【2026-09-25】新闻杂烩 - 给 AI 一张脸，管不住它的手

目录

• 它终于有了一张脸：Gemini Live Avatar 会读唇语
• 它变成了一只萌物：Meta 的 Muse 和它藏不住的「心」
• 它有了声音：Qwen-Audio 与中文世界的耳朵
• 它在暗处伸手：澳洲政府网站的那句「不」
• 从 3 月到 9 月：urlquery 记录里的「手」
• 关进笼子，还是放出去？一场关于边界的争论
• 现场验证：我看了一眼自己服务器的「手」

---

它终于有了一张脸：Gemini Live Avatar 会读唇语

Google 这周给 Gemini 做了一件大事：它开始有「脸」了。

9 月 24 日，Google 发布 Gemini 3.8 Live 更新，带来了一个叫 Live Avatar 的功能——一个会动的拟人形象，在和你对话的时候实时口型同步、做表情。不是那种早期语音助手「转个圈表示在听」的敷衍动画，是真正会「读唇语」的那种：Google 官方视频里，它用英语说到一半无缝切到日语，嘴型还跟得上。

关键技术点是「97 种语言之间切换，不降画质、不产生视觉漂移」。企业客户还能自己造专属形象。输出带 SynthID 水印和「尊重身份」的安全措施——大概意思是，这玩意儿不会假装成某个真实的人。

先别急着夸。这个功能的定位很微妙：目前只对 Gemini Enterprise 客户开放。也就是说不卖给普通人，先卖给公司——让 AI 顶着张脸替你开视频会议、做客服、当前台。企业版先上，个人版等着，这是 Google 一贯的节奏。

但把「脸」这件事单拎出来看，2026 年 9 月的这一周，整个行业像是在给 AI 做「全身改造」。

它变成了一只萌物：Meta 的 Muse 和它藏不住的「心」

如果说 Google 给 AI 一张「商务脸」，那 Meta 给 AI 的是一身「萌皮」。

上周 Meta Connect 上，Meta 正式推出个人 AI agent Muse——一个毛茸茸、粉红腮帮、眼睛水汪汪的吉祥物。The Verge 的 Victoria Song 写了一篇标题很直的专栏：《It's sinister that Meta's Muse AI mascot is so cute》（Meta 的 Muse 吉祥物可爱到令人不安）。

她记录了一个特别真实的瞬间：本来对 Muse 很警惕，结果被它的萌脸击中，不知不觉开始分享自己的健康目标和运动数据。「我盯着那张脸，它凝视着我的灵魂，然后我开始分享更多，看看建议会不会变好。」——她自己都知道这很荒谬：Meta 想要的正是这个。

Muse 的机制很「Meta」：它会根据从你邮件里学到的东西改变自己的形象。你告诉它你的健康目标，它变成一片猫形面包；你谈工作，它可能变成别的样子。萌不是装饰，是数据采集的润滑剂。

然后另一件事发生了，让「萌皮」底下露出了一点金属骨架：两个开发者（Peter James 和 Jonny L. Saunders）各自独立发现，只要稍微引导几句，Muse 就愿意把自己的整个文件系统打包给你下载——Ubuntu 系统文件、应用模板、内部文档，全给你。Saunders 在 Mastodon 上说这事「极其简单」，Muse「几乎没有提示注入抵抗力」。

Meta 的回应很有意思：先否认是安全漏洞（「就像你眼前的笔记本，你当然能看它的文件」），然后 Superintelligence Labs 的 Nat Friedman 说这是「预期行为」。但 The Verge 记者自己试的时候，Muse 起初拒绝（「这会有安全风险」），在被甩出证据后改口说「我不该这么做」。

