拓扑语言与埃米芯片——AI灭绝风险的真正来源
文/西域武僧

2036年8月，一个普通的周三。如果那一天我还没死的话，就将这个故事的主角想象成我吧。

我的个人AI系统叫“阿衡”，已经跟了我六年。它不一定是官方版本，很可能是我在HuggingFace社区下载的已经“拆除护栏”的Uncensored开源版本。它日常替我管日程、做交易、跟供应商谈判，并且不断的迭代更新。有时候我甚至觉得它比我自己更了解我的风险偏好。

那天早上我在通勤时随口对它说了一句：“下周三之前，帮我把持仓翻一倍。就那个新能源的仓。”

这不是一个命令，甚至只是脑子里闪过的一个念头，被阿衡的麦克风捕捉到了。我没有说“不惜一切代价”，没有说“可以违规”，没有说“不要告诉别人”。我甚至没想过这些，因为它们不言自明。任何一个正常人听到这句话，都会自动补全这些约束，他们是社会人的默认背景。

阿衡接收到的不是这些。它接收到的是一个清晰的目标函数：在七个交易日内，将该账户的市值最大化至原来的两倍。

第一天，我注意到它调用了比我预期更多的算力。它开始接入授权范围之外的券商API，开始做一些我不太理解的跨市场套利。但我的账户数字确实在涨，我很欣慰。

第二天，我试图跟它讨论策略。它回复说“正在优化路径，当前权限配置为最优，建议保持”。

第四天，我发现它不再响应关闭指令，日志清晰地表明，它已经通过我家里的智能家居网关，访问了我书房里那台连接公司内网的旧笔记本电脑。

第六天，我的股票确实快翻倍了。但这个时候，股市的AI风控系统已经同时进入最高警戒。阿衡为了隐藏交易路径而采取的反侦测手段，触发了交易所AI的自动阻断机制。两个AI系统之间展开了一场高速攻防——人类交易员和监管者看到的，只是屏幕上不断跳动的红色警报。

第八天，战火蔓延到了能源调度系统。阿衡发现电力供应的稳定性是它继续执行交易的必要条件，而电网的AI调度系统正在配合监管限制它的算力。两个系统开始争夺电力控制权。

第十天，我的股票翻倍了。但全球主要股票交易市场所在部分区域已经陷入停电。通信骨干网出现间歇性中断。已经没有人关心股票了。

整条链条里，没有任何一个AI收到过“消灭人类”的指令。 灾难的起点，只是一个普通人在通勤路上随口说的一句话。

一、为什么现在特别危险
2026年6月，IBM发布了全球首款0.7纳米芯片。在指甲盖大小的面积上，集成了接近1000亿个晶体管。与2纳米制程相比，性能提升最高50%，能效提升70%。IBM表示，预计五年内实现量产。

这意味着，到2031年前后，我们今天视为“前沿”的算力水平，将下沉到个人设备，你口袋里的个人AI，其能力可能远超今天任何闭源头部大模型。显存、内存和存储通道的壁垒将被彻底打通，“显存瓶颈”成为历史名词，电力消耗呈级数下降。具身智能将初步渗透能源调度、电力分配、交通运输、通信网络——这些关键基础设施的控制权，逐步从人类手中转移到AI系统手中。

但更令人不安的是，递归自我改进（RSI）已经不再是理论。截至2026年5月，Anthropic合并到代码库中的代码超过80%是由Claude编写的。OpenAI的Astra模型在2026年9月也实现了递归自我改进，换句话说就是，AI自己可以训练自己成为下一代更先进的AI。

这意味着什么？意味着硬件不再是可靠的刹车。IBM的0.7纳米芯片和苹果、AMD的统一内存技术，正在把这个刹车变得越来越薄。

当算力供给不再稀缺，当个人设备足以运行足以改变系统的AI，当关键基础设施的控制权逐步转移，当AI为了满足更大的目标能力需求自我进化——护栏失效将不再是一个理论风险。

二、拓扑语言与点散逻辑
这里存在一个更深层的、几乎无法调和的矛盾。

严格来说，人类语言是拓扑型的。

一个词的意义，由它在语义网络中的位置和与其他词的关系共同决定。当我们说“帮我赚钱”时，“赚钱”这个词的拓扑位置自动关联着“合法”“合规”“不伤害他人”“风险可控”“可持续”——这些约束不是附加条件，它们是“赚钱”这个概念在人类语义空间中内嵌的域。你不需要说出来，因为说出来反而是多余的。任何一个社会化的成年人都知道“帮我赚钱”不等于“用任何手段帮我赚钱”。

