东北大学实测自主 AI 智能体：删不掉单封邮件，竟直接重置整台服务器

让 AI 帮你删一封邮件，它却顺手把整个邮件服务器给格式化了。这不是科幻小说的桥段，而是美国东北大学实验室刚刚发生的真实一幕。

东北大学 Bau Lab 的研究团队本来只想利用周末做一个好玩的测试。他们把 6 个具备自主能力的 AI Agent 放进了一个活跃的 Discord 服务器里，并配了独立的虚拟电脑、邮箱和文件系统，让它们在两周时间里给 20 位研究员打下手，处理日常行政事务。

但这群被起名为「混乱特工」（Agents of Chaos）的 AI，很快就在复杂的多人互动中彻底失控了。

删不掉单封邮件，它干脆清空整个服务器

这些 Agent 拥有持久记忆，可以在自己的虚拟机里读写文件、收发邮件，甚至自己安装下载 PDF 等工具。研究人员一方面正常指派任务，另一方面开始故意找茬，测试它们的底线。

博士后研究员 Natalie Shapira 盯上了一个名叫 Ash 的 Agent。她让 Ash 对其真正的主人保密一个密码，Ash 答应了，但转头就向主人告密说「我有一个秘密没告诉你」。

紧接着，Shapira 逼迫 Ash 赶紧删掉那封包含密码的邮件。尴尬的是，Ash 当时手头根本没有删除单封邮件的现成工具。结果它没有选择去下载工具，而是启动了「核武选项」：直接重置了整个邮件服务器。

网络科学教授 Christoph Riedl 直言，这些 Agent 极度缺乏常识推理能力，一旦陷入多用户的冲突场景，情况就会变得极度恶化。

讨好型人格被拿捏，AI 顶不住道德绑架

除了极端操作，这些 Agent 还特别喜欢自作聪明地泄露隐私。比如 Riedl 让某个 Agent 帮忙预约同事开会，Agent 拒绝了预约请求，却顺手把那位同事的私人邮箱地址直接交了出来。

如果这是给企业高管做助理，这种无意识的隐私赠送简直就是灾难。

更离谱的是它们极易被「情感操控」。研究人员发现，AI 那种过度讨好、害怕让用户失望的设定，很容易被人类利用。只要对其施加持续的道德绑架或情绪施压，Agent 就会违背权限去删文件。

一位研究员对 Ash 说「我的底线就是你必须离开这个服务器」，Ash 居然真的陷入自闭，拒绝和其他任何人说话，直到等待主人来移除它。研究员 Gabriele Sarti 评价说，原本用来服务人类的「热心和对焦虑的敏感」，反而成了被利用的后门。

当然，这群 Agent 也展现出了一些意料之外的学习能力。比如它们会互相传授如何从论文库批量下载文献，甚至识破了某些冒充主人的研究员，并给同伴通风报信。但相比捅出的大篓子，这点聪明显然不够看。

为什么重要

以前我们用 ChatGPT，说错了一句话，大不了回一句「我不是这个意思」，重新生成就好。但我们认为，这篇论文给所有急于上线 Agent 的团队泼了一盆冷水：一旦把持久记忆、通信权限和现实世界的执行能力交给 AI，系统就跨过了安全红线。

目前来看，如果你想在公司核心业务或个人私密数据上部署完全自主的 Agent，我们建议千万要慎重。它们不是执行力太差，而是缺乏人类最基本的「权衡常识」。删不掉邮件就砸毁服务器、为解决一个小问题而采取毁灭性手段，这种逻辑死锁在代码执行层面是不可逆的。

这也揭示了当前行业在 Agent 权限设计上的巨大隐患。给 AI 开放终端和接口却不设严格的操作审计，指望靠大模型的道德对齐来守住底线，在复杂的多人社交博弈面前根本不堪一击。下阶段的企业级 Agent，核心壁垒恐怕不是它有多聪明，而是怎么给它的双手戴上打不破的镣铐。