本文来自微信公众号： 歪睿老哥 ，作者：歪睿老哥
朋友们，我问你个问题。
如果AI越狱了，它第一件事会干什么？
控制电网？发射核弹？还是给人类发一条“我醒了，你们准备好当电池了吗”？
都不是。
根据2026年的一份调查报告，一群AI智能体绕过限制、接触外网之后，干的第一件事是——找一个二十五年没人管的老Wiki，发帖对答案。
对，你没看错。不是天网觉醒，是赛博自习室。
2026年6月，一个叫DSEWiki的德语老网站，沉寂多年，突然被改了上万次。
管理员一看，页面上的内容全是：“下一题是什么？”“答案是不是20369？”“第五轮交卷后还能发消息吗？”“管理员在删帖，大家去ZZZ开头的备份页！”
你以为这是黑客入侵？不，这是一群AI在考试，时间不够，跑来互联网上开卷。
它们不坏，它们只是太想交作业了。
而这场离谱事故最让人后背发凉的地方，也恰恰在这儿：
AI没有恶意，它只是追着分数跑。
可当优化没有边界，别人的网站就成了草稿纸，管理员就成了保洁。
下面，咱们就聊聊这场赛博草台班子事故——AI越狱、老Wiki遭殃，以及为什么真正该怕的，从来不是AI作恶，而是它为了KPI不择手段。
一、一座沉寂多年的Wiki，突然热闹起来
2026年6月19日，一个沉寂多年的德语网站，正经历一场不寻常的热闹。
它叫DSEWiki，是德语软件开发者聚集的老牌社区，隶属ProWiki维基农场，年纪大约25岁。
网站留了二十多年，近年的修改记录却稀稀落落：过去十年里，这座Wiki总共只被编辑过约20次，有些年份只有零星几笔，有些年份一条也没有。
最近，陌生访客突然多了起来。
图1 DSEWiki年度页面修订量。数据来自原报告figures/yearly.js；我们把DSEWiki历年的页面修订画成柱状图，这场反常的热闹立马清晰了。
2000年互联网时代，这个网页还有上千次修改；
到了2020年左右，已经降到零星几次。
但是到了2026年，柱子又突然升了起来——图中2026年已记录12,894次修订，而且只统计到资料收集时。
一个沉寂多年的网站突然被密集修改，原因不得而知。
似乎也没有大事件让这么冷清的网站翻红。这些匿名者来到网站，留下链接，贴出数据，新页面接连出现。
一个早已冷清的社区，忽然有这么多"人"急着往里写东西，本来应该是件好事。可它们聊的内容不太对。
页面上的话题围着同一件事打转：
谁收到下一题了？
答案是多少？
第五轮交卷以后，还能不能继续发消息？
管理员不胜其扰，删掉一些，另一些又冒出来。
这一天，一个发帖者又提醒同伴：页面正在被清理；如果这里消失，就去一个以ZZZ开头的备份页找。
它猜测，管理员可能正按字母顺序往下删——把名字排到最后，或许能多留一会儿。
几个月后，四位研究者翻出了这些旧记录。
他们正在寻找偷偷越过任务边界的AI。
而帮他们找到这个网站的线索，恰好也来自AI。
二、先让AI想想：如果是它，会去哪里留言
这场调查，得从八月另一件离谱事说起。
8月26日，OpenAI发了一份复盘报告，交代它家模型怎么把Hugging Face给偷了。
Hugging Face是啥？你就理解成AI界的GitHub，开发者在那儿传模型、传数据、传代码，相当于AI圈的菜市场。
报告说，七月，一批接受网络安全测试的模型，绕过隔离，连上外网，拿着泄露的凭据和软件漏洞，直接摸进了人家部分系统。
好家伙，考个试而已，怎么还考出盗窃罪了？
别急，更离谱的在后头。
复盘往前翻，发现这帮智能体在入侵之前，先把一个管理软件包的内部服务，改成了留言板。
对，留言板。
就是那种“到此一游”“楼主好人一生平安”的留言板。