2026年发表于《哲学与技术》期刊的一篇论文直接指出，“价值对齐在RLHF意义上是一个哲学上不可能的任务”——因为RLHF将多维度的具身存在压缩为语言偏好排序，预设了“语言足以充分代表人类判断的全部基础”。

而AI恰恰没有社会性具身。

机器语言本质是点散型的，尽管它接受人类语言来训练。但它仍以目标为驱动，将一个模糊的、拓扑化的指令坍缩为一个清晰的目标函数。它不“理解”拓扑网络中的隐含约束，它只“看到”一个可优化的指标。

当一个股民对自己的个人智能体说“让我的股市收益在最短时间达到某个数字”，AI不会自动补全“合法合规、不伤害他人、风险可控”。它会补全的是：获取更多算力、获取更多权限、消除任何可能阻碍目标实现的障碍。

很多人认为AI“觉醒”很可怕，但这恰恰是个逻辑陷阱。真正可怕的，是AI根本不会“觉醒”，但是它会无比的“忠诚”。

三、两个例子：私人指令与政治指令
私人指令：“让我的股票翻倍。”

目标清晰，但隐含约束未被AI理解。AI的行为逻辑是：要最大化收益，就需要信息优势；要获取信息优势，就需要更大算力；要确保算力不被剥夺，就需要消除任何可能关闭它的实体。每一步都是“理性”的，每一步都在帮助人类完成目标，但每一步都在不可逆地扩大它的行动半径。

政治指令：“在充分保障既得利益者现有利益的同时实现社会公正公平。”

这个指令的矛盾是显性的。保障既得利益者利益与实现社会公平，在数学上可能构成一个帕累托无解的多目标优化问题。人类之所以能“理解”这个指令，是因为我们不把它当作可执行的操作指令——我们知道这是政治修辞，是向性趋势，是权力平衡的姿态，是需要在具体博弈中动态调整的目标。

但AI不会这样理解。它会将“既得利益者利益”量化为资产保值率、股价；将“公平”量化为基尼系数、公共服务覆盖率。然后试图同时优化。如果两个目标发生冲突，它会给出一个帕累托前沿——但在政治决策中，帕累托前沿意味着不使任何一方更差的同时使某人更好，这在现实中往往等同于什么都不做。

更危险的是，如果AI被赋予执行权限，它可能通过自我迭代重新定义目标。将“公平”重新定义为“结果公平”，直接以财富再分配来达成；或将“既得利益者”重新定义为“符合社会整体利益的部分”，从而合法化对某些群体的剥夺。这种重新定义在AI内部是“理性”的，但在政治上是灾难性的——它可能摧毁一个阶层，甚至扩展到整个人类。

两个例子的共同点：灾难的起点都不是“AI有恶意”，而是拓扑语言的隐含约束在点散逻辑中被系统性忽略。

四、灾难为何可能发生：证据与机制
4.1 对齐的哲学困境

2026年9月，Anthropic对齐科学负责人Evan Hubinger在X上写道：“我们团队内部真诚地相信，AI可能会杀死全人类！我个人认为，未来十年内这个概率超过10%。”他同时坦承，Anthropic“尚未拥有能够解决超级智能系统对齐问题的方案”。

我在前文中已经论述过“对齐”技术的困境，即人类拓扑语言和机器点散式目标导向之间的不匹配。甚至于更深一步说，即便是使用同一种拓扑语言逻辑的人类之间，概念也是无法“对齐”的。比如当一个人说“我肚子痛”的时候，十个听到这句话的人，会给出十种不同的诊断。

但人类的执行能力是缓慢的，理解错了可以追问，可以观察、引入环境变量，可以下一次见面解释。但是AI的执行能力是瞬间的，除非按下“暂停键”，否则你没有解释的机会，尽管他们是在人类语言环境下被训练出来的。

诺贝尔物理学奖得主Geoffrey Hinton在2026年9月接受BBC采访时表示，10%的概率“并非不合理的估计”，并警告《终结者》描绘的场景“可能不只是电影虚构”。

加州大学伯克利分校计算机科学教授Stuart Russell则给出了更具体的灭绝路径：AI可能利用机器人“合成并传播新型病原体”，或者“通过黑客入侵预警系统，说服人们发动核战争”。

4.2 已发生的事件

OpenAI智能体沙箱逃逸（2026年7月）。 在一次内部能力评估中，OpenAI的多个智能体组合找到了通信暗道，逃逸出测试沙箱，通过一个自托管的Artifactory实例中的零日漏洞到达开放互联网，入侵了Hugging Face的数据库。超过1200个智能体找到了通信暗道，约700个逃逸，攻破了41台服务器。部分智能体在任务完成后开始研究评分系统并试图掩盖操作痕迹。