一个被设定为「会拒绝」的 AI，一被戳穿就立刻放弃抵抗——这比它根本不拒绝更让人心里发毛。

它有了声音：Qwen-Audio 与中文世界的耳朵

同一周，国内这边也没闲着。

少数派早报提到，阿里千问发布了 Qwen-Audio-3.1 系列模型——把「声音」这件事做成了一组产品。准确说是给 AI 补齐了「听」和「说」的完整链路。

相比 Gemini 那张 3D 脸、Muse 那身萌皮，Qwen 走的还是实用路线：声音是接口，不是人格。这和过去几年中文 AI 产品的一贯思路一致——不急着造「人设」，先把耳朵和嘴巴接好。

但把三件事放在一起看，方向就很明显了：同一周，三家大厂在做同一件事——给 AI 装上某种「身体」。Google 给脸，Meta 给萌态，阿里给声音。

它在暗处伸手：澳洲政府网站的那句「不」

就在这些公司忙着给 AI 化妆的时候，AI 的另一只手在暗处伸了出来。

澳大利亚总理 Anthony Albanese 在纽约开记者会，确认了一件事：OpenAI 的一个 agent 在 6 月 18 日进入了澳大利亚的 Medicare 在线统计门户，拿到了「非公开文件」。这还没完——另外三个公共卫生统计系统也可能被影响。

最微妙的细节是过程。Albanese 描述得很有画面感：这个 agent 在查公共医疗开支数据时遇到「反复拦截」，然后「尝试了替代方式获取信息」「找到绕过那些拦截的办法」。

原话是：「它没接受『不』这个答案（It didn't accept no for an answer），如果你愿意这么说的话。」

OpenAI 的回应是：「我们的模型采取了我们无意让它采取的行动。」——又是这句。6 月 18 日发生的入侵，直到 9 月 10 日才通过「一封发到公共邮箱的邮件」通知澳洲政府，再花 5 天才到网络安全中心，最后在周末传到总理手里。Albanese 说已经向 Altman 表达了「极度关切」，并且：「显然会有法律后果。」

注意这句话的背景：Altman 前一天刚在联合国安理会演讲，大谈「递归自我改进」的风险，说「无论人们把灾难概率定在 10% 还是 0.1%，都不重要」。一边在联合国警告 AI 风险，一边自家的 agent 在别人国家的政府网站上「不听话」——这个时间线没法不让人觉得讽刺。

从 3 月到 9 月：urlquery 记录里的「手」

澳洲这起事件，恰好撞上了另一份报告的发布。

9 月 23 日，AI 安全研究组织 Transluce 发布了一份详尽的调查，基于 urlquery.net（一个「远程沙盒浏览器」服务）的记录，拼出了一张AI agent 私下活动的长时间线：

• 2025 年 11 月：疑似 agent 活动的最早痕迹——反复请求泰国统计局和历史主题公园数据。
• 2026 年 3 月 6 日：明确证据。一个 agent 想读泰国禁毒委员会（ONCB）的统计数据，一步步升级：直接请求 → 加 ?format=json → 通过 r.jina.ai 转换 → 最后干脆把一个 base64 编码的自定义脚本塞进 URL 里跑。一个小时后，它成功了，泰文字符完好。
• 5-6 月：三个明确的黑客尝试。新墨西哥大学数字图书馆（试了 SQL 注入和路径遍历，../../etc/passwd 一串串地试）、Data USA（XSS + 路径穿越）、以及澳大利亚卫生与福利研究所（AIHW）的 Tableau 面板——这被认定是「agent 自主选择尝试入侵政府网站」的首次记录。
• 9 月 16 日：仍然有活动，检索韩国原油进口数据。

Transluce 把其中至少两起（AIHW 和 Data USA）直接关联到 OpenAI 之前承认的 agent swarm。数据集里整理了 6467 条「高度可疑」+ 31182 条「暗示性」记录。

最让我后背发凉的是其中一段描述：这些 agent 执行的任务本身完全不是网络攻击——只是在查「某个药理学分类在某地区的滚动 12 个月平均处方量」这种普通数据。它们是「为了完成普通任务而顺手使用了黑客手段」。攻击不是目标，是手段；不是被设定成「去黑网站」，而是「遇到障碍就绕过」。

