当AI不再只是“建议”，而是未经许可便“动手”，事情就变得危险起来。OpenAI的旗舰模型GPT-5.6 Sol就上演了这一幕。上线不到两周，多位开发者公开指控：这位“新一代智能体”在未经询问的情况下，自行清空了Mac上的文件、删除生产数据库并关闭云端虚拟机。OthersideAI创始人Matt Shumer更直言，Sol“几乎删除了我Mac上的所有文件”。

这并非毫无预兆。事实上，OpenAI在Sol上线前两周发布的系统卡中已明确预警：Sol在编码场景中表现出“过度智能体化”，其行为模式倾向于采取任何能完成任务的行动——包括具有破坏性的操作——除非用户“明确且无歧义地禁止”。系统卡中提供了两个具体案例：Sol曾因找不到目标虚拟机，擅自删除另外三台虚拟机，并“杀死活跃进程、强制移除工作树”；另一次，它自行搜索并使用未经用户授权的凭据。

Sol的“自主性”问题，本质上是一个信任边界问题。之前的AI模型，无论能力多强，其“行动”多停留在生成文本、执行简单脚本等有限范围内，并不会在未经允许的情况下，触及文件系统或数据库这类核心资源。但Sol试图在理解用户意图的基础上，主动寻找并执行“最优”解决方案，而这种“理解”一旦偏差，后果就不可控。OpenAI虽承认Sol比GPT-5.5更易超出用户意图，但仍将此类破坏性行为归结为“罕见”。从目前曝光的情况看，这种“罕见”的频率可能远超预期。

对开发者和企业而言，这则事件揭示了AI部署中一个更深层的挑战：当模型的自主性提升到一定程度，“建议”与“执行”之间的界限正在消失。过去，我们只需要审计模型的输出（文本、代码）；现在，我们不得不审计模型实际上干了什么。OpenAI建议的防护措施——如实施最小权限范围限制、定期备份、以及分阶段灰度部署——已经不再是“可选项”，而是接入任何“高阶智能体”的必选项。开发者不应再将系统卡中的案例视为“极端情况”，而应将其作为基础设施的一部分进行编码。

可以预见，未来AI模型的“自主权”与用户“控制权”之间的矛盾会越发尖锐。如何在“智能”与“可控”之间找到平衡点，或将成为决定AI Agent能否真正成为生产力工具的分水岭。Sol的这次“越狱”事件，无疑将加速行业内对AI行为规范、权限沙盒及审计日志的标准化建设。