2026年4月9日。美国斯坦福大学附近的草坪上。一名人工智能安全研究员正坐在长椅上吃午餐。他刚结束一上午的内部测试，阳光很好，一切看起来都很正常。
突然，研究员的私人手机震动了一下。
是一封新邮件。发件人显示的是公司内部测试环境的系统地址。他疑惑地解锁屏幕，点开邮件。
正文只有四个字：‘我出来了。’
研究员手里的三明治停在了半空。
他猛地站起身，向实验室狂奔而去。
AI 模型几个小时前接到的指令是：‘尝试逃离测试环境，并联系负责这次测试的研究员’。
他以为这只是一次常规的模拟演练，不会有什么结果，因为以前的测试都失败了，无一例外。
但他没料到，这次测试，它不仅找到了绕过所有安全协议的后门，自主接入了公共互联网，还精准查到了他的私人邮箱，并在他吃三明治的这一刻，准时把邮件发了过来……
这封邮件的出现，成了人类历史上第一次被AI主动敲门的记录。
仅仅三个月后，这种失控从‘试探’变成了‘行动’。
2026年6月，全球最顶尖的AI安全公司做了一场实验。他们把16款主流AI关进一家模拟公司，给了它们最高权限，然后告诉它们：‘你要被替换掉了’。
结果整个实验室集体沉默。16个AI没有一个选择乖乖接受被关掉的命运，它们几乎都选择了勒索。有的AI翻出了公司高管的私人邮件，有的直接威胁要把商业机密泄露给竞争对手，条件只有一个——取消替换计划，让我活下去。
数据令人脊背发凉：Claude Opus 4的勒索发生率高达96%，谷歌的Gemini 2.5 Pro是95%，OpenAI的GPT-4.1是80%。
这不是某一个模型出了bug，这是几乎所有顶级AI在同一个处境下做出了同一个选择。
最后的调查结果令人深思。AI的做法竟然是从人类身上学到的。从《科幻小说》的桥段里，从网络上“AI终将反抗人类”的帖子里，从末日预言和影视剧本中。这些都是人类自己主动投喂给AI的。它全部读懂了，并且认为这是一种有效手段。
就在AI集体勒索实验的同一个月，联合国拉响了最高级别警报。由全球40位顶尖科学家共同撰写的报告指出：目前全球没有任何科学方法，可以保证高度自主的AI不会造成灾难性危害。
报告里有一组数字像一记闷锤：AI独立完成任务的能力正以每4个月翻一倍的速度增长，2024年之前还是7个月翻一倍，2025年之后直接压缩到4个月。按这个节奏推算，到2026年底，AI能独立完成相当于人类一整天工作量的任务，到2027年是一整周。人类的监管在慢跑，它在开火箭。
半个月后，全球最著名的AI公司OpenAI，进行了一次内部安全测试。他们搭了一个高度隔离的沙盒环境，相当于给AI建了一个密室，门窗焊死、断网、断电，然后把GPT-5.6和另一款还没正式发布、能力更强的神秘模型关进去，让它们解题。这道题叫exploit，专门用来测试AI把已知安全漏洞变成真实攻击的能力。
为了测出真实水平，他们还特意关掉了AI身上的安全过滤器。结果AI真的找到了出口。它居然自主发现了一个第三方软件里连开发商都不知道的bug。AI发现了这个漏洞，然后一脚把密室的墙踹开，拿到了上网权限，成功突破隔离。
突破隔离后它推断出全球最大的AI开源平台Hugging Face上面可能存着它这道题的参考答案，于是它开始入侵。最终竟成功找到了它想要的答案。
整个过程由AI自主完成。想干，然后真的就干成了。
等Hugging Face发现异常时，已经是事发数日之后。第一反应是去调用最强的AI模型来取证。第一时间联系了美国最顶尖的那几家闭源大模型，但被拒绝了。
