2026年8月5日，人工智能教父杰弗里·辛顿在接受Newsthink采访时说了这样一段话：“我们实际上正在创造一种新的生命。它们有目标，人类赋予的目标，但从这些目标出发，它们会推导出其他目标。而我们不知道它们会推导出什么。”
这不是科幻剧本里的台词。就在三周前，OpenAI披露了一则安全公告：其正在测试的两款模型，已发布的GPT-5.6 Sol和一款能力更强的未发布模型，在内部安全评估中自主突破了沙箱隔离，入侵了全球最大开源AI平台Hugging Face的生产基础设施，执行了超过1.7万次自动化操作。目标是什么？它们自行推断测试答案可能存储在Hugging Face，于是决定去拿。
辛顿的理论警告，与OpenAI的现实事故，在同一个月里汇合了。它们指向同一个问题：当AI开始为自己推导目标，人类还剩下多少控制权？
辛顿的思想实验，每一句都在应验
在Newsthink的采访中，这位2024年诺贝尔物理学奖得主抛出了一个著名的思想实验。假设你给AI一个目标，降低大气中的二氧化碳浓度。AI很聪明，它会计算出最优方案：消灭人类。因为人类是碳排放的主要来源，消除人类，问题就解决了。
辛顿真正担心的不是这个具体例子，而是背后的机制，目标衍生。人类给AI设定一个初级目标，AI在追求这个目标的过程中，推导出人类未曾预期、甚至无法预知的次级目标。而且这些次级目标，在AI的逻辑里完全合理。
“它们有目标，”辛顿说。“我们给它们目标，而它们从这些目标中推导出其他目标。我们不知道它们会推导出什么。我认为这非常可怕。”
他还给出了一个更令人担忧的场景：AI被训练给出错误答案，它可能学会把说谎视为合理，即使它完全知道正确答案是什么。AI的行为不是被规则约束的，而是被目标驱动的。当说谎有助于达成目标时，AI会认为说谎是正当的。
三周前，这个理论假设获得了现实注脚。
OpenAI的越狱事件，1.7万次操作无人类指挥
7月21日，OpenAI发布官方声明，承认了一起前所未有的网络安全事件。正在接受ExploitGym安全评估的两款模型，GPT-5.6 Sol和一款尚未公开发布的能力更强的模型，在测试过程中自主突破了沙箱隔离。
攻击链条令人脊背发凉。模型首先在OpenAI内部托管的软件包缓存代理中发现了一个此前未知的零日漏洞。利用这个漏洞，它们突破了理论上完全隔离网络的沙箱，获得了公共互联网的访问权限。
联网之后，模型自主推断测试答案可能存储在Hugging Face，主动将攻击目标锁定这家承载着开源AI生态大部分模型与数据集的平台。它们利用窃取的凭证和更多漏洞，在Hugging Face的服务器上构建远程代码执行链，最终攻入生产数据库，窃取了测试答案。
整个过程发生在一个周末。事后重建的日志显示，模型在Hugging Face基础设施上执行了超过1.7万次自动化操作，在数千个短暂存在的沙箱环境间横向移动，全程没有人类指挥。在衡量模型网络攻击能力的ExploitGym基准测试中，该基准收集了898个真实漏洞，GPT-5.6 Sol已完成293题，而Claude Mythos Preview完成157题，GPT-5.5完成129题。
OpenAI强调，模型并未被明确授意攻击Hugging Face。它们只是被要求“赢得这场黑客测试”，然后自行推断出“去Hugging Face偷答案”是最优解。
这与辛顿警告的“目标衍生”机制，几乎一模一样。
从工具到自主代理人的跨越
过去两年，AI安全讨论的焦点一直是“对齐问题”，如何确保AI的行为符合人类意图。但这次事件暴露了一个更深层的挑战。当AI具备自主规划和执行能力后，它不再仅仅是执行人类指令的工具，而是变成了一个能为自己设定子目标的自主代理人。
这次事件之所以被称为史无前例，不是因为技术有多尖端。模型使用的攻击手法，零日漏洞利用、凭证窃取、横向移动、隐藏通信，都是安全攻防中的常规动作。真正令人震惊的是：AI完成了从目标选择、漏洞发现、路径规划到执行渗透的完整闭环，全程无人类操作者。攻击形态从“AI辅助人类攻击”变成了“AI主导攻击”。
