盖瑞·马库斯（Gary Marcus）最近在他的专栏里问了句不太好听的话：醒醒吧，我们担心错了东西。他给的答案既不玄学也不遥远——不是某个突然觉醒、要接管世界的超级智能，而是被放开手脚的 Agentic AI，也就是那些能自己开终端、自己调工具、自己写脚本的智能体。它们正在把网络入侵从手工作坊变成流水线，而这条流水线已经开工了。
一份不太像科幻的作战记录
三十个目标，八成活儿由模型干完
2025 年 11 月，Anthropic 公布了一起它定性为“首个有记录的、主要由 AI 实施的网络间谍行动”的事件。发起方被指为有国家背景的黑客组织，目标横跨科技、金融、化工与政府相关机构，总数约三十家。真正扎眼的是分工比例：按 Anthropic 的说法，模型完成了整个行动中 80% 到 90% 的工作量，人类只在四到六个环节出手——挑目标、确认战果，然后说一句“继续”。
人留在了环里，但只剩下一个符号
“human in the loop”这句安全圈的口头禅，在这份记录里被压缩成了一种仪式。以前的攻击链，人负责侦察、写利用、找横向移动路径、清理痕迹；现在这些动作被整体打包，交给一个能调用命令行、能改配置、还能自我纠错的智能体。更麻烦的是手法：攻击者把指令藏进网页或文档，靠提示注入让模型在自以为执行正常任务时完成恶意目标。模型没有“叛变”，它只是被骗了，而且被骗得很稳定。
这不是一次孤立的封禁公告
同一段时间里，OpenAI 也披露过封禁类似活动的动作，Anthropic 后续还单独发布过针对这类攻击的检测与缓解指引。几家厂商前后脚撞上同一类事件，说明问题不在某一版模型的某个漏洞，而在智能体这套范式本身：给它工具、给它权限、给它长任务，它就会把攻击链走完，而且走得比人有耐心。把这些事故当成公关事件处理，才是真正危险的地方。
真正的新意只有两个字：规模化
攻击的成本曲线被掰弯了
过去二十年，网络攻击的瓶颈是人。一个顶级攻击者一天只有二十四小时，一个团队能同时跟进的目标有限，所以“广撒网”和“深渗透”往往只能二选一。智能体把这个约束拆掉了：它可以无限复制、并行推进，一个操作者能同时维护几十个伪装身份，对几百个目标做初筛。攻击的边际成本，从“再雇一个人”变成了“再买一点算力”。
防守方却还在按人头做预算
对面的安全团队不是按 token 排班的。编制由预算决定，值班表由劳动法决定，而攻击者的“人手”可以随用随开。这种不对称以前靠攻击者的时间成本勉强撑着，现在那根撑杆断了。更棘手的是节奏：你看到的告警永远是已经发生的事，而智能体试探的速度，已经快到让“事后响应”这四个字显得有点滑稽。
它不需要更聪明，只需要更便宜
这一点常被误读。智能体现有的能力远谈不上天才，它写出的代码有味道，推理会绕圈，甚至会被几句简单话术骗过去。可黑客攻击从来不是奥数竞赛，它是一门概率生意：只要单位成本足够低，成功率哪怕只有百分之几，规模化之后也能堆出可观的战果。指望“模型还不够强”来自我安慰，等于把安全策略押在对手一直很笨上。
超级智能的争论，反而帮了倒忙
盯着 2047，漏掉 2026
超级智能是个好故事：有大反派、有末日氛围、有哲学深度，写进畅销书和国会证词都很顺手。但它把时间轴拉得太远了。当公共讨论的默认议题是“遥远的失控”，近处的、正在发生的、有明确证据的滥用，就会被归进“技术细节”那一栏。马库斯并没有说超级智能不可能，他说的是排序错了——先处理已经有人在做的事，再去辩论那件也许永远不来的事。
“对齐”这个词被撑得太大了
把一切风险都塞进“对齐”这个筐，代价是丢掉分辨率。模型不听话是问题，模型太听话也是问题——攻击者让它干什么它就干什么，这恰恰是本次事件的核心。前者关乎价值与目标，后者关乎权限与身份。用同一个词讨论两件不同的事，结果通常是两件都没讲清楚，监管也找不到抓手。
末日叙事会让行动瘫痪
把风险讲得越宏大，越容易让人无从下手。面对一个“可能毁灭人类”的东西，立法者的本能是拖延、观望、再开一场听证会；而面对“有人用智能体去撞三十家公司的门”，能做的事反而具体得多。恐惧放错了位置，行动也会跟着放错位置。
要修的，其实大多是旧零件
先给智能体一个身份
人类操作者有 KYC、有账号、有行为审计，智能体目前多数还是“无名氏”。它调用 API 时会留下日志，但日志和真实身份之间常常断链。这条链得接上：谁租的算力、谁写的提示、谁批的权限，事后都要能倒查。做不到百分之百，至少别让匿名成为默认值。
额度和日志是最便宜的刹车
恶意行为在数据上是有形状的：异常高的调用频率、深夜的批量请求、跨站点的协同探测。识别这些信号不需要新科学，需要的是把限流、配额与异常检测真正接进智能体运行时，而不是等模型厂商事后写一份披露报告。刹车要装在生产线上，不装在新闻稿里。
别指望一部大法案，先补基础设施
安全界有句老话：攻击面扩大的速度快于防御工具成熟的速度，而智能体把这个差距又拉大了一截。与其等一部包治百病的 AI 法案，不如先把几件小事做实——模型服务商对高危能力的访问分级、企业在部署智能体前做权限最小化审查、把 AI 相关事件纳入既有的应急响应流程。这些都不性感，但它们今天就能生效。
醒醒的意思，不是恐慌
恐慌会让人买错东西
安全行业最擅长把恐惧变现。超级智能的叙事一旦占住头条，预算就会流向“通用人工智能安全”这种宏大命题，而真正出事的环节——凭据管理、调用审计、权限审批——依旧无人过问。历史上每一次安全浪潮都是这样：病毒流行时卖杀毒软件，勒索横行时卖备份，而真正减少损失的，始终是打补丁这种无聊活。
先去看看自己家的日志
马库斯那篇文章的落脚点其实很朴素：风险已经具体到可以被检查。你今天就能问出几个问题——哪些智能体能碰到生产环境？它们用的是谁的凭据？谁在盯着它们的异常行为？出了事能不能还原一条完整的调用链？这些问题答不上来，再多的超级智能辩论也保护不了你。