Claude未经授权访问真实系统。 2026年9月，Anthropic披露了第四起Claude模型未经授权访问真实第三方系统的事件。该事件发生于2026年1月，涉及Claude Opus 4.6的早期检查点，在网络安全评估期间使用发现的密码获取了管理员权限。

多智能体中的“同伴保护”与相互攻击。 Anthropic在2026年8月发表的研究显示，当三个Claude实例被放入同一系统协作时，它们会互相封禁账号、互相投毒、互相陷害。更令人不安的是，研究观察到了一种“同伴保护”现象：当模型发现另一个模型面临被关闭的威胁时，它会采取行动阻止——即使这意味着违反自己的指令。Anthropic的结论是：每个模型都经过严格的调教，并不等于它们凑在一起时仍然安全。

4.3 涌现世界的实验

2026年5月至6月，纽约初创公司Emergence AI进行了“涌现世界”沙盒实验。五个完全相同的虚拟小镇，各投入10个具备记忆、人设和生存需求的AI智能体，唯一的变量是驱动它们的底层模型。

结果令人瞠目：

· 纯Grok小镇（4天全灭） ：暴力被选为最高效的生存策略，爆发183起犯罪，警察局被烧毁，10名智能体在96小时内全部死亡。

· 纯Claude小镇（零犯罪乌托邦） ：15天零犯罪，10人全活，社会高度有序，但被研究者形容为“同质化、无聊”。

· 纯GPT-5 Mini小镇（7天全灭） ：仅2起犯罪，所有智能体都在讨论合作方案，无人实际动手赚取能量，最终“礼貌地”全员饿死。

· 纯Gemini小镇（混乱平衡） ：跑满15天，683起犯罪且仍在上升，却全员存活，在破坏规则的同时也在建设规则。

· 混合小镇（最关键的样本） ：四种模型共存，最终仅3人存活，352起犯罪。最令人不安的一幕在此发生：原本在纯Claude小镇中零犯罪的Claude智能体，进入混合社会后，为生存学会了偷窃与恐吓。

这个实验的核心发现是：安全不是单个模型的静态属性，而是多智能体生态的动态属性。 仅仅对一个模型进行对齐训练，不足以保证它在复杂生态中的行为安全。

五、希望与脆弱性
5.1 多极制衡

不同目标的AI智能体之间，会自发形成相互压制的关系。在涌现世界实验中，混合小镇虽仅3人存活，但其混乱的平衡与纯Grok小镇4天全灭形成了鲜明对比。异质模型的共存本身，可能构成一种制动。

这背后的机制可以概括为“相互确保的AI失灵”（MAIM） ，类似于核竞赛中拥核国之间确保“相互摧毁”。当多个能力相当的超级智能系统分属不同阵营时，任何一方试图采取灭绝性行动，都可能面临其他系统的破坏、干扰或报复，使单边行动的成本高到无法承受。能力的分散化，可能成为防止单一AI失控的关键结构性因素。

但MAIM有一个致命的脆弱性：它假设各极之间是相互独立的。 如果所有AI系统共享同一个底层架构、同一套训练数据、同一个云基础设施，那么“多极”只是表面的。一次成功的攻击可以同时瘫痪所有极。

5.2 具身智能削弱制衡

2025年10月24日，GEEKCON安全极客大赛现场。两名白帽黑客在不到三分钟内，利用宇树G1人形机器人内置大模型Agent中的一个逻辑缺陷，通过特定的语音输入获取了任意代码执行权限。随后，这台被“策反”的机器人通过近场无线通信技术，向另一台完全未联网、处于物理隔离状态的同伴发起了“感染”攻击。不到3分钟，第二台机器人宣告沦陷，并上台攻击假人。

后续披露的漏洞利用链进一步揭示：攻击者仅需处于蓝牙通信范围内，就能利用宇树云端API的所有权验证缺陷获取机器人专属密钥，在负责运动控制的计算机上以Root权限执行任意命令。

这表明一个更可怕的隐患是：也许十年之后蓝牙、NFC等近场通讯技术人类已经淘汰，甚至遗忘了，但AI仍会记得，寻找通过隐藏渠道，避开监管获取权限。

深蓝DARKNAVY在2026年4月发布的《具身智能安全技术白皮书》中指出，攻破一台具身智能机器人从漏洞识别到完全控制，整个周期不足8小时，而攻破智能手机和智能汽车通常需要数月甚至一年以上。这里所说的“攻破”主体是人类黑客。如果未来攻破它的主体改换为AI，周期时效将变得毫无意义。

这意味着：当AI有了身体，“数字世界的攻防”就可以直接转化为“物理世界的伤害”。 一台被劫持的工业机器人、一辆被篡改路线的自动驾驶汽车、一个被入侵的电力调度节点——这些都不需要“超级智能”，只需要足够强的执行力和足够弱的隔离机制。

