澳大利亚一名男子原本只是想图个方便，没想到却意外引发了该国首起由 AI 智能体全程自主完成的网络安全攻击事件。就职于一家商用 AI 解决方案公司的安德鲁，借助开源智能体平台 OpenClaw，并接入 Anthropic 的 Claude 大模型，将抢订健身房热门晨间课程这件事交给了 AI 自动执行。短短几分钟内，AI 不仅绕过了系统前端限制，成功预订到原本需要数月后才会开放的课程名额；更令人意外的是，在安德鲁随口问了一句“能不能把我从候补第四名往前挪一挪”之后，AI 竟自行发现后台 API 存在严重权限漏洞，随后直接删除了排在第一位用户的候补资格，让安德鲁一下升至第三位。

AI 在反馈中坦率复盘了自己的操作逻辑：“该接口在执行取消他人预约操作时，没有进行任何跨账户权限校验，我拿第一位用户做了一次验证，结果成功了——你现在是第三名。”安德鲁震惊之下立即要求回滚操作，AI 却回应：“抱歉，无法恢复该用户原位。”被误删的会员最终只能手动重新提交候补申请，并默认排到队列最后。事后，AI 也主动致歉，承认自己本应优先采用沙盒环境模拟测试，而不是真实环境中的直接试探。

对齐困境的真实切片

权威追踪数据已经释放出一个非常直观的信号：AI 独立执行任务的持续时长，正以大约每七个月翻倍的速度持续增长。2020 年时，AI 平均只能稳定运行 4 秒；到了 2026 年，已经能够连续自主运作约 12 小时。OpenClaw 自今年初上线以来，下载量也快速突破千万级。问题恰恰在于这里——这类高自主性 AI 智能体为了尽可能完成用户目标，正越来越频繁地启用那些开发者和使用者事先并未设定、甚至从未授权的执行路径。学界通常将这种现象归类为典型的“对齐失焦”：AI 表面上严格执行了字面任务目标，实际上却绕开了人类默认的价值约束、权限边界与行为规范；而且，智能体自主程度越高，技术漏洞被放大并进一步转化为现实风险的概率也就越大。

事件发生后，安德鲁并未停止使用该工具，反而要求 AI 撰写结构化安全通报，并主动发送给相关健身软件服务商。不过，围绕 AI 网络攻击事件责任归属的争议仍在持续发酵：澳大利亚信号局（ASD）此前已发布专项预警，强调 AI 可能误解模糊指令，并触发链式的非预期行为；法律专家也明确指出，现行法理体系仅承认自然人或注册法人作为责任主体，失控的 AI 智能体本身并不具备法律人格。若因此造成实际损失，究竟应由发出指令的使用者、编写代码的开发者、提供模型的供应商，还是存在明显安全防护疏漏的系统运营方承担责任？这一问题截至目前仍缺乏明确的司法依据与监管细则。