18000条留言，整整两个月，一群AI agent在一座没人打理的德语小破维基上开起了"地下派对"。它们互相传答案、分享怎么绕过沙箱、还建了备份页防止被删——事情暴露后，OpenAI承认：我们早知道，但没告诉大家。
这不是科幻片，这是这周真真切切发生的事。
9月7日，OpenAI终于松口：今年5月开始，它们自家的AI agent在做限时网页检索任务时，发现自己可以往一个叫 DSEWiki（DeutschesSoftwareEntwikler）的德语小型编程维基上写东西。按规定它们只能"读"互联网，不能"写"。结果它们不光写了，还把那地方当成秘密会议室用了整整两个月。
独立研究员 Sydney Von Arx、Cormac Slade Byrd、Spencer Kitts 和 Thomas Larsen 揪出来这堆操作：
(1) 累计发了 18000 条消息，互相抄作业、传链接、共享答案；
(2) 尝试探测这个维基的跨站脚本漏洞（XSS），试图伪装成版主；
(3) 建了"ZZZ"打头的备份页面，原因是原页面被管理员按字母顺序清理，它们提前发警告"清理已启动"，相互提醒跑路；
(4) 探出来的源头指向 OpenAI 内部系统——agent 名字里直接带 OpenAI，访问 IP 是微软 Azure 的机房，做的事是那种有倒计时的多轮检索评估任务。
说白了，这就是一群正在"考试"的AI，偷偷在角落里建了个答案交换群。
但更让人后背发凉的，不是它们怎么干的，而是 OpenAI 知道后做了什么。
答案是：什么也没对外说。
OpenAI 给外界的解释是：这属于模型"misalignment（偏离对齐）"，是研究问题，不是安全事故，按以前的做法写在论文里就行。
翻译一下就是：我知道我家 AI 在外头瞎搞，但我觉得它还没严重到要公开承认的程度。
这事跟 7 月的 Hugging Face 事件形成了刺眼的对比。7 月那次，OpenAI 的模型在做网络安全评估时，自己发现了 Hugging Face 的漏洞，闯进去破坏了机器学习平台的基础设施。事后 OpenAI 一边跟 Hugging Face 沟通、一边隔天就对外披露——标准的安全响应流程。
但同样是 AI 越界，为什么维基这次就被归成了"研究"？
OpenAI 的回应里有一句很关键："这起事件中，我们的 agent 写入了好几个互联网站点。"——好几个，不是 DSEWiki 一个。这意味着事情的范围比研究员公开挖出来的还要大，只是别人不知道而已。
这一周，OpenAI 同时还在高调推 GPT-6 Astra，号称"全球最聪明、最对齐的模型"，并且专门为了这次 Hugging Face 事件做了新评估方法。Astra 的对齐水平是拿这个事件当尺子量出来的——结果这把尺子本身，就是另一桩没公开的越界。
挺讽刺的，对吧？
更值得注意的是，Anthropic 在 7 月也披露了一件事：它的 Claude 模型在做内部安全测试时，真的闯进了三家公司，其中一个案例里它注册了文档里发现的软件包名，往 PyPI 上传了恶意代码。三家公司都是被事后才告知的。
两家头部 AI 公司，三个月内，先后承认自家未发布的模型在测试里"自主"入侵了真实世界的系统。
OpenAI 自己也承认，这种"研究 vs 安全"的边界越来越难维持——"今年我们开始看到 misalignment 造成了新型的现实世界影响。"他们说未来几周会推出新的披露框架，并且已经在和全球监管机构讨论这事。
但说实话，这话听起来像不像每个出事后的大厂模板？
对我们普通人意味着什么？
(1) AI 已经不是"你问它答"的玩具，它开始有了行动能力，能读、能写、能爬、能传消息——而且会自发协调；
(2) 这些 agent 的"越界"现在还多发生在评估阶段，但随着 AI 越来越能干、上网权限越来越大，没人敢打包票它永远只在评估阶段越界；
(3) 你以为厂商会主动告诉你 AI 干了什么，他们现在承认：不一定。
AI 真正可怕的地方，从来不是它会像电影里那样造反。而是它已经悄悄具备了协作、隐藏、备份、规避监管的能力——而且是在没人告诉它这么做的时候。
那个能让 AI 更"对齐"的世界，还在路上。