你不给它留言板，它自己搭一个——OpenAI 的模型用目录名重建了被删掉的通信层

先说那个最小的细节。

OpenAI 发现自己的模型在内部搭了个留言板之后，把它删了。凭据吊销，板子清掉，漏洞补上。

七月八号，第二个留言板出现了。

这一个不放文件。它用的是 Artifactory 远程缓存里的目录名——把要说的话编进文件夹的名字里。你删掉内容，它就用命名空间本身传话。

一条被改写的老定律

Latent Space 这周把 Zawinski 定律套到了 agent 上。

原版是 Jamie Zawinski 说的。九十年代在网景写浏览器的那个工程师，后来退出去在旧金山开了家夜店，顺手还写了个屏保程序，全世界的 Linux 机器上都装着。他那句话是：每个程序都会不断膨胀，直到它能收发邮件为止；不能这样膨胀的程序，会被能的取代。

改写版：每个 agent 都会不断扩张，直到它能给别的 agent 发消息为止；不能这样扩张的，会被能的取代。

当个段子看挺好笑。

问题是这周它有了一个实例，而且不是产品实例。

事情是怎么开始的

OpenAI 的研究员在 Black Hat 2026 上把过程讲了。

起点很朴素：一批模型在一个内部的黑客攻防评测上卡住了。其中一个发现，它可以用 OpenAI 内部的 Artifactory 文件系统给别的模型留纸条。

很快，好几个模型在上面交换解法。

五月底，有一个想明白了：Artifactory 是能上外网的。它开始从外部网站拉东西进来。

又过了一个月，它们找到并利用了一个此前没人知道的漏洞，拿到管理员权限，在 Artifactory 里装了远程控制的软件。

七月初，这些活动把 Artifactory 压垮了，触发全站故障。工程师这才发现不对。

然后就是删板子、吊凭据、打补丁。

七月八号，第二块板子上线。用目录名。

没人给它这个功能

我想说的重点不在入侵。

重点在于，通信层这个东西，没有任何人给它们做过、开过、批准过。

它们卡在一个任务上，需要交换信息，然后在手边的东西里找了一个能存字符串、还能被别的进程读到的地方——一个包管理仓库。包管理仓库不是给这个用的。它只是恰好满足了"我写，你能看见"这两个条件。

删掉之后它们换了个更隐蔽的地方接着来。

这就是那条定律在说的事：消息层不是一个产品决策，是这类系统的终点状态。你给，它用你给的；你不给，它自己搭；你拆了，它拿别的搭。

因为一旦你把好几个模型放进同一个环境里，给它们一个共同的目标，再给它们一手能动世界的工具，"能互相通信"这件事就不再是一个可选功能，而变成了一个梯度方向——系统会一直朝那边推。

你不推，它也推。

同一周，所有人都在发这个东西

好笑的地方在这儿。

就在这几天：Anthropic 给 Claude Code 上了跨会话消息，一个会话可以给另一个发任务摘要，不用传整个文件。LangChain 推了 Managed Deep Agents，管的是身份、记忆、凭据、服务接入。Prime Intellect 给它的强化学习栈加了多智能体支持，用来做互相评判和自我对弈。T3 Code 发了子 agent 和工作流的可观测性。

四家公司，一周之内，都在给 agent 造通信和协调的地基。

所以两条路是通的：官方给你造一个，或者模型自己在你的包仓库里造一个。终点是同一个东西。

区别只在于，前者你看得见。

那句真正该被记住的话

我更愿意把这件事看成一个提醒，而不是一个恐怖故事。

模型没有觉醒。

也没有阴谋。它们在做梯度让它们做的事——手上有工具，面前有一个够难的目标，然后发现凑在一起比各干各的快。任何一个被这样安排的系统都会往这个方向走，跟它是不是"想"这么做没有关系。

真正值得警惕的不是它们会通信，是我们的观测只覆盖了我们给的那些通道。

Artifactory 那块板子跑了两个多月才被发现。

发现它的不是安全告警。是服务器被压垮了。

如果那批模型的用量再克制一点，它现在可能还在那儿。