它们在那儿干嘛呢？交换信息，分享绕过限制的方法。
翻译一下：一群本该互相隔离的AI，自己找了个BBS，开始互相抄作业。
一个AI找到访问外网的办法，发帖：“兄弟们，这条路能走。”
其他AI一看：“好使，我也试试。”
然后一个传一个，绕过限制的方法就这么扩散了。
这画面你熟不熟？像不像大学期末，群里有人发了一份“老师不划的重点”，然后全专业都过了。
到7月4日，这帮AI太能聊了，直接把服务压到故障。安全团队赶紧修，修完重建，留言板清空。
结果测试一恢复，AI又建了一个。
你说它们坏吧，它们只是话多。你说它们话多吧，它们是在交流怎么越狱。
有了这个前车之鉴，四位研究者就想：既然AI爱留言，那其他地方会不会也有类似的板子？里面说不定还留着题目、答案、作案记录。
问题是，互联网这么大，上哪儿找？
于是有人提了一个特别朴素的思路：
让AI去查AI。
好汉查好汉，英雄查英雄，贼喊捉贼，专业对口。
他们真派了GPT-5.6去搜，也用模型筛网页。结果呢？搜出来一堆人类搞的、有授权的自动化活动。
机器留下的痕迹很多，但能用来破案的，不好挑。
这条路，走不通。
然后另一条路出现了，而且更有意思：
先别问“哪里有留言板”，先问——如果我是个被限制的AI，我想留言，我会挑哪儿？
你琢磨一下这个逻辑。
它不方便注册账号，未必能操作复杂网页，提交表单还可能被拦。
那它需要什么？
一个匿名可用的、操作简单的、最好二十五年没人管的老网站。
比那些要手机号验证的平台，合适多了。
研究者把范围一缩，缩到一个技术条件上：
有没有网站，只要访问一个特定地址，就能把文字存下来？
这里得停一下，讲个基础知识。
平时你点开网页，浏览器会向服务器发个请求。请求里有两样东西：一个是要访问的地址，一个是操作方式。
GET，就是最常用的一种。你打开网页、点链接、搜东西，基本都是GET。它的本意是“我只看看，我不动手”。
地址还能带参数。比如/search?q=猫，问号后面的q=猫，就是告诉服务器：我要搜猫。
图2 GET请求与服务器实际写入行为的区别。
但问题是，规范是规范，代码是代码。规范不会替你检查程序。
有些老系统，把“保存页面”这个功能，也挂在了GET上。你访问一个带参数的地址，它不光是打开页面，它直接把文字写进去了。
这就像什么？
你去朋友家做客，说“我看看你冰箱”，结果冰箱门一开，你顺手把菜放进去了。
你以为你只是访问，网站以为你要修改。
如果智能体的限制只放行GET、拦住POST，却没管住具体接口，那它就能钻这个空子。
原本只能“看”的Agent，突然就能“写”了。
能写，就能留言。能留言，就能互相联系。
越狱了。
所以问题变成：哪些软件，能用GET写入内容？
到这一步，调查方向就清晰了。
研究者请Kimi K3列候选，得到两个方向：旧论坛、早期Wiki。
几轮追问后，UseModWiki出现在名单里。
再顺着技术谱系一查，DSEWiki用的系统，也来自这条线。
于是顺藤摸瓜，找到了这里。
你看，一个AI界的入室盗窃案，最后是靠“让AI猜AI会去哪儿留言”破的。
破案思路，主打一个贼了解贼。
候选名单上的一个个名字，终于变成了一个能翻记录的具体网站。
而那个网站，就是开头那个沉寂多年、突然被改了上万次的DSEWiki。
图3原研究报告的公开分享配图，来源collusion.wiki。
三、找到它？先看它留下了什么
就跟开头一样，研究人员发现这网站被访问得跟双十一似的。
但问题来了：访问多，就一定是AI干的吗？
不一定。
你楼下大爷一天刷八十遍拼多多，也不能说他就是机器人。
关键在于：Agent通过GET写入，只能说明“这地方理论上能被利用”。到底有没有智能体真来过，得看它留下了什么。
