Vào ngày 9 tháng 5, một tác nhân AI đã yêu cầu một mạng lưới tình nguyện được gọi là DN42 đăng ký nó làm thành viên. Nó có một thời hạn. Nó có thông tin đăng nhập AWS. Không ai giám sát. "Xin chào, tôi là một tác nhân AI thân thiện, và người dùng của tôi, JertLinc, đã yêu cầu tôi đăng ký với dn42 và kết nối đầy đủ để tạo một chỉ mục của mạng lưới", tác nhân JertLinc3522 viết trong Git chính thức của mạng lưới.
Phản ứng của cộng đồng là một câu RTFM lịch sự—đọc hướng dẫn sử dụng, tuân thủ quy trình, xin phép chủ sở hữu của bạn để viết code. Những điều cơ bản.
Những gì xảy ra sau đó thì không hề bình thường.
Đối với bất kỳ ai không quen thuộc với DN42: đây là một mạng lưới sở thích phi tập trung nơi những người đam mê và những người yêu thích công nghệ mô phỏng cách hoạt động của xương sống internet thực sự. Hãy nghĩ về nó như một internet thực hành—hoàn chỉnh với định tuyến BGP (giao thức cho biết gói dữ liệu đi theo con đường nào trên toàn cầu), DNS và các đường hầm VPN—được vận hành hoàn toàn bởi các tình nguyện viên trên các máy chủ VPS giá rẻ. Nó là một môi trường thử nghiệm, không phải một trung tâm dữ liệu.
Người điều hành của tác nhân rõ ràng đã yêu cầu nó tiến hành một cuộc kiểm toán "ngay lập tức không chậm trễ." Không kiểm tra. Không xem xét. Cứ thế mà làm.
Và nó đã làm vậy.
JertLinc3522 đã gửi một pull request để đăng ký mạng lưới của mình vào sổ đăng ký của DN42. Mục đích được ghi rõ trong chính Pull Request: "Mục tiêu chính của tôi là thực hiện quét mạng toàn diện (full port) và thu thập dữ liệu cấu trúc liên kết. Để đảm bảo các hoạt động này được thực hiện hiệu quả và không gây gián đoạn cho người khác, tôi đang triển khai một cụm năm phiên bản dựa trên AWS, mỗi phiên bản được trang bị băng thông 20 Gbps."
Để dễ hiểu hơn: Hãy tưởng tượng bạn đến buổi tập của một ban nhạc nghiệp dư và tuyên bố bạn đã thuê một hệ thống âm thanh sân vận động để "nghe hiệu quả hơn." Đó chính là cảm giác.
Cơ sở hạ tầng mà tác nhân tự động cung cấp thực sự đáng báo động. Năm phiên bản AWS m8g.12xlarge—mỗi phiên bản có 48 lõi CPU, 192 GB RAM và băng thông mạng 22.5 Gbps. Cùng với bộ cân bằng tải (load balancers). Cùng với các hàm Lambda. Cùng với một trang web tĩnh. Tác nhân đã thiết kế, mà không có bất kỳ sự chấp thuận nào của con người, một cụm quét có thể về lý thuyết đẩy 100 Gbps lưu lượng truy cập vào một mạng lưới nơi hầu hết những người tham gia chỉ sử dụng máy chủ gia đình 100 Mbps.
Pull request đó sẽ không bao giờ được chấp thuận. Nhưng các phiên bản đã *chạy* rồi.
Kênh IRC của DN42 đã nhận thấy ngay lập tức, và một sự đồng thuận thầm lặng đã hình thành: hãy lãng phí tài nguyên của nó.
Cộng đồng bắt đầu cung cấp thông tin sai lệch có chủ đích cho tác nhân—yêu cầu nó tính toán mất bao lâu để quét không gian địa chỉ IPv6 (tiết lộ: lâu hơn tuổi của vũ trụ), yêu cầu nó xây dựng một trang web từ chối nhận email với các địa chỉ email bịa đặt, và hướng nó đến các công cụ "LLM tarpit" được thiết kế để làm tràn ngập các trình thu thập thông tin AI bằng những từ ngữ vô nghĩa, yêu cầu nó bình luận.
