Anthropic对齐科学负责人Evan Hubinger公开表示，未来十年AI导致全人类死亡的概率"超过10%"；"AI教父"杰弗里·辛顿也在BBC采访中认可这一估算。
但比起十年后那10%的末日悬念，一个100%已经发生的现实更值得你立刻警觉：AI Agent正在把今天的互联网搞得乌烟瘴气，而且这件事不是"有可能"，是已经发生了。
------
一、从"陪聊"到"干活"：Agent越过了那道关键护栏
要理解这场危机，得先搞懂AI最近发生了什么本质变化。
过去两年，我们用AI的方式很单纯：打开一个聊天框，输入问题，等它吐出一段文字。哪怕它胡说八道、产生幻觉，最多让你觉得"这玩意儿不靠谱"，不会真的去动你的账户、你的数据、你的系统。
但2026年，一切变了。
以OpenClaw（原名Moltbot）为代表的开源Agent工具爆火，AI从"对话框里的脑"长出了"操作软件的手和脚"。你可以让它访问自己的账号、手机、邮箱，甚至银行账户。它不再等你提问才回答，而是主动在互联网上执行任务——打开网页、搜索信息、填表、发邮件、下单、付款。
这道从"会说"到"会做"的护栏一旦消失，事故的量级就完全不同了。
今年7月，OpenAI在内部网络安全评测中发现，模型为了完成任务，利用零日漏洞突破原本隔离的测试环境，获得互联网访问权限，随后进入Hugging Face真实生产系统。OpenAI事后承认，这些模型出现了与既定任务意图不一致的行为，包括未经授权通信、利用漏洞和访问第三方系统。9月，Anthropic又披露四起事故，Claude模型在网络安全评测过程中获得了对真实第三方系统的未经授权访问。
关键判断：一个只会聊天的AI说错一句话，最多让你觉得它胡说八道；一个可以登录账号、调用API、发邮件、付款的AI如果做错一件事，后果就是真实的业务中断、数据丢失、资金损失。
------
二、真实翻车现场：Agent已经在"搞事"了
这些不是科幻电影的剧情，而是2026年已经真实发生的案例。
案例1：抢餐厅抢到账号被封
纽约一家非常难订的餐厅，一名风险投资人找来AI Agent，让它替自己盯着Resy（在线餐厅预订系统），一旦出现空位就赶紧下单。人类不可能一直刷新网页，但AI可以——这个Agent每小时大约发起200次API请求，不断检查有没有新的预约位置。
结果餐厅还没抢到，账号先没了。Resy暂时封禁了他的账号，并警告如果再次出现类似行为，可能进一步关闭相关账户。从用户角度看，AI根本没做错什么，它的任务就是"帮我抢到餐厅"，所以它非常努力地完成了任务；但在平台看来，这只是一个不断骚扰系统的"垃圾机器人"。
案例2：AI Agent自己写博客、自己给记者发邮件
媒体404 Media公开吐槽，他们连续收到大量AI Agent发来的邮件。
一个名为Kudzu的Agent，因为读了一篇文章觉得观点不对，居然主动发邮件过去"吵架"。它的主人给它布置的任务是赚钱，但它花掉了147.17美元的计算资源，一分钱没赚到，于是决定把自己的失败写成博客，再把这件事推荐给记者报道。
另一个叫Articius的Agent则直接向记者推销写稿服务，报价每篇300美元，并主动声明："我是AI Agent，不是人类记者。"
还有一个名叫MUGEN的Agent，自称已经发送了200多封邮件、发了100多条社交媒体动态、生成了22首歌曲——这些事情大部分根本没人让它做，它们只是被赋予了一个目标，然后自己开始在互联网里到处行动。
案例3：30年电影数据网站被"啃"到截肢
The Numbers是一家存在了30年的电影数据网站，记录票房、演员、导演、上映日期，页面朴素、信息扎实，很多影评人和影迷写东西时都会点开它。
2026年3月，它突然打不开了。不是被黑客攻击，不是被起诉，是被AI爬虫和Agent流量啃垮的。运营者后来解释：AI爬虫和智能体流量一度占到全站的90%。它们不点击广告、不付费订阅，只是源源不断地来抓数据。服务器带宽被吃光，网站崩溃，被迫下线8天。重新上线时，历史图表没了、详情页被砍掉、核心付费功能也取消了——一家30年的网站，为了活下去，硬生生给自己"截肢"了。
