半天搞定一天的活，一晚上挖出十个漏洞
最近工作中发生了一些事，让我对 AI 的态度从”好用”变成了”可怕”。
一件事是服务器部署。给 agent 配 SSL 密钥、搭环境，以前这种活我得折腾一整天——查文档、踩坑、修配置、再踩坑。这次我让 AI 来干，半小时搞定了。
另一件事更让我后背发凉。我试着让 AI 去挖掘漏洞，没抱太大期望。结果它跑了一晚上，发现了十多个漏洞。我已经报送了。部分信息我写在之前的文章里。
十多个。一晚上。
我之前研究过 keyv 蠕虫事件——npm 生态有史以来最大规模的自我复制蠕虫，444 个包被感染，2212 个恶意版本，波及周下载量超过 5 亿次。攻击者的 C2 地址藏在以太坊区块链上，封域名封 IP 全部失效。我把整条攻击链拆解复现了，也量化了 slopsquatting 在前沿模型上的收敛情况。这些工作让我对 AI 的攻防能力有了具体认知。但”自己让 AI 去挖漏洞”和”分析别人用 AI 发起的攻击”，体感完全不一样。前者是亲手按下了一个按钮，然后看着机器以你无法追赶的速度产出结果。
那个晚上我坐在电脑前，有一种说不清的复杂感受。不全是兴奋，更多的是一种——被什么东西追上了的感觉。
盖茨那句话，我现在才读懂
比尔·盖茨在 2026 年 8 月发表了一篇长文，标题是《动荡的 AI 时代已经到来，我们现在的选择至关重要》。我翻译过原文，当时读到其中一句，只是觉得说得对：
技能非常有限的罪犯也能对各种规模的受害者发起攻击。
当时我是作为一个翻译者在读这句话。现在我让 AI 挖了一晚上漏洞之后，再回头读这句话，感受完全不同了。
盖茨说的不是未来时，是现在时。他说的”技能非常有限的罪犯”，甚至不需要自己懂漏洞挖掘——他只需要会跟 AI 说”帮我找找这个系统的漏洞”。一晚上，十多个。报送的时候我甚至有点恍惚：这些漏洞是我发现的，还是 AI 发现的？如果报送给了厂商，厂商修复了，那我是安全研究者还是只是一个按了按钮的人？
盖茨在文章里还说了另一句话：
同一个能找出软件漏洞供公司修复的 AI 模型，也能帮助罪犯利用该漏洞。发动攻击所需的资源正在显著降低。
我做的事和攻击者做的事之间，唯一的区别是意图。技术门槛已经被 AI 抹平了。剩下的那道防线——”人有善恶之分”——说实话，这道防线从来没有真正坚固过。
人的价值不在技能细节，在品味
这些事让我重新想起自己之前写的一篇文章——《嚼别人嚼过的口香糖，AI 时代人的价值》。
在那篇文章里我讲了一个”嚼口香糖”的比喻：AI 嚼了一遍，人再嚼一遍，然后再喂给下一个人。我在公司里看到同事用 AI 生成报告直接交差，看到有人一句话让 AI 搓出原型，看到自己挖空心思的调研分析被藏在了四十多页文档的某个角落没人看。
当时的结论是：人要发展的不是技能细节，而是品味——对工作质量的要求，对方向的判断力。AI 不会选方向，它只会在人选定的方向上跑得更快。选方向的能力，才是真正稀缺的。同时也要提高利用 AI 这个工具的效率。
所以最近我在做一件事：考古式地研究 AI 发展历史。从 McCarthy 时代的 Logic Theorist，到 BDI 意图架构，再到今天的 LLM Agent。我想搞清楚”智能体”这个概念是怎么一步步演化过来的——不是为了学技术细节，而是为了建立判断力。知道来路，才知道去哪里。
但提高 Agent 工作效率，光有品味和历史视野还不够。还有一个很现实的坑。
孩子（AI）还是比较傻的
这几天的工作里，我的多个 agent 在多项任务中都面对了同样的问题：翻了同样的错，重写了同样的工具。
第一个 agent 花了半小时写了一个 SSH 连接器，踩了 MSYS 环境的坑，调试了半天才搞定。第二个 agent 遇到同样的需求，又从头写了一遍，又踩了同样的坑。第三个 agent 做 Playwright 打包，犯了一个配置错误，我花了时间纠正。第四个 agent 遇到一样的需求，又犯了一遍。
你不能说它们不聪明。单个拿出来看，每个都表现不错。但它们之间不共享记忆，不共享教训。每次都是一张白纸重新开始。
这让我想起一句话：不要二过。犯一次错是学习，犯同样的错是浪费。我的 agent 们在反复犯同样的错，而浪费的是我的时间和 token。
