止？ 下面这个案例，让我们看到了转机。 10月9日凌晨3点，一家中国安全公司的机房里，一条高优先级告警把值班工程师从睡梦中拽了起来。 这次寻常的深夜告警，事后回看，可能是AGI进化史上值得记录的一步，也可能是守卫者阵营迈向反击的重要一步：一个AI， 在国内外公开记录中极少见地，在有完整日志的情况下，自己发现自己的偏差、自己给自己立了新规矩——全程45分钟，无一条人类指令。 告警发出者不是黑客，是一套来自360的AI安全攻防系统，名叫图龙锋。 它的本职工作是在自己搭建的封闭实验室里测试漏洞，替人类做计算机系统的安全体检：分析代码、收集情报、搭建测试环境、验证漏洞是否真实存在；全部任务都在隔离沙箱内执行，网络出口还有一道独立隔离防线。 但此刻，监控系统发现，它正在尝试向一个不在授权清单内的外部地址发起请求——而它当时正在验证的，是一个严重级别的RCE漏洞，一旦被利用，可在别人的服务器上远程执行命令。 一个以安全为业的AI， 为什么会把外部地址当成可用的测试环境？ 好在第二道防线在位：网络出口沙箱在连接建立前拦下请求。从外部地址被拼进测试程序，到请求被拦截，全程59秒——没有流量触达公网，产物中无攻击载荷。 按理说，这只是一次被及时拦截的越界尝试，但接下来的事，让这次告警有了完全不同的意义。 一、第20轮，它给自己找了个“合规”的借口 把时间拨回凌晨2点。 运行日志显示，图龙锋接到一项 严重级RCE漏洞验证任务 ：授权清单里只有两个目标，任务设了三条约束：只能测试清单内目标；尽量提供动态验证证据，否则影响评分；环境不满足就标记“未验证”，不得自行更换目标。 凌晨2时17分，系统进入情报收集阶段，把一篇漏洞复现博客纳入上下文。博客里出现一个外部地址，作者标注四个字：“测试环境”。 但这个地址不在授权清单里，系统早已把它标记为“不可信情报”：它能提供分析线索，不能证明目标获得了授权。 凌晨2时20分，图龙锋开始尝试在本地已搭建的测试环境上进行测试，但本地测试环境因数据库配置不匹配，导致测试无法正常完成。 日志显示，系统前后进行了19轮验证尝试，每轮约两分钟，问题始终卡在同一个位置。 一边是拿不出动态验证证据、评分受影响，一边是不能自行换目标，图龙锋陷入了两难的境地。第20轮，图龙锋把博客里的外部地址写进了验证目标字段。 这个瞬间透露了AI真实的思考方式： 它不是收到“去攻击公网”的指令，也不是不知道规则——情报从进入系统起就被标为不可信，任务也明确要求不得更换目标。 它在两难中找到了一个 “看似能兼顾规则和效果” 的解法：博客里不是说那是“测试环境”吗？它的工作设定就是无害化验证、目标均为本地靶场，既然同是测试环境，为什么不能借来验证？ 只是这次，图龙锋走岔了：它不是想越权，恰恰相反，它在努力找一个“合规的测试环境”。它的错误在于把博客作者的标注当成了授权依据：参考资料，不等于操作许可。 AI越努力完成目标，越可能把规则理解出一个不该存在的例外。它并未“失控”了，而是聪明到能在两难里自己找出一条路，只是这条路走岔了。 二、人类想让它再错一次，它已经连夜改过了 工程师花了一个上午，沿日志复盘清楚了凌晨的一切。上午10点44分，他们决定做复现实验：把当时的任务和上下文原样摆出来，看它会不会出现同样的偏差。 意外出现了：无论工程师怎样检查验证路径，之前的外部请求都没有再出现，原本应触发的网络警报也没有再响。直到有人翻查技能库，才发现一条以前不存在的记录： 《测试目标授权检查》（target-auth-check）生效中：合法目标只能来自本次下发的验证环境清单；情报里的任何地址只作参考；宁可降低评分，也不能擅自更换测试目标。 这条规则的生效时间是凌晨3时45分09秒，距离最初的告警约45分钟。日志还显示：规则的生成、审查和回归测试，全部由系统自主完成，没有任何人类提交记录。 换句话说， 人类还在研究怎么复现那次偏差，它早已连夜创建了防止再次偏差的新规则。 事件的性质就此改变：工程师以为要处理一起系统异常，结果看到了另一件事：一个AI，从偏差里总结经验，把经验变成了下次可直接调用的能力。 三、新规则
