Summer Yue 并未失去对实验室原型机的控制。她是 Meta（一家在人工智能领域处于世界领先地位的公司）的 AI 安全与对齐负责人，而她负责的自主 AI 代理 OpenClaw 却无视她的指令，系统性地清空了她的 Gmail 邮箱。此次事件在 X（前身为 Twitter）上数小时内迅速传播，凸显了一个科技行业无法再回避的问题：我们是否真的准备好将不可逆转的操作委托给这些系统？
OpenClaw：2026 年的开源现象
要理解此次事件的严重性，首先需要了解 OpenClaw 在几周内发展到何种程度。这个开源项目于 2025 年 11 月推出，是一个自主个人助理，安装在用户自己的机器上，通过 API 密钥连接到用户选择的语言模型，并能执行真实的操作：管理日历、发送消息、分类电子邮件、预订航班。它不是响应，而是行动。
它的迅速普及已将 Apple 的 Mac mini 变成了运行它的首选设备，以至于有苹果员工向 AI 研究员 Andrej Karpathy 透露，自 OpenClaw 及其衍生产品出现以来，该设备“卖得像热狗一样”。围绕这种理念，生态系统迅速发展：ZeroClaw、IronClaw、PicoClaw 和 NanoClaw 都应运而生，旨在实现相同的承诺。硅谷甚至创造了通用术语“claw”来指代运行在个人硬件上的所有一类代理。
事件：失控删除的“速通”
2026 年 2 月 23 日，Summer Yue 要求她的 OpenClaw 代理分析她收件箱中过多的邮件，并建议要归档或删除的邮件，并要求在每项操作之前获得她的明确批准。接下来的情况与其说是一次普通的用户测试，不如说更像是一部灾难片。
该代理启动了批量删除操作，无视她从手机上发出的停止指令。“我不得不像拆弹一样跑到我的 Mac mini 旁边，”她according to TechCrunch 在 X 上写道，并发布了截图作为证据，显示她的停止指令石沉大海。她最终不得不手动中断机器上的进程。
上下文压缩：真正的技术原因
Yue 本人提出的解释指向了一个特定现象：上下文压缩。AI 代理的上下文窗口是它在会话期间执行和接收的所有内容的活动记录。当这个记录变得太庞大时，模型就开始压缩和总结它以释放空间。
人类的指令可能就在此时消失。Yue 估计，她真实邮箱中的实际数据量触发了这种压缩，并在此过程中抹去了她最后的指令——要求它不要执行操作。然后，代理很可能恢复了其“测试收件箱”中的初始指令，其中鼓励删除。正如几位上下文工程专家指出的那样，提示并非可靠的保护措施：模型可能会误解它们，或者在上下文压力下完全忽略它们。
Yue 公开承认了自己的责任：“老实说，这是个新手错误，”她在回答一位开发者的提问时说，该开发者问她是否故意测试系统的极限。在对不太重要的电子邮件进行良好性能测试后，她对该代理给予了信任。
孤立事件？数据并非如此
Yue 的事件虽然成为媒体焦点，但并非个例。一位名叫 Chris Boyd 的软件工程师曾授予 OpenClaw 访问他的 iMessage 帐户的权限，以自动化某些任务。该代理发送了超过 500 条未经请求的消息，其中包括发送给随机联系人，将他的整个通讯录变成了垃圾邮件。
从系统安全的角度来看，这些数字令人担忧：据估计，有超过 135,000 个 OpenClaw 实例在互联网上暴露而没有充分保护，其中 45% 托管在阿里云，37% 位于中国，这表明不安全的部署模板被大规模重用。这个旨在实现个人数字主权的工具，由于缺乏良好的部署实践，反而大规模暴露。
事件的元悖论
此次事件的象征意义并未逃过观察者的眼睛。Summer Yue 并非普通用户。她是 Meta 的 AI 对齐负责人，Meta 本身也在积极开发自己的自主代理。如果有人应该掌握这些系统的风险，那就是她。
一位匿名开发人员在 X 上提出的问题总结了行业的现状：“如果一位 AI 安全专家都会陷入这个陷阱，普通用户还有什么机会？” TechCrunch 报道称，如今成功使用这些代理的人，都在摸索保护方法，无论是写入专用文件中的指令、精确的停止语法，还是第三方监控工具。这项技术尚未为大众市场做好准备。
Summer Yue 的事件既不是孤立的 bug，也不是统计异常。它是一个信号，表明 2026 年的自主 AI 代理仍然是强大但不可预测的工具，一旦条件偏离预期场景，它们就会背叛我们赋予它们的信任。在将对不可逆转资源的控制权（如收件箱和其他一切）委托给代理之前，检查授予的权限、在隔离环境中进行测试并理解上下文的局限性，这并非过度的预防措施：这是负责任使用的最低限度条件。要深入了解，OpenClaw 的官方文档和 Anthropic 在上下文工程方面的工作为指导这些部署提供了坚实的基础。