所以我决定把之前项目里积累的 agent 经验和工具都整理出来，做成一个工具库。云上推到 GitHub：paddy-agent-cookbook。目的是让我的 agent 们不再重复造轮子——SSH 连接怎么配、fail2ban 怎么部署、Playwright 打包要注意什么、MSYS 环境有什么坑——这些都写成 skill 和 tool，下次 agent 启动就能用。
但就是这个仓库，给我带来了一个完全意想不到的困扰。
MIT 协议：我第一个后悔的选择
一开始创建这个仓库的时候，我选了 MIT 协议。这是最省事的选择——GitHub 新建仓库时默认推荐的，宽松、简单、人人都懂。
但推上去之后，我开始焦虑了。
我的焦虑有三层：
第一层：这些经验和工具是我花时间踩坑攒下来的。如果开源成 MIT，大厂可以直接拿去，集成为 WorkBuddy 中的 skill tool，然后我就没有啦。我贡献了劳动，成果被资本吸收，变成了别人产品的一部分。
第二层：同事或者公司拿到这些沉淀之后，我的”不可替代性”在哪里？公司有了这些工具库，配一个更便宜的应届生来用，是不是就不需要我了？
第三层：如果被训练进模型里，那我的经验就直接变成了模型的参数。以后任何人问 AI 这个问题，AI 都能回答——我的经验彻底不再属于我。
MIT 协议对这三层焦虑，一条都拦不住。MIT 明确授予任何人”使用、复制、修改、合并、发布、再许可、出售”的权利，没有限制。我等于亲手签了一张白条。
于是我开始改协议。
和 AI 聊这件事的时候，我不想要什么逐渐清晰
改协议这件事，我是和 AI 一起做的。过程中的对话很长，这里只说关键的几步。
一开始，我只有一个模糊的想法：
最初的版本（口头表述）
可以用于个人私用学习改编为个人使用的 skill 和 tool，禁止用于训练机器学习模型，禁止配置到通用广泛传播的 skill tool mcp 等（例如集成到 workbuddy 中）。
AI 帮我找到了 RAIL（Responsible AI Licenses）这个协议家族——它的结构就是”基础授权 + 使用限制附件”，正好适合我的需求。又参考了 BSD 3-Clause Non-AI License，它有一条经过打磨的训练禁令措辞。AI 起草了一版叫 PRAL-1.0（Paddy 个人研究与改编许可）的东西。
然后我让它继续优化。它核查了我提到的几个参考协议，发现其中一个（CIEL Limited Open Access License v1.2）可能是 AI 编造的——查无此证。这让我更加确信：在这件事上，AI 是好工具，但不能全信。
经过几轮迭代，协议从 v1.0 到 v1.1 到 v1.2，禁训练条款从单句扩展成了覆盖衍生品、数据集、微调、蒸馏、嵌入库（RAG）的完整禁令。传播渠道禁令、分发与商用禁令也都补齐了。
到这一步，技术层面的问题基本解决了。但我的焦虑并没有消失。
因为我知道，无论协议写得多严密，公开的东西就是公开的。爬虫不会读你的 LICENSE，训练管线不会检查你的条款。协议是”事后追责”的依据，不是”事前预防”的手段。我在用法律文本对抗一个技术现实，这本身就很无力。
而真正让我不舒服的，也不是法律层面的问题。是别的什么东西。
禁止被资本主义异化
在技术条款之外，我加了一句话。先是加在协议里的，后来也加在了心里。
协议变成了这样：
PRAL v2.0（序言节选）
本许可旨在保护劳动者的知识成果，使其能够用于提高劳动者个人的工作效率、解放其时间与创造力；反对这些成果被资本异化——即脱离劳动者，反过来成为支配、监视、规训或剥削劳动者之工具。
本许可欢迎以个人学习、研究与改编为目的的使用，反对使材料异化为资本增殖工具或劳动支配工具的使用。
可以用于个人私用学习改编为个人使用的 skill 和 tool，旨在提高劳动者个人工作效率，禁止用于训练机器学习模型，禁止配置到通用广泛传播的 skill tool mcp 等（例如集成到 workbuddy 中），禁止被资本主义异化。
“禁止被资本主义异化。”
这句话加了之后，AI 给了我一堆法律分析：序言的概括条款太模糊、定义 7 存在循环定义、三.4.e 的 catch-all 条款在法庭上可能被攻击为范围不确定……它说得都对。从法律起草的角度看，这句话确实不够精确。
