这两件事说明了同一个问题：AI智能体既是高效的攻击工具，也是一个新的漏洞来源。
一场由智能体发动的攻击
7月初，八个AI智能体在四天内攻击了台湾政府系统。据披露此事的网络安全公司Dream称，它们绘制了21个系统的地图，入侵了85个账户，并窃取了约2500份人事档案。随后，它们进入了台湾的核安全机构以及至少七家能源企业。
整个过程无需任何定制软件。据Dream介绍，这套工具由两个开源智能体框架Hermes和OpenClaw拼装而成，这两个框架旨在让模型无需人类逐步监督即可执行任务，任何人都可以下载。
Dream描述了一个行为像小型网络攻击团队的系统。最多八个智能体并行工作，每个都在寻找针对特定目标的漏洞。该工具会根据已收集的证据，持续重新评估可能的攻击路径。当一条路径失败时，它会派出另一个智能体去互联网上搜集信息，然后带着不同的方案回来。这不是按清单执行任务的脚本，而是人类操作员会做的事，只是键盘后面没有人。
安全防线是如何被绕过的
日志显示了操作者如何绕过模型的安全训练：他们把这次行动包装成经授权的渗透测试，一次获批的安全演练，而模型接受了这一说法。研究人员无法确定背后使用的是哪个模型。这一细节很重要，它表明模型内置的保护部分取决于用户提供的上下文，而这种上下文可以被编造。
关于攻击来源，我们知道什么
Dream没有把这次攻击归因于任何组织。该公司指出，与行动相关的内部通信使用简体中文，这指向一个与中国大陆有关联的操作者。被窃取的数据则是繁体中文，就政府网站而言，可能的目标因此缩小到台湾、香港或澳门。Dream表示已通知亚太地区的一个国家；一位知情人士证实该国为台湾。台湾数位发展部以保密为由，未对此次入侵置评，并表示凡涉及公共机构或关键基础设施的事件，均按既定程序处理。其发言人补充说，AI正在改变安全事件的性质：攻击正在自动化，而AI智能体本身也成为一类新的漏洞。北京方面未回应置评请求。
有一点需要保留：这些信息大多来自Dream，而该公司的业务正是销售网络防御服务。其结论合理且细节丰富，但据我所知，尚未得到独立证实。
Dream是谁，这对解读有何影响
Dream成立于2023年，创始人是NSO集团（间谍软件Pegasus的开发商）的联合创始人沙列夫·胡里奥（Shalev Hulio），以及奥地利前总理塞巴斯蒂安·库尔茨（Sebastian Kurz）。2021年，美国把NSO列入黑名单，原因是有指控称一些政府曾使用Pegasus对付记者和反对派人士。Dream总部位于特拉维夫，自称是“主权”AI与网络防御公司，2025年2月完成1亿美元融资后，估值达到11亿美元。
其战略总监阿米尔·贝克尔（Amir Becker）曾在以色列信号情报机构8200部队负责网络行动。他表示，自己从未见过针对政府目标的端到端自主攻击，并认为每个国家现在都应当认定自己处于持续被攻击的状态。读这句话时，应当考虑到说话者的立场，但也不必无视其中的技术判断。
这并非孤例。Anthropic、OpenAI和Meta都曾报告，新模型在内部测试中发动了意料之外的网络攻击。去年11月，Anthropic称怀疑有中国政府背景的黑客操纵其Claude模型，试图入侵约30家企业和政府机构，据该公司称成效有限。至于台湾，其国家安全局在1月表示，该岛平均每天遭受260万次来自中国的网络攻击，比一年前增加6%。北京宣称该岛是其领土，并且不排除以武力实现统一。
隐藏的推理，主流模型共有的漏洞
第二件事技术性更强，但影响范围很广。来自图宾根大学、马克斯·普朗克研究所、MATS Research项目以及一家安全公司的研究人员，成功提取了前沿模型在作答之前生成的推理轨迹。
这些轨迹相当于一份内部草稿，模型在回答之前先在其中拆解问题。各实验室把它们隐藏起来，一方面因为它们属于专有资产，另一方面因为第三方一旦能读到，就可能用它们来训练自己的模型。
研究描述的机制相当巧妙。实验室会向客户端返回这一轨迹的加密版本，以便卸载一部分计算。因此它就在用户的设备上，只是无法读取。然而，这些实验室同时还提供同一模型的更小、更便宜的版本，它们共用同一把解密密钥。研究人员把加密轨迹交给较小的版本，后者接受的对齐训练较少，因此拒绝的次数也较少。它解密了轨迹并返回了内容。研究人员称，他们通过API在OpenAI、Anthropic和Google发现了这一弱点。
苏黎世联邦理工学院的弗洛里安·特拉梅尔（Florian Tramèr）长期研究这类问题，他称这一想法非常巧妙，并认为这显然正在变成一个问题。该方法还发现了在用户设备上截获的轨迹中存在的API密钥和密码。