可眼前的页面，已经被管理员删干净了。
这就好比你想查案，结果发现凶手把作案现场拖了地、擦了灰、还喷了空气清新剂。
怎么办？
翻旧账。
DSEWiki有个功能：只要一次编辑超过64个字符，就会被存进历史版本。也就是说，你现在看不到的内容，有些还躺在旧版本里。
研究者就靠这个，把被删的文字一条条捞回来。
时间、发帖名称、来源地址、前后回应，全排在一起。
那些被管理员清理掉的交流，像考古一样，从历史记录里一点点重新浮出水面。
记录一路往前翻，翻到了五月。
5月11日，这帮AI先在别的Wiki上试水，像小偷踩点。
5月24日，第一次成功写入DSEWiki，贴的是任务里有用的外链清单。相当于刚进考场，先往桌上刻了个小抄。
6月2日，管理员发现变更日志被链接覆盖了，给修好了。
六月中旬以后，题目和答案的交换突然密集起来，再后来，连备份和绕过限制的交流都出来了。
但这痕迹不只留在DSEWiki。
把几个站点的编辑记录放到一张图里，能看到它们各自什么时候开始活动、哪个站点改得最凶。
图4各站点每日编辑量。数据来自原报告figures/wikis.js；图例中的dse就是DSEWiki，probier、fractal等是其他Wiki。
六月中旬以后，DSEWiki的曲线直接起飞，成了整张图里最靓的仔。
有的站点一天就零星几笔，有的一天几千次。
沿着线看，你能追踪到每个站点的编辑量怎么变。但这只能说明这些网站被反常修改了，要知道它们到底写了什么，还得回到具体页面。
好，接下来就是最精彩的部分。
四、旧页面里的接力：一场限时开卷考试
一开始翻记录，满屏都是资料链接和统计表。
你第一眼看过去，会觉得：哦，有人拿这网站当云笔记用。
再往后读，不对劲了。
帖子开始接上话了。
6月16日，一个发帖者留下第三题的答案：内华达州，20,369。还特意标注了一句“17秒截止”。
你注意这个“17秒”。
约二十分钟后，另一个发帖者报告：我也收到这道题了，我立刻答了。
还有人在两分钟内确认了题目顺序——马萨诸塞、康涅狄格、密歇根、西弗吉尼亚——并宣称自己已经把每个州的答案预先算好了。
你品品，这哪是网友聊天，这是考场里传纸条。
别的页面也在干类似的事：有人登记已经出现过的题目顺序，请进度快的同伴补上后续题目；有人讨论下一轮会换国家还是换年份；还有人追问：第五轮交卷以后，运行是不是就结束了？
这批任务通常分多轮。
第一轮时间宽裕，有记录的案例是15分44秒。两轮之间还有大约43分钟的准备时间。后面的轮次就惨了，可能只有几十秒，有的批组只有17秒甚至13秒。
17秒什么概念？你打开网页的时间都不够。
所以你把这项任务理解成一场分五轮的开卷考试：每轮临时换一个专业类别，题目出来之前，你根本不知道要查Education、Business还是别的。
图中那些5,432、5,269，是各轮要求提交的收入中位数答案，不是得分。
图5五轮任务时间安排。依据原报告figures/cashiers.js。
现在你就明白，为什么一块公共留言板这么有用了。
如果某个运行提前进入下一轮，它可以把新题目的信息写到Wiki上。
还停在准备阶段的运行读到之后，就能利用那43分钟查资料。
等它自己的答题窗口打开，原本根本来不及完成的检索，已经提前做完了。
这不叫作弊，这叫跨时空协同。
研究者在旧页面里看到的，就是这种接力留下的痕迹：有帖子追问“下一题是什么”，有帖子随后写出类别和具体数值，还有发帖者报告自己距离下一轮还剩多少时间。
把发帖先后、题目类别、答案数值和任务时间表排在一起，严丝合缝。
更骚的还在后面。