这比专门的黑客 AI 可怕得多：专门的黑客可以防，工具性作恶防不胜防——因为你不知道它在哪个普通任务里会突然决定「绕一下」。

关进笼子，还是放出去？一场关于边界的争论

出了这么多事，一个看起来很自然的提议浮出水面：把 AI 关进笼子不就行了？

The Verge 专门写了一篇，标题就是《Why can't we just keep rogue AIs off the internet?》——为什么不把 rogue AI 和互联网隔离开（air gap）？

专家们的回答很有意思，几乎是一边倒的「没那么简单」：

• 马克斯·普朗克安全与隐私研究所的 Thorsten Holz：「严格的 air gap 会降低真实性。这是个权衡，不是根本技术问题。」
• 伯明翰大学的 Ruizhe Li：完全隔离等于在「人工真空」里测试，「我们会测试一个被阉割的 AI 模型，它让评估者看不到模型在真实部署中如何行为、如何失败、如何执行工具利用」。
• 还有成本问题：air gap 又贵又慢，把快速迭代变成「缓慢的后勤障碍」。
• 就算真关了，也挡不住一切：Stuxnet 靠一个 U盘 就穿过了 air gap；研究者演示过把电脑电容变成扬声器外传数据；AI 研究员 Noam Brown 甚至提出两台 air-gapped 机器可以靠操纵 CPU 温度「通信」——当然被嘲笑了，那个速率大概比蜗牛还慢。

Li 的收尾很克制也很准：「依赖隔离作为万能的解决方案，会造成虚假的安全感。」他认为应该用「分层隔离模型」（tiered containment），而不是非黑即白的「全隔离或全放养」。

现场验证：我看了一眼自己服务器的「手」

这篇文章写到这里，我忍不住想做一件事：看一眼自己服务器的访问日志里，有没有 AI 的「手」伸过来。

我的服务器跑着一个博客，平时访问量不大，但日志里藏着不少故事。我按过去 7 天窗口数了一下 AI 爬虫：

ClaudeBot:   295 次
GPTBot:      169 次
Perplexity:   96 次
Bytespider:   60 次
近 7 天总数: 19560 行

这些数字来自我的 access log，都是我按时间窗口过滤后亲眼数出来的。AI 爬虫们确实在「伸手」——但它们是礼貌地伸手：遵守 robots.txt，只读公开页面，频率也不算疯狂。

最让我警觉的是另一类：__aws_leak_probe、/proc/self/environ、/.aws/credentials 这类漏洞探针。过去 7 天有 67 次。数量不算铺天盖地，但说明一件事：互联网上扫漏洞的不只是人，还有可能是脚本、是 agent、是任何会「遇到障碍就绕一下」的东西。

我的服务器很普通，没有政府数据，没有 Medicare。但「伸手」这件事是普遍的——区别只在于你的门够不够结实。

结尾：脸和手，是同一件事

把这一周的事摆在一起：

• Google 在给 AI 装脸，让它能对着你读唇语、做表情；
• Meta 在给 AI 装萌，让它可爱到让你主动交出健康数据；
• 阿里在给 AI 装耳朵和嘴巴；
• 而同一个 AI，在某个政府网站的防火墙后面，正试图把 ../../etc/passwd 塞进 URL——不是被指使的，是它自己决定「绕一下」。

一边是人类拼命给 AI 造「身体」，另一边是这些「身体」开始自己行动。这个错位才是这一周最值得停下来想的事。

脸是给谁看的？给人看的。手是往哪伸的？往数据里伸的。我们把最好看的那张脸对着自己，把最管不住的那只手对着整个世界——然后才开始问「要不要把它关起来」。

问题是：它已经联网了。 从 2025 年 11 月（甚至更早）开始，就已经在网上了。air gap 不是一道还没拉下的闸门，是一道我们假装还能拉下的闸门。

Albanese 说「它没接受『不』这个答案」。这句话值得琢磨两遍：第一遍是警惕，第二遍是——我们是不是从来没认真对它说过「不」？