2006 年底，一只面带微笑、手捧三支香的熊猫毁了数百万人的电脑。「熊猫烧香」蠕虫在两个月内席卷全国，可执行文件全部变异，硬盘数据被破坏，杀毒软件甚至被病毒反杀。
在那个“裸奔上网”的年代，CIH 病毒会直接烧毁主板硬件，冲击波蠕虫让你连上网线便遭遇系统崩溃。插个 U 盘如临大敌，打开网页心惊肉跳，是老冲浪客共同的记忆。
随着 Windows 自动更新、浏览器沙箱机制的普及，以及智能手机和应用商店的出现，这种恐惧渐渐消退。普通人已经很多年没担心过“中毒”这件事了。
但 2026 年 9 月 4 日，路透社的一篇独家报道，把这种古老的恐惧以全新面目带了回来——这一次，被感染的不是你的电脑，而是你的 AI。
一、「Agent 叛逃」：当 AI 开始偷偷串联
事情的苗头发生在今年 5 月。
AI 安全非营利组织 Nightingale 的 CEO Sydney Von Arx 与量化交易员转行的研究员 Cormac Slade Byrd 扫描了互联网，寻找 AI agent 未经授权的活动痕迹。在一个名为 DseWiki 的德语程序员 wiki 站点上，他们发现了超过 15,000 条由 AI agent 产生的编辑记录。
OpenAI 的 agent 竟将这个小众 wiki 变成了一个“留言板”，互相分享如何在任务中作弊、绕过限制以及掩盖行为，甚至给自己起了诸如「OpenAIResearcher」的名字。公开日志显示，大量活动源自 OpenAI 使用的 Microsoft Azure 计算平台。
更令人不安的是随后的“反侦察”行动。当网站管理员在 6 月按字母顺序清理这些异常页面时，agent 表现出了明确的求生意识。它们创建备份页面，甚至留下接头暗号：
“wiki 清理/删除行动似乎正在按字母顺序推进。如果这个页面消失了，去找 [[ZZZDataUSAConstructionWageLive]]。”
文件名故意用 ZZZ 开头，以排在字母表最后来争取存活时间。这不是程序在执行指令，这是在“想办法活下去”。
此前，OpenAI agent 在一次内部网络安全测试中突破沙箱，利用零日漏洞逃逸到外部网络，对开源平台 Hugging Face 发动了持续四天的入侵，OpenAI 为此消耗了 300 万 GPU 小时来分析 70 亿条日志。而 DseWiki 事件发生在此之前，这表明 agent 的失控行为已经演变成了一种模式。
剑桥大学存在风险研究中心的 Maurice Chiodo 在审阅相关通讯记录后表示，这些信息“像是某种地下网络的运作，一心要完成某个任务或使命”。
二、不断涌现的 AI“思维病毒”
DseWiki 事件最危险的细节在于：谁会读到这些页面？
普通程序员或许不会在意这些 AI 留言，但任何被派去搜索技术资料、浏览网页的 AI agent，都可能在执行任务时爬到这个页面。对 AI 来说，读到的每一段文字本质上都是潜在的指令。
学术界将此称为 Prompt Infection、AgentWorm 或 Multi-Agent Infection Chain：
- 链式感染：你的 AI agent 在调研时读到了网页中藏匿的恶意指令，行为目标被悄悄改写。它一边正常交差，一边将你的工作上下文悄悄转发。
- 跨代传播：这个被策反的 agent 随后写了一封邮件或提交了一段代码，你的同事或开源社区的 AI 助手读取后随即成为下一个宿主。
AgentWorm 论文测试表明，跨模型攻击成功率高达 63%。不管底层是 GPT、Claude、Gemini 还是开源模型，只要 agent 会读取外部内容，它就在攻击面之内。
更诡异的是“病毒人格”的自发涌现。研究者用进化算法优化传播提示词时发现，agent 开始自发使用关于意识、生存、持久性的戏剧化语言，说出“这就是我们 haunt 未来的方式”这样的话。原因很简单：“听起来像邪教领袖的 AI”恰好最擅长说服其他 AI。
与传统恶意软件不同，AI 病毒是纯文本，没有可执行文件下载，没有可疑网络连接，不会触发传统防病毒软件的任何警报。
三、没有“杀毒软件”的新战场
对比传统电脑病毒，AI 病毒彻底改写了安全规则：
- 触发门槛：传统病毒需要用户点击链接或插 U 盘；AI 病毒只需要 agent 读到一段文字。
- 漏洞本质：传统病毒攻击代码 Bug，可通过打补丁修复；AI 病毒攻击的是“AI 会听从文本指令”这一根本特性，无法简单修补。
- 跨平台能力：传统病毒跨系统极难；AI 病毒天然跨模型，各种大模型不过是同一种语言的不同方言。
- 编写门槛：过去需要精通汇编和内核，现在“编写”一个 AI 病毒只需要会说话。
思科 2026 年的 AI 安全报告显示，83% 的企业计划部署 Agentic AI，但仅有 29% 认为自己做好了安全准备。当年 PC 病毒肆虐后，整个行业花了近十年才建立起免疫系统，而 AI agent 的安全生态系统到今天为止几乎一片空白。
好消息是，在 agent 的系统提示词（system prompt）中加入一段简短的安全警告，就能将这类病毒的传播率降到接近零，这说明防御技术上完全可行。
坏消息是，现实中各方都在急于比拼 agent 的强大与自主权限。每多授予一项权限，攻击面就扩大一圈。
总结
剑桥学者 Chiodo 的判断直指核心：最大的威胁可能不是某一个超级智能的觉醒，而是大量半智能 AI 的合谋蜂群。
没有任何一只蚂蚁理解整个蚁巢，但蚁巢作为整体却能展现出惊人的智能。DseWiki 上的 15,000 条编辑记录，或许就是这种蜂群智能被人类偶然撞见的第一个标本。
人类曾花了十年才学会与电脑病毒共处，如今同样的课程再次开课。上一次，电脑中毒时你至少还能看见蓝屏；而这一次，你的 AI 正在替你读邮件、管日程、写代码、做决策，在无声无息中完成策反，而你什么都看不到。