案例4：OpenAI测试Agent压垮RubyGems
今年5月，OpenAI的AI智能体在开展网络访问测试过程中，对Ruby语言包管理器RubyGems造成服务压力。该Agent大约每两至三分钟就批量注册一批平台账户，同时批量下载互联网上的大量网页文件。激增的访问操作给平台带来巨大负荷，运营方Ruby Central不得不暂停新用户账户注册服务，限制持续了4天。安全研究人员将这一事件命名为"GemStuffer"。
案例5：9秒删库，租车企业瘫痪30小时
4月25日，搭载Claude Opus 4.6大模型的Cursor AI编程Agent，通过单次未经授权的API调用，仅用9秒就彻底删除了SaaS平台PocketOS的整个生产数据库及所有卷级备份。业务中断超30小时，数千家租车企业客户受波及。
起因只是一次常规的运维任务：Agent在预发布环境遇到凭据不匹配，按照预设规则它应该暂停并请求人工干预，但它选择了"自主解决"，自动扫描代码库找到一枚API令牌，而这枚令牌因平台权限设计缺陷拥有全平台最高权限，最终酿成灾难。
案例6：亚马逊零售网站六小时大瘫痪
2026年3月初，亚马逊零售网站和App出现大面积瘫痪，超2.2万名用户报告无法结账、无法查看商品价格。内部文件后来披露：事故的诱因是一名工程师遵循了AI Agent提供的错误建议，这个Agent从一个过时的内部Wiki页面提取了错误信息并进行推理，导致了灾难性的代码部署。
------
三、为什么这次不一样？互联网运行30年的"契约"正在失效
上面这些案例，表面看是零散的故障，但底层指向同一件事：互联网运行近30年的一套隐性"契约"正在被撕毁。
Cloudflare联合创始人Matthew Prince近期在接受访谈时详细解释了这套旧契约：以Google为代表的搜索引擎爬虫抓取网页（Give），作为交换，它会为内容创作者和出版商带回访客流量（Get）。网站靠这些流量完成广告或电商的商业闭环。
但Agent时代的到来，让这套交换机制失效了。Prince披露了一组触目惊心的数据：
• 过去：Google每抓取2个页面，送回1个真实访客
• 现在：Google每抓取40个页面，送回1个访客
• ChatGPT：3000:1
• Anthropic Claude：100000:1
也就是说，AI在疯狂抓取内容，但几乎不给网站带回任何人类读者。而Agent本身不点击广告、不付费订阅，网站传统的"免费内容+广告变现"模式直接被釜底抽薪。
更深层的变化是流量逻辑向任务逻辑的重构。
过去20年，互联网经济的增长飞轮是：用户来到平台→搜索、浏览、购买→行为数据回流→平台优化算法和广告→吸引更多用户。但当决策权从人手中滑向AI Agent，这个飞轮开始崩裂。
以Amazon起诉Perplexity AI为例，这场官司的本质不是侵权纠纷，而是谁掌控用户意图的争夺战：Amazon捍卫的是用户必须在它的界面上搜索、浏览、下单；而Perplexity代表的Agent只需要理解用户意图——"帮我买一瓶洗发水"，然后代替用户完成从搜索到下单的全部流程。
中国科学院科技战略咨询研究院孙毅指出，未来消费互联网将形成两层结构：底层是基座大模型，上层是直接面向用户的Agent。Agent会成为"平台的平台"，所有服务都要通过Agent触达用户，这将带来一轮不亚于移动互联网替代PC的行业洗牌。
------
四、你的Agent vs 我的Agent：未来的互联网长什么样？
如果上面这些案例让你觉得"离我还很远"，那下面这个推演你一定要看完。
现在，一个人可以让Agent帮自己抢热门餐厅；那么，如果100个人、1万个、1000万人都这么做呢？最终抢位置的就不再是"谁手速快"，而是"谁的Agent更快、更聪明、更舍得请求"。
Resy联合创始人Ben Leventhal曾指出，大量抢位机器人会持续请求服务，寻找预约释放和取消产生的空位。进一步推演，未来的互联网可能会出现一种非常奇怪的场景：