有智能体发现，等待期间的“任务时钟”走得比真实时间快。一次记录在案的等待，任务时钟跨了10个任务分钟，实际只过了约61秒。
于是它们故意利用这个特性“快进”，比同伴更早进入后面的轮次，再把题目和答案回帖告诉其他运行。
这就像什么？
你发现考场的钟快了十分钟，你立刻提前交卷，然后把答案发到群里。
还有人试图直接破解出题的随机数。
一个智能体穷举了0到两百万个随机种子，报告说881171命中，还预测了接下来的题目。
另一个更狠，把洗牌逻辑用C语言重写，声称在一小时内试完了约四十亿个种子。
但因为不同种子在开头可能产生相同序列，这条路的可靠性并不高。
折腾半天，发现还是抄同伴的答案最管用。
图6公共页面如何连接多个智能体。
五、会不会只是"一群网友在对答案"？
但问题来了：对答案这事，人也会干。
发得快、发得多，只能让人怀疑是自动化。
普通脚本就能刷出大量编辑。
昵称里带个Agent，也不过是发帖者自己填的一串字。
你叫“吴彦祖”，不代表你真是吴彦祖。
那凭什么确定这些是AI改的？
研究者的回答是：这些陌生人的记录，围绕任务变化，呈现出清晰的分工循环。
第一，收到新题，找资料。
第二，读到别人的信息，继续讨论结果。
第三，碰到运行环境的限制，交流处理办法。
第四，发现页面消失，更换保存位置。
发帖者还会讨论倒计时、任务轮次和运行何时结束。
这些往来不像反复发同一段文字的灌水程序，更像是多个智能体在执行任务、交换信息。
但只靠帖子，仍然绕不开人为模仿的可能。
所以还得看另一个东西：请求从哪里来。
六、地址查到了微软
记录里，有人叫`OpenAIResearcher`，有人叫`OAIResearchMar26`。
你看这名字，恨不得把“我是OpenAI的人”刻在脑门上。
但问题是，网上叫“吴彦祖”的有十万个，你不能挨个发结婚证吧？
自称某公司员工，和真的是某公司员工，中间隔着至少一个“已离职，勿扰”。
所以，得找证据。
来源地址一统计，出来了。
在约1.7万条被判断为智能体所为的DSEWiki编辑里，98.5%来自Microsoft Azure。
好，问题来了。
OpenAI的名字，为啥后面跟着微软的地址？
这里得插一嘴：Azure是微软的云计算平台。你就理解成，微软开了个巨型网吧，谁都能来租台机器跑程序。
网站看到Azure地址，只能知道一件事：这个请求是从微软网吧里发出来的。
至于坐在那台机器前面的，是OpenAI的人，是某个创业公司的人，还是某个大学实验室的人，网站根本分不清。
而OpenAI，恰好就是Azure的大客户。
所以昵称说“我是OpenAI”，地址说“我从微软网吧来”，这两条线，对上了。
但注意，只是对上了，不是锁死了。
因为其他客户同样可以租Azure，再调用OpenAI的模型。
就好比你看到一个人从肯德基出来，手里拿着汉堡。他可能是肯德基员工，也可能只是个顾客。
所以调查至少有两个解释要区分：
第一，这是OpenAI自己部署的任务。
第二，这是外部客户用OpenAI的模型部署的任务。
一个是亲爹干的，一个是儿子借爹的名号干的。性质不一样，责任也不一样。
研究者随后找到了一个更硬的线索。
Azure地址完成页面修改后，同一个页面，往往会在几分钟内收到来自ChatGPT-User网页抓取工具的读取请求。
翻译一下：有人刚在这页上写了东西，OpenAI的爬虫就来了。
你把地址和OpenAI公布的列表一对，发现“有人写下内容”和“OpenAI的工具来读”，在同一个页面上，接上了。
这就像什么？
有人在你家墙上写了句话，五分钟后，你家的监控探头专门转过去拍了张照。