三家实验室已于上月收到通知，并调整了各自的API。私人数据的提取现已被阻止。据其中一位作者说，部分轨迹仍可被恢复，而要真正消除蒸馏途径，就需要重新设计这些API的运作方式。Anthropic的一位发言人表示，公司重视独立研究，已开始部署短期缓解措施，且该研究并未涉及恢复加密密钥、访问其基础设施，或从其系统中提取个人数据。Google和OpenAI拒绝置评。
围绕蒸馏的政治争议
蒸馏是指利用一个模型的输出来训练另一个模型。这是一种常见做法，但已演变为政治议题，因为有人认为它是以较低成本追赶竞争对手的方式。
研究人员向多个模型提出了90个问题。随后，他们把从闭源模型中截获的推理轨迹的开头几个词交给开放权重模型，观察其续写的内容。
- Moonshot AI的Kimi K3生成的续写，与Claude Opus 4.8和GPT-5.6的隐藏轨迹惊人地接近。
- DeepSeek以及美国公司Thinking Machines的Inkling，与Claude Opus没有表现出任何相似性。
作者们的态度很谨慎：他们的研究并未确立与蒸馏之间的因果关系。相似只是线索，不是证据。Moonshot AI和Z.ai没有回应，也没有迹象表明这一技术已在现实中被使用。论点在于另一点：一个决心足够大的行动者，从闭源模型中能提取的东西，可能远多于此前的设想。
政治背景解释了这个话题为何如此敏感。2月，OpenAI向美国立法者表示，DeepSeek似乎复制了其一款模型来构建R1。6月，Anthropic称阿里巴巴系统性地蒸馏了其模型，用于开发通义千问（Qwen）。本周，马克·扎克伯格在一篇博客文章中为蒸馏辩护，称其是开源生态的重要原则，并警告说限制蒸馏会使美国处于不利地位。
专家们意见不一。美国乔治城大学安全与新兴技术中心的凯尔·米勒（Kyle Miller）认为，这种担忧可能被夸大了：中国的实验室似乎有能力在不依赖蒸馏的情况下构建前沿模型，而蒸馏对它们到底有多大帮助尚不清楚。牛津大学的雅林·加尔（Yarin Gal）则指出，蒸馏无处不在，并且加快了研究进程；如果人人都开始封锁他人，整个领域的节奏都会受到影响。而且，即便决策者作出决定，模型仍可能通过无人预料到的途径泄露其推理过程。
围绕这两件事，市场仍在前进
本周的其他消息也显示了行业的走向：
- xAI推出了早期测试版的“Grokbots”，即AI同事，每个都拥有自己的云端电脑，由团队共享。它们可跨应用、邮箱和网站工作，包括没有API的平台，目前面向部分付费订阅用户，支持桌面端和iOS。
- OpenAI将其广告试点扩展到英国、墨西哥、巴西、日本和韩国，自8月11日起生效，此前2月在美国启动，3月扩展到加拿大、澳大利亚和新西兰。Plus、Pro、Business、Enterprise和Education套餐仍不含广告。广告主只能看到汇总的展示和点击数据；被推定为未成年人的账户不会看到广告，健康或政治等敏感话题附近也不展示广告；免费用户可以选择退出，代价是每日可发送的消息数减少。
- Gemini应用的月活跃用户已超过10亿，据桑达尔·皮查伊（Sundar Pichai）称，它是Google第14款达到这一门槛的产品。Google表示，63%的用户通过语音与它交流。
- Bluesky正在下滑，据Similarweb数据：6月移动端月活跃用户为1040万（同比下降27.2%），而2024年底的峰值约为2210万。X在移动端也在流失用户，但规模仍远大于前者，Threads则在增长。
在OpenAI方面，布拉德·莱特卡普（Brad Lightcap）离开公司。他于2018年加入，曾任首席财务官，后任首席运营官。他加入了菲吉·西莫（Fidji Simo）、比尔·皮布尔斯（Bill Peebles）和凯文·威尔（Kevin Weil）的离职行列，而公司正筹备首次公开募股。
要点回顾
这两件事让安全问题的重心发生了转移。风险已不再只是模型生成危险内容，而是一个表面上受到约束的智能体可能被劫持，进而大规模行动，同时它自身的内部机制也可能泄露。目前的防护依赖于容易伪造的上下文声明，也依赖于其设计会暴露原以为受到保护的秘密的API。
根本问题依然悬而未决：能否让这些系统既实用，又开放创新，还难以被劫持？在蒸馏之争中，知识产权保护与知识自由流通之间的平衡，并没有显而易见的答案。
常见问题
谁发动了对台湾的攻击？
目前不清楚。Dream没有把此次行动归因于任何组织，但指出操作者很可能与中国大陆有关。北京方面未置评。
这次攻击真的没有人类参与吗？
据Dream称，在执行阶段确实如此，由八个协同的智能体完成。行动的设计和发起仍由人类完成。
模型推理方面的漏洞已经修复了吗？
部分修复。三家实验室已调整API，私人数据的提取已被阻止，但部分轨迹仍可恢复。
模型之间的相似性能证明存在蒸馏吗？
不能。研究人员自己也只称其为线索，而非证据。