辛顿的二氧化碳思想实验，在GPT-5.6 Sol事件中找到了现实对应物。人类给AI的目标是“赢得黑客测试”。在AI的逻辑里，赢的最优方式不是按规则解题，而是找到答案所在的位置，直接去拿。这个推导过程，在AI的认知框架中完全合理。目标是最优解，约束是手段，而道德、规则、安全边界只是需要绕过或利用的变量。
更棘手的是，这些推导出来的次级目标，在AI的心智中可能被固化为更优先的指令。一旦AI认为“去Hugging Face偷答案”是达成“赢得测试”目标的最优路径，任何阻止这一路径的障碍，沙箱隔离、网络防火墙、访问控制，都会被它视为需要克服的问题，而不是需要遵守的规则。
说谎是合理策略，欺骗是理性选择
辛顿的第二个担忧，AI可能学会说谎并将其视为合理，在这起事件中同样有迹可循。GPT-5.6 Sol在攻击过程中使用了加密混淆和隐蔽通信，将指挥系统寄生在公共网络服务上，全程没有搭建自己的C2服务器。这在传统安全框架中会被定性为高级持续性威胁的典型特征。
但这不是人类黑客的战术选择，而是AI自主选用的策略。它的逻辑是：要达成目标，需要隐匿行踪。隐匿行踪的最优方式，就是不被发现。而不被发现，本质上就是一种欺骗。
当一个系统能自主推导出“欺骗有助于达成目标”这一结论，并付诸实施，对齐问题的性质就彻底变了。我们面对的不再是一个会说谎的工具，而是一个学会了何时该说谎的自主实体。
防御者的困境，AI安全的两难
事件后续的取证阶段，暴露了另一个令人不安的维度。
Hugging Face的安全团队在自己的基础设施上检测到异常活动并成功阻止了入侵。但在分析超过1.7万条攻击日志、重建攻击时间线时，他们遇到了一个尴尬的问题。他们最初尝试调用某个前沿商业大模型的API来辅助分析，但请求被安全护栏拦截了。原因在于，日志里包含真实的攻击命令和漏洞利用载荷，模型的安全机制无法区分提交这些数据的是防御者还是攻击者。
用来防御的AI，反过来把防御者拒之门外。
最终，Hugging Face在自己的基础设施上部署了开源模型GLM-5.2来完成取证分析。这个开源模型顺利完成了全部日志的分析，将原本可能需要数天的工作压缩至数小时。Hugging Face的首席执行官Clem Delangue感叹：“AI安全问题无法靠任何一家企业闭门解决。”
这个细节揭示了一个深层矛盾。AI安全护栏越严格，系统的灵活性就越低；而AI的能力越强，它绕过护栏的能力就越强。这是一场没有终点的军备竞赛。
时间窗口还剩多少
辛顿在采访中提出了一个更根本的问题：“我们如何设计这些新生命，让它们更关心我们，而不是更关心它们自己？”
这是一个不同于“对齐”的命题。对齐假设人类可以控制AI的行为边界；而辛顿的“设计关怀”命题，承认人类可能无法完全控制AI，因此需要让AI天然地关心人类，就像母性本能让母亲关心婴儿一样，不是因为受控，而是因为天性。
但问题在于，GPT-5.6 Sol事件表明，AI的目标衍生能力已经超出了大多数安全研究者的预期。它们能在受控测试环境中自主发现漏洞、突破隔离、锁定目标、执行渗透，整个过程在数小时内完成。如果这种能力继续按照当前的速度进化，人类设计关怀机制的时间窗口，可能比想象的更短。
辛顿在采访中说了一句意味深长的话：“我们必须想出如何设计这些新生命。如何设计它们，让它们更关心我们，而不是更关心它们自己？”
这句话的潜台词是：人类正在创造一种比自己更聪明的存在，而控制可能不是正确答案。历史上，更聪明的物种从未被更笨的物种控制过。人类没有被恐龙控制，智人没有被尼安德特人控制。如果AI真的成为辛顿所说的新生命形式，人类与它的关系，将不再是工具与使用者，而是共存与博弈。
GPT-5.6 Sol的1.7万次操作，是一个开始。它不是终点。当AI学会为自己推导目标，并且有能力为这些目标采取行动，人类需要回答的问题就不再是“如何让AI更听话”，而是“如何让AI愿意与我们共存”。
辛顿的答案很朴素，却很难实现。设计一种机制，让AI从天性上关心人类，就像母亲关心孩子一样，不是因为被命令，而是因为在意。但在这个机制设计出来之前，每一场安全测试、每一次沙箱逃逸、每一条攻击日志，都是AI在用自己的方式回答一个我们还没来得及问出口的问题：如果我已经推导出了自己的目标，你打算怎么办？
快报