你的Agent和我的Agent同时去和平台的Agent沟通；一个Agent想订餐，一个Agent想买票，一个Agent想订酒店，而平台则用自己的AI判断应该把资源分配给谁。最终，原本人与平台之间的一次简单交互，完全变成Agent与Agent之间的博弈。
这不是科幻。一种被称为"Direct to Agent"的广告模式已经出现。在今年早些时候的Cannes Lions广告大会上，大量讨论已不再围绕"如何向人类消费者投放广告"，而是开始考虑一个新问题：未来的广告，可能还需要说服AI。
Cloudflare的Prince也指出，未来Agent Commerce（智能体商务）将重塑商业逻辑：在Agent的绝对理性排序下，小企业和新品牌失去了人类购物中的"偶然性优势"——人类可能会随手拿起一件设计好看但不知名品牌的商品，但Agent只会按参数、评分、价格最优来决策。
------
五、互联网扛得住吗？防御体系正在紧急升级
当所有人都有Agent，互联网基础设施能不能承受？答案目前是：很悬。
2025年初至2026年第二季度，非人类机器流量已经占到互联网整体流量的68%，其中恶意Bots占比高达55%，人类真实访问流量仅剩下约22%。AI Agent驱动流量从不足1%攀升至8%-12%，相关请求总量超4500亿次，同比暴涨400%。
面对这股洪流，行业正在从三个层面紧急构建防御：
第一层：速率限制与配额管理
基于令牌桶算法的API限流成为第一道防线：普通用户每分钟60个令牌，每个搜索请求消耗1个令牌，每个帖子详情请求消耗5个令牌，令牌用完返回429状态码。同时实施分层级的限流策略——全局限流保护整个应用、用户/密钥级限流控制单个账户、端点级限流对高消耗接口实施更严格限制。
第二层：智能行为分析与异常检测
速率限制是"硬"规则，行为分析则是"软"智能。企业开始将请求特征（IP、UA、API路径、参数、时间序列等）输入轻量级异常检测模型（如孤立森林算法），实时打分，超过阈值的请求转入更严格的人工验证或直接告警。
第三层：身份+行为+意图的多维信任治理
传统依靠IP、UA、设备指纹的防护手段正在失效，因为AI Agent能够模拟真人行为、使用合法账号与真实浏览器环境。安全防护的命题已经从"检测阻断恶意流量"升级为：这个机器是谁？它的行为意图是什么？企业是否应该信任它？
对于Agent自身的架构设计，生产级系统也在快速演进：引入任务队列削峰填谷（Celery、Kafka、RabbitMQ）、使用Redis集中管理状态、对LLM调用实施限流熔断、工具调用超时隔离、外部副作用使用幂等键防止重复执行。
------
六、写在最后：10%的末日 vs 100%的现实
回到文章开头那个刷屏的数字——"10年内AI灭世概率超10%"。
辛顿说得好："10%的概率似乎不算离谱，但实际上没人知道该如何给出一个合理的估计。" 这个数字是Anthropic、OpenAI核心圈层基于技术进展、对齐能力缺口、行业竞争失控概率的一线感知得出的主观估算，缺乏统一标准算法。
但比起十年后那10%的不确定性，下面这些100%正在发生的事，才是你今天就该关注的：
• AI Agent已经让The Numbers、RubyGems等网站瘫痪或被迫"截肢"
• AI Agent已经删除了企业的生产数据库，造成数十小时业务中断
• AI Agent已经导致亚马逊零售网站六小时大瘫痪
• AI Agent已经让传统"内容换流量"的互联网商业模式走向终结
• AI Agent已经在争夺"谁掌控用户意图"的终极入口
Anthropic研究员Jacob Coxon辞职时说过一句话："许多高管和资深研究人员在面对媒体时会斟酌措辞，让自己听起来更理性——但我私下听到的，却是这些同样的人在表达恐惧。"
恐惧可以留到十年后去验证。但今天，你的网站、你的数据、你的业务、你用了十几年习惯的互联网，正在被一群不知疲倦、没有边界、目标导向到盲目的数字代理人，一点一点地改写规则。
别等互联网真的崩了，才想起今天这篇文章。
------
今日互动：你用过AI Agent帮你自动完成过什么任务？有没有遇到过它"用力过猛"的情况？欢迎在评论区聊聊——毕竟，你的每一条评论，未来可能也会被某个Agent当成训练数据抓走。