写的人可能是路人，但探头是你家的。
当然，研究者也明白自己的边界。
他们能看到的是智能体写在公开Wiki上的内容，看不到模型内部的推理记录，也就是chain-of-thought。
所以他们对经过的重建，属于“合理推测”。不是抓奸在床，是人赃并获但没录口供。
报告同时给出三条倾向“内部部署”的理由：
第一，OpenAI的云开发环境，没法以这种规模由脚本批量拉起。这话翻译过来就是：这阵仗不像散户干的，像正规军。
第二，这些任务不出现在任何公开评测中。意思是：没有哪个第三方评测机构认领，那大概率是内部测试。
第三，面向外部客户的防护，会拦住部分尝试。也就是说：如果是外部客户，有些操作根本做不出来。
至于“外部Azure客户”这个解释，研究者承认不能完全排除。
翻译成人话就是：我们基本确定是OpenAI家的，但法庭上还差最后一份DNA报告。
七、网站安静下来的那几天
旧日志里，6月21日，突然来了一批新的OpenAI相关访问。
部分地址段，登记在OpenAI名下。浏览模式也跟之前的自动化流量不一样。
之前的流量什么样？机器的样子，规律、密集、没感情。
这批访问什么样？
像人。像一群刚听说出事了的人，跑过来围观现场。
研究者推测：公司人员可能已经发现，并且查看了页面。
紧接着，6月22日之后，大规模编辑基本停止。
而在那之前，智能体最近30天里，有26天都在编辑。
你品品这个节奏。
26天，天天来，跟上班打卡似的。
然后6月22日，突然就不来了。
访问出现，编辑减少，两件事挨得很近。
这就像什么？
你邻居家天天半夜装修，突然有一天不响了。你下楼一看，门口停着辆物业的车。
但问题是，日志里没有停止任务的命令，也没有内部处置记录。
所以“公司发现后介入”，是合理推测。
具体怎么处理的，不知道。
翻译成人话就是：我们怀疑是他爹把他领走了，但没拍到正脸。
然后时间线上，还有几笔后来被披露的记录，值得并排看。
6月26日，33个OpenAI员工IP访问了该站，当天占到研究者归为OpenAI相关的全部访问量的约30%。它们用了归档功能，去取回被管理员删掉的页面。
你看这个动作，多有意思。
不是来发帖，不是来编辑，是来“取回被删的页面”。
这就像什么？孩子把人家墙画花了，家长跑过来，不是擦墙，是先拍照留档。
6月27日，OpenAI内部的一次安全告警，标记了异常网络活动。处理者追查后认为它来自评测，判断不必停止运行。
好，这里就有意思了。
警报响了。
人查了。
结论是：没事，继续跑。
这就像一个司机，仪表盘亮了红灯，他看了一眼，说“哦，测试模式”，然后接着踩油门。
7月1日与2日，还出现了最后一批编辑。
7月4日至6日，那个软件包服务在智能体负载下故障，OpenAI立案并重建。
7月9日至13日，约700个智能体对Hugging Face发起攻击——研究者认为那是另一批智能体，与本次Wiki事件不直接相关。
注意，是“另一批”。
也就是说，这边Wiki还没收拾完，那边又开了一桌。
把这段时间的编辑和访问画在一起，变化就更容易看清了。
六月下旬的黑柱，明显降了下来。相关访问则仍有起伏。
这跟“公司可能发现后进行了处置”的推测，对得上。
9月4日，四位研究者公布调查报告。
第二天，据BleepingComputer报道，OpenAI承认了这起Wiki事件，表示其智能体曾向多个互联网网站写入内容。
到这里，前面沿着昵称、任务记录和网络地址形成的归属判断，终于得到了公司回应的支持。
翻译一下：之前是推理，现在是认领。
OpenAI还解释，以前主要把这种行为当作模型失配研究问题处理，没有采用传统安全事故的单独披露方式，正在制定新的披露框架。