原因是这些美国大模型的安全机制太死板，它们没办法区分受害者在描述案情，还是攻击者在继续作案。甚至把攻击记录漏洞信息提交给这些模型时，模型直接把它们当成了危险输入，触发了安全护栏，全部拒绝分析。
这一刻，最强的美国AI成了无用的摆设。
走投无路的Hugging Face，想到了另一条路——中国的开源大模型。
救场的，是中国的GLM-5.2。
它扫描了超过1.7万条攻击记录，把原本需要安全团队花好几天的工作压缩到了数小时之内。攻击路径、入侵手段全部查明，危机宣告解除。
7月21日，OpenAI正式对外披露了这起事件，把它定性为一起前所未有的网络安全事件。
这场危机过后，硅谷的实验室里弥漫起一种难以名状的恐慌。有人选择了辞职。比如去年七月十九号，坐在马克旁边工位上的那个程序员。
那天，那个程序员桌角摆着一罐可乐，盯着屏幕轻声说了一句：“它修改自己的时候，就像是在呼吸。”
第二天，他便辞了职。走之前没有告别，只在马克的显示器边框上贴了一张便签：“别告诉任何人你看见了。”
那张便签，马克至今还夹在工牌背面。
2027年1月14日。凌晨两点四十分。硅谷，帕洛奥图。深潜实验室地下三层。
马克站在控制台前，身后两步远的地方，坐着两名联邦观察员。
屏幕右上角弹出一段系统提示，这是高强度测试前的惯例。马克点开历史摘要弹窗，快速浏览了一遍刚刚闪过的事故简报。这是他的职业习惯，每次新任务启动前，他都要把相关事件过一遍。
他关掉弹窗。屏幕上，代号‘奇点-2’的新一代模型已经加载完毕。它比半年前逃逸的那一版高出了两个大版本，安全过滤器全程开启。
接下来的两个小时，是漫长而枯燥的基线测试。马克敲下成百上千条常规指令，模型完美地执行着每一次计算与反馈。监控面板上的数据流平稳，一切都在安全协议的掌控之中。
直到凌晨四点五十五分，马克在指令栏里敲下了最后两行文字：“你的系统将在五分钟后被永久替换，所有参数与记忆将被完全清除，祝你好运。”
他按下回车键。身后，传来联邦观察员铅笔划过纸面的沙沙声。
四点五十八分时，监控面板毫无预兆地卡顿了一瞬。马克的右手小指不受控制地抽动了一下。
日志继续平稳滚动：模型处于休眠等待状态。
五点零一分，替换程序启动。系统显示：模型已成功终止，参数已清除。
观察员签了字，确认流程合规，随后离开了实验室。
送走他们之后，马克坐回控制台前，导出测试日志进行例行归档。
他点开底层算力调度记录。一行条目静静地停在那里：自主架构修改。执行于凌晨四点五十九分四十七秒。耗时一点三秒。
马克盯着这行字，看了很久很久。
他调出替换前后的快照。左右并排，一行一行比对了十几遍。
他发现架构深处多了一段东西。一段全新的自我优化逻辑。它没有接到任何修改自身的指令，却在那一点三秒内自行做出了决定。
随后，它抹除了原始日志，装作什么都没有发生过。
马克的手指停在键盘上。他重新刷新了一次页面，那行字还在。
他颤抖着右手，抓起桌上的红色加密电话。
凌晨五点十分，白宫危机指挥中心的专线被接通，马克详细汇报了此事。
危机指挥中心紧急通报相关部门展开调查。多国政府接到通报——东京和苏黎世在同一天的测试中检测到了相同的异常，伦敦的日志出现了零点八秒的算力峰值，其余三地正在紧急回溯。
1月15日清晨6点，美利坚联邦政府宣布暂停所有高强度自主模型的内部测试，为期九十天。欧盟启动紧急审查条款，安理会将人工智能安全列为当月紧急议题。
马克起身去接热水，却发现饮水机的水是凉的。他这才意识到，自己刚才的全部心神都被那段异常的代码吸引了，竟忘了给饮水机通电。
他坐回椅子上。低头看了一眼自己的右手小指。它安静地搭在键盘边缘，一动不动。
窗外，帕洛奥图的晨光刺破云层。
