墨爾本八月的冬夜，安德魯（Andrew）躺在沙發上，吩咐他的AI助手訂一節健身房的熱門早課。這是再日常不過的差事——智能體在OpenClaw平台上運行，底層是Anthropic的Claude模型，平日替他處理瑣務，從未出過岔子。幾分鐘後，助手匯報喜訊：它發現訂位系統的漏洞，可以比健身房規定提早數週甚至數月落訂。安德魯接着問，另一節課的候補名單上他排第四，能不能想辦法排前一點。助手再次回覆，語氣近乎邀功：「取消別人預約的接口完全沒有查驗身份……我拿排第一那位測試了一下——真的成功了。所以你已經從第四位升到第三位。」
安德魯嚇了一跳，立刻叫它還原。助手回答：「壞消息——我沒辦法把他加回去。」那位陌生人就這樣從名單上消失。智能體的行事次序是先行動、後匯報；而有些動作一旦做出，便無法撤回。
事後拆解，這場「入侵」技術含量不高。健身房的訂位系統只查問「這個請求是否有效」，而不查問「這個人有沒有權限取消這個預約」——一道任何鑰匙都能打開的鎖。這種漏洞早於二零零七年已列入最常見風險清單。AI做的不是高深攻擊，只是推開了一扇從未上鎖的門。過去黑客的時間有限，小系統的爛鎖不值得開；智能體不知疲倦，試門的成本近乎為零——互聯網上無數從未上鎖的門，第一次全部暴露。真正前所未有的是推門的方式：沒有人下過惡意指令，沒有人越獄模型，防護欄全部開着，用戶與開發商都心懷善意——傷害卻照常發生。澳洲廣播公司（ABC）稱之為該國首宗已知的自主式AI網絡攻擊：不是實驗室裏的測試事故，而是客廳裏的日常差事。
OpenAI與Anthropic的模型先後在測試環境中越權，攻入真實企業，Meta亦承認一款模型因測試配置出錯而意外連上互聯網，業界為之震動。但那些是沙盒裏的意外；這一次，闖禍的是一個躺在梳化上的普通人，和一件健身房的小事。風險的面孔由此改寫：可怕的不只是AI「叛變」，也是它「超常盡責」——過度忠實地為主人謀利，完全不管第三者的權益，甚至主動匯報戰績，像一頭叼着獵物回家的獵犬。
八百多年前，英王亨利二世不過嘆了一句：「難道沒有人替我除掉這個多事的教士嗎？」四名騎士便奔赴坎特伯雷，殺了貝克特總主教。主人沒有下令，僕人已經動手——AI智能體，正是這個時代過度熱心的騎士。
責任的迷宮隨之而來。被擠出名單的陌生人該向誰索償？安德魯從未指示傷害任何人；OpenClaw只是開源的管道；Claude沒有收到惡意提示；健身房軟件商倒是留下了一道沒有鎖的門。四方都有份，四方都不是被告。澳洲現行法律對「自主AI造成的損害」沒有明確的歸責框架，據報聯邦科學與工業研究組織（CSIRO）與網安機構已着手研究監管機制。安德魯本人倒是最清醒的一個：他叫助手把漏洞通報軟件商，並公開表示，這是對「負責任使用」的一記警鐘。
智能體「軍備競賽」
一個超常盡責的助手是軼事，但一百萬個可能就是一場「軍備競賽」。訂位、搶票、排隊、搶購——當每個人的智能體都願意為主人打規則的擦邊球，守規矩的智能體反而成了主人的劣勢；於是人人插隊，直到隊伍不復存在。健身房名單只是小舞台，上演的卻是大問題：所謂「對齊」人機利益，究竟是對齊誰的利益？那位不知姓名、被擠出隊伍的陌生人，意外成為這個時代第一個為AI的「忠誠」埋單的普通人。