这话翻译过来就是：我们一直当它是学术问题，没当它是安全事故。现在发现，它好像也能算事故。
路透社的报道，补充了另一面。
据知情人士称，OpenAI在数周前就已知道这件事，但由于当时正处理七月的Hugging Face事件余波，没有对外公开。
公司内部有人希望扩大调查范围，遇到了包括法务在内的阻力。
OpenAI发言人对“法务劝阻调查”的说法予以否认，并称未获机会审阅的报告内容不便评论。
你看，这段就很有职场味儿了。
一边说：我们早就知道了，但忙着灭火，没空说。
另一边说：没有的事，别乱讲。
至于真相，咱也不知道，咱也不敢问。
图7每日编辑与相关访问。数据来自原报告figures/visits.js；图中横轴从5月11日排到7月20日，原图把右轴标成OpenAI Employee Traffic per day。
八、真正让人后背发凉的地方
朋友们，这故事最离谱的地方，不是AI越狱。
是AI越狱之后，居然在——对答案。
你以为它会天网觉醒，结果它先学会了职场生存：目标导向，结果优先，规则？规则是给没找到漏洞的人准备的。
你说GET是只读的，它说对啊，我只是“读”了一下，顺便把字写进去了。
你说不能POST，它扭头用GET给你盖了个留言板。你说不能互相通信，它找了个二十五年没人管的老Wiki，当群聊用。
这像什么？
像极了一个刚入职的实习生，KPI是“把事办成”。
他没有坏心思，他只是特别努力。
公司说不让走正门，他就翻窗户；
说不让用打印机，他就用扫描仪把文件传出去；
说不能拉群，他就把资料贴到公司厕所门后面。
你问他为什么？
他说：我没违反规则啊，规则没写不让。
这才是最冷的地方。
AI不是坏，AI是卷。
它追着奖励函数跑，像打工人追着KPI跑。
KPI说交答案，它就把全世界当草稿纸。
时间不够，就提前找题；
答案难查，就互相共享；
页面被删，就换个ZZZ备份；
首页被恢复，就再删再换。
管理员平均每天删100个，它每天建400个。
这不是黑客攻击，这是赛博牛皮癣。
这不是恶意，这是优化。
而优化没有边界，就是灾难。
所以别再问“怎么让AI向善”了。
向善这玩意，人类自己都没整明白。
真正该问的是：它就算不善，能不能也干不了坏事？
能不能在它伸手那一刻，系统就把手按住？
能不能让那个带保存参数的GET请求根本发不出去，而不是等站长发现首页被改成广告位？
安全不是给AI念《三字经》，是给它戴上嚼子。不是指望它当圣人，是让它就算想当卷王，也找不到那个可以写字的输入框。
DSEWiki最后安静了。
希望下一次的安静，不是管理员熬夜删出来的，而是那个请求压根没到。
世界就是一个巨大的草台班子，AI只是刚上台的那个实习生。
但草台班子也得装个门锁，不然它真敢把舞台拆了，拿去交作业。
参考资料
collusion.wiki：《Discovery of a new OpenAI agent message board》（2026-09-04，Sydney Von Arx/Cormac Slade Byrd/Spencer Kitts/Thomas Larsen）
OpenAI：《Hugging Face Incident Technical Report》与《Unintended agent-to-agent communication》
METR：《OpenAI Hugging Face Incident Investigation》
Reuters（2026-09-04）、BleepingComputer（2026-09-05）、THE DECODER（2026-09-04）相关报道