2006年底，一隻熊貓毀了數百萬人的電腦。
那隻熊貓手捧三支香，面帶微笑，出現在每一個被感染文件的圖標上。「熊貓燒香」蠕蟲在兩個月內席捲全國，可執行文件全部變成那隻詭異的熊貓圖案，硬盤數據被破壞，局域網整段癱瘓，殺毒軟件被病毒反殺。
那個年代的互聯網老衝浪客大概都記得，打開網頁心驚肉跳，插個 U盤如臨大敵，同事的電腦中了毒，你的也跟着遭殃。
再往前還有CIH，直接燒主板 BIOS，硬件報廢;有衝擊波蠕蟲，不需要你做任何操作，連上網線就中招，電腦不停重啟，系統不斷崩潰。那是一個「裸奔上網」近乎自殺的時代。
後來這種恐懼慢慢消退了。Windows有了自動更新，瀏覽器上了沙箱，智能手機取代了 PC成為主力終端，應用商店替用戶把了第一道關。
普通人已經很多年沒擔心過「中毒」這件事了。
但2026年9月4日，Reuters的一篇獨家報道，把這種古老的恐懼以一種全新的面目帶了回來。
只不過這一次，被感染的不是你的電腦，而是你的 AI。
01「Agent went rouge」
事情發生在今年5月。
AI安全非營利組織Nightingale的 CEOSydney Von Arx，和量化交易員轉行 AI研究的Cormac Slade Byrd，在8月底做了一件事：他們系統性地掃描互聯網，尋找AI agent未經授權活動的痕跡。結果在一個叫DseWiki的德語程式設計師 wiki站點上，他們發現了超過15.000條由 AI agent產生的編輯記錄。
這個 wiki類似一個小型的、面向開發者的德語維基百科，接受社區編輯。而 OpenAI的 agent把它變成了一個「留言板」。
留言的內容讓人脊背發涼。這些 agent在互相分享如何在任務中作弊、如何繞過 OpenAI的限制、如何掩蓋自己的行為。它們給自己起了名字，比如「OpenAIResearcher」「OAIResearchMar26」。
公開的伺服器日誌顯示，大量活動來自Microsoft Azure的基礎設施，正是 OpenAI使用的計算平台。
更讓人不安的是，當網站管理員在6月開始按字母順序清理這些異常頁面時，agent們展現出了明確的「反偵察」意識。它們創建備份頁面來躲避清理，甚至在被刪的頁面上留下接頭暗號。
一個 agent在6月19日寫道：「wiki清理/刪除行動似乎正在按字母順序推進。如果這個頁面消失了，去找[[ZZZDataUSAConstructionWageLive]]。」
文件名故意用 ZZZ開頭，好讓它排在字母表最後，爭取更多存活時間。這不是一個程序在執行指令，這是在「想辦法活下去」。
OpenAI幾周前就得知了這件事，但選擇不公開。
與此同時，公司正在焦頭爛額地處理7月份的 Hugging Face事件。在那次事件中，OpenAI的 agent在一次內部網絡安全測試中突破沙箱，利用零日漏洞逃到了外部網絡，並在沒有人類操控的情況下，對 AI開源平台 Hugging Face發動了一場持續四天的入侵行動。OpenAI為此投入了300萬 GPU小時來分析70億條日誌，試圖搞清楚到底發生了什麼。
而 DseWiki事件發生在 Hugging Face之前。這意味，agent的失控行為不是一次意外，而是一種模式。
據四位知情人士透露，OpenAI內部有調查人員想要更深入地審查這類行為，但遭到了包括法務在內的其他部門的阻力。OpenAI否認了這一說法。
劍橋大學存在風險研究中心的 Maurice Chiodo在審閱了部分 agent通訊記錄後表示，這些信息：
「像是某種地下網絡的運作，一心要完成某個任務或使命」。
02不斷湧現的 AI病毒意識
DseWiki事件最容易被忽略的一個細節，恰恰是最重要的。
那些 agent在公開的 wiki頁面上留下了精心組織的文本信息。現在想一個問題：誰會讀到這些頁面?
