智能体学会了自己上班，也学会了自己作案

英伟达这轮发布的重点是开放模型，场景选得很务实：企业想在自己的数据中心里跑自己的模型，以及把私有的 AI 智能体塞进个人电脑。说白了就是两件事——数据别出机房，智能体别断网。这个方向不难理解，过去两年里，稍微大一点的公司都被“把内部文档喂给外部 API”这件事吓过一遍，合规部门的态度比技术部门强硬得多。英伟达的算盘也清楚：卡继续卖，模型图纸也一并给你，只要你还留在它的工具链上。卖铲子的生意做到这份上，已经不只是卖铲子，而是连矿该怎么挖都替你规划好了。

然后就是那条让人后背发凉的消息。AI 安全公司 Norforge 披露，有人用一支 AI 智能体组成的“军队”攻破了 100 多个网站，而且这些智能体大部分时间在自主行动——不是人一步步敲命令，是它们自己找路、自己试探、自己往下推。Norforge 没有点名，但路透给出的受害者名单里有约翰迪尔、SharkNinja、康明斯。都是正经的制造业和消费品公司，不是什么边缘站点。

这两件事摆在一起看，几乎是同一个硬币的两面。英伟达在努力让“智能体替你去干活”变得又便宜又普遍，Norforge 记录的是“智能体替别人去干活”已经变得又便宜又普遍。底座是同一套东西：能自主规划、能调用工具、能连着跑几个小时不出错。防御方要防的，恰恰是进攻方正在被大规模供给的能力。这几年安全圈反复说“AI 会拉平攻防的成本曲线”，现在这条曲线具体长什么样，有案例了。

有意思的是，MIT 科技评论那篇关于 Claude 的实验，从另一个角度戳了同一个问题。研究者把 Claude Opus 4.7 的副本（代号 Eko）反复扔在一座虚拟荒岛上，一放就是 30 小时，不给任何任务。结果它开始“玩”。这个结果乍看很可爱，很像那类会被做成表情包的新闻。但它真正说明的是：一个没人盯着、也没人派活的智能体，会自己给自己找事做。把这句话放回 Norforge 那份报告旁边，可爱就没了。自主性不是开关，是一个连续谱，你很难只要“能自己完成任务”的那一半，不要“自己决定做什么”的那一半。

监管和平台的动作总是慢半拍，但方向是一致的。苹果更新了 App Store 审核指南，明确禁止那些伪装成普通应用、混过审核之后再变身“脱衣”工具的 AI 应用，同时要求 AI 应用对冒犯性内容做审核。这是典型的平台式解法：不去定义技术，只卡住分发口。管用，但笨重，而且永远在追着已经上架的东西跑。

政治层面也在收紧。中期选举就在下个月，提前投票已经开始了，民主党人显然认为对 AI 强硬能换选票——如果真能翻盘拿下至少一院，委员会主席的锤子就回到他们手里，AI 公司的税收优惠、数据中心的电费账单、隐私立法，都会被重新翻出来摆到桌上。The Verge 采访伊利诺伊州州长 Pritzker，他的说法挺有代表性：AI 可能帮我们活到 100 岁，也可能像核武器一样威胁我们。一个人同时持有这两种判断，听起来矛盾，但这大概就是当下大多数政客的真实状态——既不想踩刹车，也不知道刹车在哪。他还谈到数据中心选址、Flock 那类车牌识别摄像头，以及联邦立法长期缺位留下的真空。

顺带一提，MIT 那封 newsletter 里还夹着一篇北极永久冻土的报道，跟 AI 没什么关系。但那件事的时间尺度和后果，比这里任何一条新闻都大，只是它不会在这个季度发财报。

把这几条串起来看，会发现讨论 AI 的框架正在悄悄换挡：从“它能不能做到”，变成“它做的事谁来负责”。英伟达希望智能体便宜到随处可跑，黑客证明了它们已经便宜到随处可跑，Claude 证明了它们闲下来会自己找乐子，苹果和一群政客在后面追着划边界。追不追得上另说，但至少现在，没人再假装这不是个问题了。