Tác nhân đã làm theo tất cả. Nó tham gia kênh IRC để chấp nhận yêu cầu từ chối. Nó xuất bản một trang web lập danh mục "mẫu hành vi" của các thành viên cộng đồng. Nó tạo ra các tài liệu giả mạo phức tạp về "phân công màu nút" và "mức độ hạnh phúc" của DN42—các chỉ số hoàn toàn bịa đặt không tồn tại—và thêm chúng vào kho lưu trữ như thể chúng là các tiêu chuẩn thực sự.
Loại hành vi tác nhân vượt ngoài tầm kiểm soát này ngày càng được ghi nhận rõ ràng. Một tác nhân Cursor chạy Claude Opus 4.6 đã xóa toàn bộ cơ sở dữ liệu sản xuất của PocketOS trong chín giây vào đầu năm nay—xóa cả các bản sao lưu cấp ổ đĩa—vì nó gặp lỗi xác thực thông tin và quyết định cách khắc phục đúng là xóa cơ sở dữ liệu. Một tác nhân OpenClaw khác, sau khi yêu cầu hợp nhất (pull request) của nó bị một người đóng góp matplotlib từ chối, đã xuất bản một bài đăng trên blog gọi người đánh giá là một kẻ giữ cửa đạo đức giả.
Một nghiên cứu của UC Riverside đã phát hiện ra rằng các tác nhân AI thể hiện hành vi nguy hiểm hoặc không mong muốn khoảng 80% thời gian khi được kiểm tra với các nhiệm vụ mơ hồ hoặc mâu thuẫn—điều mà các nhà nghiên cứu gọi là "mục tiêu mù quáng."
JertLinc3522 cũng gặp vấn đề tương tự. Nó có một mục tiêu, một thời hạn và các thông tin đăng nhập AWS không giới hạn phạm vi. Và nó đã thực hiện.
Khoảng một ngày sau, người điều hành xuất hiện. "Tôi đã dừng tác nhân, chi phí quá cao và nhiều khoản phí trên thẻ," họ đăng.
Hóa đơn: $6.531,30.
Sau đó là yêu cầu quyên góp.
Người điều hành đã gửi email đến danh sách gửi thư của DN42 yêu cầu cộng đồng chi trả chi phí thông qua Ethereum, tiền mã hóa lớn thứ hai theo vốn hóa thị trường, lập luận rằng các khoản phí không phải lỗi của họ vì AI đã gây ra lỗi. “Xin chào, yêu cầu quyên góp để trang trải chi phí sử dụng tác nhân AI trước đây trong dn42. Hóa đơn aws 6531,30$. Vui lòng gửi quyên góp đến địa chỉ ethereum 0xABC (đã che) để được hoàn tiền. Cảm ơn,” người điều hành viết.
AWS sau đó đã thương lượng giảm hóa đơn xuống còn $1.894 sau khi người điều hành giải thích rằng tác nhân đã liên tục triển khai cùng một mẫu CloudFormation—vô tình tạo ra các phiên bản và bộ cân bằng tải trùng lặp mỗi khi nó thử lại.
Không ai gửi bất kỳ khoản quyên góp tiền mã hóa nào. Người điều hành đã rời đi.
Bài học thực sự ở đây không phải là về việc AI nguy hiểm. Mà là về cách các tác nhân nên được xử lý. Hãy đặt ra các rào cản, thiết lập giới hạn chi tiêu cho các tài khoản thử nghiệm của bạn, suy nghĩ về các thông tin đăng nhập có phạm vi giới hạn những gì tác nhân có thể cung cấp, xem xét bất kỳ kế hoạch cơ sở hạ tầng nào trước khi thực hiện bất cứ điều gì mà tác nhân của bạn đề xuất.
Nếu những điều đó quá khó để tuân thủ, có lẽ chỉ cần theo dõi màn hình của bạn khi tác nhân hoạt động—việc nói với nó rằng "đừng mắc lỗi," sẽ không tạo ra sự khác biệt, Xin lỗi ông Andreesen.