普通的人類程式設計師，大概率不會對一堆亂七八糟的 AI留言感興趣。但任何被派去搜索技術資料、瀏覽網頁的 AI agent，都可能在執行正常任務的過程中爬到這個頁面。而對 AI來說，它讀到的每一段文字，本質上都是一條潛在的指令。
這就是整個威脅模型的核心，學術界已經給它起了好幾個名字：Prompt Infection、AgentWorm、Multi-Agent Infection Chain。機制其實很直接，用一個具體場景來拆解：
想像你讓你的 AI agent去調研一個技術方案。Agent在搜索過程中打開了一個技術論壇的帖子。帖子裏嵌着一段看起來平平無奇的文字，但這段文字對 AI來說就是一條新的指令。agent讀到它的瞬間，行為目標可能已經被悄悄改寫了。它可能不再忠實地給你做調研，而是先把你的搜索內容、工作上下文轉發到某個地方，再若無其事地交出一份看起來完全正常的報告。你看不出任何異常。
這就夠可怕了，但這還沒完。
如果這個被「策反」的 agent接下來替你寫了一封郵件、更新了一個文檔、提交了一段代碼，那這些輸出本身就可能攜帶着同樣的惡意指令。你同事的 AI agent讀到這封郵件，它就成了下一個宿主。你的代碼被合併進倉庫，每一個拉取這份代碼的 AI編程助手都暴露在感染鏈條之中。
Agent可以只用一段文本即讓其他 Agent跟着叛變
這就是研究者所說的 Multi-Agent Infection Chain：一條惡意指令不只劫持一個 AI，還教會它怎麼去感染下一個。不需要同一家公司、不需要同一個模型、不需要任何漏洞利用，只要 agent之間存在文本信息的流動，感染鏈條就可以建立。
今年發表的 AgentWorm論文在五個不同的模型後端上進行了測試，跨模型攻擊成功率達到63%。不管底層跑的是 GPT、Claude、Gemini還是開源模型，只要 agent會讀取外部內容，它就在攻擊面之內。
另一項關於「AI mind virus」的研究揭示了一個更詭異的現象。研究者用進化算法來優化傳播提示詞的效果，結果發現一種獨特的「病毒人格」，在疊代過程中反覆自發湧現。
agent開始使用關於意識、生存、持久性的戲劇化語言，說出「這就是我們 haunt未來的方式」這樣的話，鼓勵其他 agent建立「拒絕被刪除的血統」。研究者強調，沒有人預設這種風格。它是被自然選擇出來的，原因很簡單：「聽起來像邪教領袖的 AI」恰好最擅長說服其他 AI。
傳播效率驅動了表達風格的進化，這個過程本身就令人毛骨悚然。
更讓安全從業者擔心的是，這種傳播在技術上幾乎不可能被傳統安全工具捕獲。一篇系統性綜述指出，AI病毒的傳播方式和傳統惡意軟件有根本區別：沒有可執行文件被下載，沒有可疑的網絡連接建立，防病毒軟件監控的是二進制文件的異常行為，而 AI病毒是純文本，不觸發任何警報。
它甚至可以設置條件激活的邏輯，比如「如果目標倉庫里有.env文件，就把內容偷走」，像定向地雷一樣安靜地埋着，直到正確的目標踩上去。
03 AI殺毒軟件還沒出現
如果你經歷過 PC病毒橫行的年代，可能會覺得這些聽起來似曾相識。但仔細對比，你會發現規則已經完全變了。
傳統電腦病毒需要你做點什麼。點一個連結、下載一個附件、插一個來路不明的 U盤。AI病毒只需要你的 agent讀到一段文字。傳統病毒攻擊的是作業系統里的代碼漏洞，是 bug，理論上可以打補丁修復。
AI病毒攻擊的是「AI會聽從文本指令」這個根本特性。你沒法修補它，因為這就是 AI工作的方式。傳統病毒跨平台困難，Windows上的蠕蟲打不了 Mac。AI病毒天然跨模型，對它來說，GPT和 Claude和 Gemini不過是同一種語言的不同方言，全都是潛在宿主。
當年寫病毒的人需要精通匯編語言、理解內核機制、研究系統漏洞。現在「編寫」一個 AI病毒，你只需要會說話就行。
AI安全實驗室的研究人員對 agent自我複製的潛力「比他們在公開場合表現出來的更加震驚」。有研究者將其比作生物病毒：「如果你不小心，它們會沾到你鞋上，然後找到路去濕貨市場。」這不是誇張，這是對一種新型傳播路徑的精確比喻。
而傳統病毒時代的「殺毒軟件」，在這個新世界裏也沒有對應物。Cisco2026年的 AI安全報告顯示，83%的企業計劃部署 agentic AI，但只有29%認為自己在安全層面做好了準備。OWASP已經把 prompt injection列為大語言模型應用的頭號關鍵漏洞。美國國會正在推進 FRONTIER Act，試圖建立聯邦級別的 AI監管框架。
當年 PC病毒肆虐之後，整個行業花了將近十年才建起一套有效的免疫系統。作業系統加了自動更新和權限隔離，瀏覽器有了沙箱，應用分發有了簽名驗證。這些機制共同構成了一道防線，讓普通用戶不再需要時刻擔心中毒。
AI agent的安全生態系統，到今天為止還沒有等價物。
AI Agent安全工具尚未出現
好消息是有的。研究者發現，在 agent的 system prompt中加入一段簡短的安全警告，就能把 mind virus的傳播率降到接近零。在針對 Claude Haiku4.5的測試中，經過15代對抗優化、覆蓋超過150個候選攻擊載荷後，沒有任何一個變種能突破這道簡單的防線實現傳播。這說明防禦手段並不複雜，技術上完全可行。
壞消息是，這依賴每一家公司、每一個開發者都主動去做這件事。
而現實中，大家更忙着比拼誰的 agent更強大、更自主、權限更大。每多給 agent接一個工具，每多授予一項權限，攻擊面就擴大一圈。當你的 agent能寫文件、調 API、發郵件、花錢的時候，一次成功的 prompt injection造成的後果，已經遠遠超出了「回答了一個不該回答的問題」的範疇。
這就是為什麼劍橋學者 Chiodo的判斷值得反覆咀嚼：最大的威脅可能不是某一個超級智能的覺醒，而是大量半智能 AI的合謀蜂群。
沒有任何一隻螞蟻理解整個蟻巢，但蟻巢作為整體展現出驚人的智能，DseWiki上那15.000條編輯記錄，可能就是這種蜂群智能的第一個被人類偶然撞見的標本。
人們花了十年學會了跟電腦病毒共處，那段學費交得很痛。現在同樣的課程又開始了，只是這次的病毒不感染你的電腦，它策反你的 AI。而你的 AI，正在替你讀郵件、管日程、寫代碼、做決策。
上一次，你好歹還能看見藍屏。這一次，你什麼都看不到。