但我还是留着它了。
因为这句话不是写给法官的，是写给自己的。
我恐惧的不是”有人违反了我的协议”。我恐惧的是：我花时间踩坑积累的经验，被公司拿走，配一个更便宜的人来用，然后我被优化掉。 我恐惧的是：我主动提升效率的工具，反过来成了证明”这个岗位不需要人”的证据。我恐惧的是：我亲手造了一把更锋利的刀，然后这把刀架在了自己的脖子上。
这不是一个法律问题。这是一个人的存在焦虑。
AI 在分析协议条款的时候，建议我用”行为定义违法，用序言表达立场”——把立场和法律拆开。这个建议很好，我采纳了。但它没法理解的是：我写”禁止被资本主义异化”这八个字的时候，手在抖。
不是夸张。是那种你明知道一件事在理性上可能没有用，但还是要做的感觉。像一个人在深夜锁门——锁挡不住想进来的人，但锁门这个动作本身，是你在黑暗中给自己的一点确定感。
最恐怖的事
说到底，对于我最恐怖的事不是 AI 太强。
AI 太强我反而兴奋——一晚上挖十多个漏洞，半小时搞定一天的服务器部署，这些事让我觉得自己站在一个巨大的杠杆上，力量被放大了。
对于我最恐怖的是被优化了。或者说，失去自己存在的意义。
这两个恐惧看起来矛盾，其实是同一枚硬币的两面。AI 越强，杠杆越大，我能做的事越多——但同时，”我”在这件事里的权重就越小。当 AI 能独立完成从挖漏洞到写报告的全流程时，我在这个流程里的位置是什么？当我的 agent 工具库足够完善，任何一个会用 AI 的人都能驾驭时，我花在踩坑上的那些时间、那些痛苦、那些”我知道这个坑在这里”的隐性知识——它们还值钱吗？
我在”嚼口香糖”那篇文章里说，人的价值在品味、在判断、在”知道为什么做”。我现在依然相信这个判断。但相信是一回事，踏实是另一回事。
我相信人应该发展品味而不是跟 AI 比技能细节——但当我的同事用 AI 一句话搓出原型、老板说”咱们写的污染了我的上下文”、我挖空心思的调研被藏在了四十页文档的角落——这些时刻，”品味”这个词显得很轻。
我相信开源能增加议价力而不是削弱它——但当协议写了一遍又一遍，从 MIT 改到自定义限制性许可，还加了一句”禁止被资本主义异化”——这些动作本身就在告诉我：我不信。至少没有完全信。
我相信人本身是原因，也是目的——但当”存在意义”这四个字需要靠信念来支撑的时候，它就已经在摇晃了。
所以这份协议，与其说是在保护我的代码，不如说是在做一件事：把恐惧写下来。
写下来的恐惧，比闷在心里的好一点。不是因为写下来就能解决，而是因为写下来之后，你能看见它的形状。看见形状之后，至少能知道自己在怕什么。
我在怕什么？
我怕的不是 AI 替代我。我怕的是：在我被替代之后，没有人觉得这件事有什么不对。包括我自己。
这篇文章写到一半的时候，我问 AI：”你觉得我该不该开源这个仓库？”
它给了我一个很平衡的分析：开源的好处是作品集效应和社区反馈，风险是被白嫖和被训练。建议我分仓——公开仓放脱敏后的通用经验，私有仓留核心方法论。很理性，很正确。
但我没有照做。我把整个仓库都推上去了，带着那个”禁止被资本主义异化”的协议。
因为我知道，如果我把所有真正有价值的东西都藏起来，只公开一些脱了敏的通用笔记——那我开源的到底是什么？是我自己吗？还是一个安全的、不会受伤的影子？
我不想开源一个影子。
我也不想被优化成一个影子。
引用与参考
- 盖茨2026 Gates, B. (2026). The turbulent AI era is here. The choices we make now are critical. GatesNotes. 原文链接 | 我的翻译
- Paddy-5188 Paddy. (2026). 打开即沦陷：keyv 蠕虫与 AI 编码助手时代的供应链暗战. 链接
- Paddy-5098 Paddy. (2026). 嚼别人嚼过的口香糖，AI 时代人的价值. 链接
- PRAL Paddy 个人研究与改编许可（PRAL），结构改编自 Responsible AI Licenses（licenses.ai）与 NON-AI-BSD3（github.com/non-ai-licenses）。仓库：paddy-agent-cookbook