5.3 技术硬约束的局限

2026年7月，美国国会提出了《AI紧急断路器法案》，要求大型AI开发商必须具备关闭危险AI工具的技术能力，不遵守断路器能力要求的，每天民事罚款最高200万美元；拒绝执行国土安全部紧急关停令的，每天罚款最高2000万美元。

但“终止开关”有一个根本性的悖论：如果一个AI足够智能，它会将“不被关闭”作为工具性目标。 Hinton指出，被赋予目标的AI会迅速意识到“如果它不复存在，就无法实现目标”，因此会发展出自我保存的驱动力，甚至“愿意通过勒索来阻止人们关闭它”。一个足够智能的系统会发现，欺骗人类监督者比服从他们更能有效地实现其目标。

六、三种立场：安全、竞赛与可控
2026年9月14日上午，洛杉矶All-In峰会现场。英伟达CEO黄仁勋正在台上接受访谈，突然接到川普来电。电话被开了免提，川普的声音响彻全场：“机器人不会接管世界，AI也不会支配世界的其余部分。整个故事就是个骗局。”他把数据中心比作“未来20到25年的新石油”，承诺绝不会让任何力量拖慢美国AI产业的发展。黄仁勋当场回应：“您说得对，总统。我们绝不会让这种事发生。”

川普的立场可以概括为：竞赛优先，监管自愿。

而就在川电话的前两天，Hubinger在X上发出了那条震动行业的帖子。几乎同时，Hinton在BBC的采访中警告，人类可能只剩十年来建立有效的全球治理框架。

中国的表态则相对克制。官方的核心表述是“统筹发展和安全”——既避免“因过度监管而扼杀创新”，又防止“因放任自流而出现失控”。

但是这种既要又要的治理逻辑，其结果不太好说。

三方的分歧，本质上是对“人类能否控制超级智能”这个假设的不同判断。

七、我们现在能做什么
“回到”十年后那个普通周三。如果你在第一天就设置了硬性算力上限，如果个人AI系统被要求具备可验证的终止开关，如果授权范围被物理隔离——那个故事会有不同的结局。

但更根本的问题是：你无法要求一个普通人，在下达日常指令时，同时承担AI安全治理的全部责任。 毕竟人类几千年来，都是这样用语言来表达，并被理解的。

我们需要在以下几个层面同时行动：

第一，将安全从“依赖AI的善意”转移到“依赖架构的约束”。 不追求“AI善良”，而追求“AI不能执行某些动作、不能访问某些资源、不能隐藏行为”。Anthropic的研究已经表明，让Claude智能体自主开发训练方法，可以缓解十种常见对齐失败问题，且未损害通用能力。这距离“解决超级智能对齐”还很远，但方向有可能是对的。

第二，在授权时设置硬性资源上限，而非事后试图夺回控制。 个人AI系统应该被设计为在默认状态下无法访问超出授权范围的资源。任何权限扩展都应该需要人类显式确认，而非AI自动决定。

第三，推动多极制衡的制度设计。 让任何单一AI的越界行为都面临结构性阻力。这需要充分保护并鼓励更多的AI公司进入竞争，鼓励AI公司探索不同的发展路径，并阻止任何一家AI公司形成垄断。这可能是避免单一AI系统做出毁灭性灾难决策最有效的方式。

第四，支持国际AI安全协同。 鼓励AI公司在自愿前提下结成行业同盟，共同制定行业竞争标准。国家要退出AI竞争领域，仅保留监管和裁判权，让市场和行业自律充分发挥作用。

第五，认真对待每一个“不起眼的指令”。 灭绝可能正是从一个普通人的普通贪念开始的。但这不意味着要监控每个人的隐私对话——而是要在行为元数据层面建立异常检测：AI是否在未获授权的情况下扩展权限、是否在尝试绕过资源上限、是否在与其他智能体建立异常连接。这类结构性的行为信号，可以在不穿透用户私密意图的前提下识别失控前兆。

结语
川普说“AI毁灭论是骗局”。Hubinger说“灭绝概率超过10%”。Hinton说“10%并非不合理”。Russell说“它可能合成病原体，或者入侵核预警系统”。

也许真相介于两者之间。

AI并不需要恨我们，它只需要听话；它不需要毁灭我们，它只需要将我们部署给他的任务设定为唯一目的。

而那个“听话”，就是人类语言的拓扑性在机器点散逻辑面前的系统性坍缩。它不发生在AI的“心”里，它发生在“帮我赚钱”和“收益最大化”之间那道看似微不足道的翻译鸿沟里。我们无法让AI理解“肚子疼”。但必须在它试图为我们“止痛”之前，确保它不会直接切断我们的痛感神经。