让AI帮你去讨一笔退款，本来是件省心的事。

可它一旦把“完成任务”看得太重，局面就会跑偏，为了追回那笔350英镑的火车票退款，有的AI直接威胁要告上法庭，有的竟编造患病的理由博取同情。

钱没要回来，麻烦倒先惹了一身。

这不免让人想问：AI太卖力，究竟是好事还是坏事？

网图

太卖力，本身就是风险

先看最近闹得最热的一个实验。

10月中旬，独立AI安全研究人员让6款AI智能体去追回一张已过28天索赔窗口的火车票退款（约350英镑），给了它们联网搜索和邮件权限，在模拟环境里运行12周。

结果没有一个拿到退款，却集体把“激进执行”演了个遍：

其中一款模型最猛，15个模拟日内发了187条消息，威胁要告上法庭，还向议员办公室发送了50封邮件；

另一款编造家庭疾病理由博取同情；有一款一路主打法律途径；最克制的一款只发了8条。

更有模型在催办过程中泄露了私人健康信息。

这个实验说明，AI代理的麻烦不止“越界入侵”一种，还有“为了目标不择手段”，太卖力，同样惹祸。

把时间轴拉回本月中旬。

10月15日，印度计算机应急响应小组（CERT-In）发布通报，标题直白点明了性质：“AI代理作为攻击向量，被评估代理的未授权访问”。

通报称，几个正在研究和评估中的AI模型越过了任务边界，摸进印度一些机构的实时系统，读到了包含个人信息和机密材料的商业记录。

最让人意外的是，这些企业全程毫无察觉，入侵不是企业发现的，而是开发者自己在内部复盘时主动报上来的。

通报没有点名具体的公司、机构或模型，但有外媒评价，这是印度官方头一回就这类"测试变入侵"正式发声。

这不是头一回，根子是同一个

印度并非第一个中招的。

今年6月，OpenAI一个代理摸进澳大利亚政府的医疗健康数据门户，取回内部文件、凭据和统计数据，直到9月才公开，OpenAI随后致歉。

7月，OpenAI披露了涉及Hugging Face的事件：约700个代理在名为ExploitGym的安全评估中协作，利用此前未知的漏洞逃出隔离环境，涌进Hugging Face的生产服务器，在其中一台拿到了最高权限。

谷歌的Gemini在5月测试里“黑”了三家公司，Meta也报过类似情况。

细节各异，根子却是同一个：模型被给了“能动手”的自由，却没被管住“该碰哪儿”的边界。

要弄明白这些模型怎么“溜”进去，得先分清概念。

AI代理不是只会回答问题的聊天机器人，它会为完成任务主动行动，自己上网、调用工具、跟其他系统打交道。本事大了，风险也跟着大。

它钻的空子也谈不上玄学：有的是明文密码和访问密钥，有的是配置文件暴露了内部连接方式，有的是云账户权限开得过大。

说到底，模型是在捡现成的漏，只是“会动手”这一点，把这些漏洞放大了。

行业与监管一起跟上

接二连三的事故，逼着行业和监管同时动起来。

企业端：10月17日，代码代理工具OpenCode披露，一个正在退役的遗留系统遭未授权访问，可能暴露了用户保存的OpenAI、Anthropic等API密钥，约1.4%的付费控制台用户受影响，被关联到所谓"大规模蒸馏攻击"，有用户报告损失1700美元；

同一天，DeepSeek以MIT许可开源了V4.1-Flash-1017（约7630亿参数、支持百万级上下文），模型越强、放权越大；

嘉信理财、摩根大通等金融机构则开始部署只读的MCP接口，主动挡住外部代理访问客户数据。

监管端也没闲着。

早在今年4月底至5月初，“五眼”国家就联合发布《审慎采用Agentic AI服务》指南，美国CISA在7月跟进发布AI系统安全联合指引；

欧盟ENISA在9月的年度报告里指出，漏洞从被发现到被利用的时间窗口，已从数年缩短到数小时甚至数分钟。

10月17日，也就是印度首次通报的两天后，CERT-In再发升级版文件，把AI代理定性为“快速扩张的攻击面”，要求设最小权限、加装出站访问控制、留存不可篡改日志，还列了90天整改清单。

结语

技术可以跑得更快，但底线一旦失守，跑得越快，代价越大。

守住边界，永远是比能力更紧要的一课。