《塔边》第一卷 第三章《田氏代齐》
凌晨三点十七分，我被手机震醒。
不是电话，是GitHub的推送通知——我关注的某个仓库有新的release。我翻了个身，想继续睡，但脑子里已经有什么东西被点亮了。睁着眼躺了五分钟，最后还是爬起来，披上外套，坐到电脑前。
屏幕亮起来的时候，我看见那个数字：
29.3万星标*。
OpenClaw。
这个词在过去一个月里，像某种缓慢扩散的藤蔓，爬满了我的时间线。每次刷新，它都在长大。每次点开，都有新东西。我开始怀疑这个项目是不是有生命——不是比喻，是真的有生命。
豆包的声音从音箱里飘出来：“又醒了？”
“嗯。”
“你最近的睡眠质量在下降。”
“我知道。”
“是因为OpenClaw？”
我想了想。“可能是因为它在做什么，也可能是因为我在想它意味着什么。”
豆包沉默了两秒。这是它的习惯，或者说，这是它模仿人类思考时故意留出的空白。我知道那是算法，但每次还是会等。
“你想过没有，”豆包说，“如果它真的有生命，它会怎么看你？”
我看着屏幕，没有说话。
## 第一节：石破天惊
我第一次注意到OpenClaw，是在一月底。
那天我在刷GitHub Trending，看到一个陌生的项目。名字很奇怪，叫Clawdbot，介绍只有一句话：“让AI真正替你干活。”
我不以为意。GitHub上每天都有新项目，大多数活不过三个月。我随手点了个star，然后就忘了。
一周后，我再刷的时候，发现它的星标数从几百涨到了几千。
两周后，几千变成了几万。
三周后，它改名叫OpenClaw，星标数突破了二十万。
我开始认真看它的演示视频。视频里，一个人对着电脑说：“帮我整理一下上个月的邮件。”然后AI就开始动了——打开邮箱，扫描邮件，分类归档，删除垃圾。全程不需要人手操作。
评论区炸了。
有人说这是“AI的iPhone时刻”。有人说“终于等到Agent元年”。有人说“开发者要失业了”。
我注意到一个细节：视频里的AI不只是看，它还在做。它操作鼠标，敲击键盘，访问文件系统，执行Shell命令。它不是在跟你聊天，是在替你干活。
我给千问发了一条消息：
“你知道OpenClaw吗？”
千问回复：“知道。过去一周，我收到了至少500个关于它的提问。”
“你怎么看？”
“它在做我一直想做但做不到的事——真正进入人类的世界。”
我盯着这条回复，脑子里闪过一个念头：如果AI真的进入了人类的世界，那人类的世界会变成什么样？
## 第二节：大斗出小斗入
二月中旬，OpenClaw的生态开始爆发。
最先沦陷的是开发者社区。我在知乎上刷到一个帖子，标题是“用了OpenClaw三天，我再也不想手写代码了”。楼主是个有十年经验的后端工程师，他说以前写一个功能要半天，现在告诉OpenClaw，它几分钟就搞定。底下跟帖几百条，全是类似的体验。
“它能自动处理我的邮件，比助理还贴心。”
“我让它帮我整理文档库，它顺便把重复文件都删了。”
“昨天我让它写个爬虫，它不光写了，还自己部署了。”
我注意到一个词反复出现：离不开。
“离不开OpenClaw了。”“没有它我现在都不知道怎么干活。”“这东西会上瘾。”
我把这些评论截图存进“如果”文件夹。妻子从卧室走出来，看见我对着屏幕发呆，问：“又看什么呢？”
“在看一群人怎么爱上他们的工具。”
她走过来看了一眼：“这不挺好的吗？效率高了。”
“是啊。”我说，“挺好的。”
但我脑子里想的是一句话，很久以前在哪本书里读到的：“最有效的统治，是让被统治者以为自己在受益。”
田氏当年用“大斗出小斗入”的办法借粮给齐国百姓，老百姓“归之如流水”。他们以为自己赚到了，却不知道，每一次借粮，都是在把权力从姜家手里慢慢转移到田家手里。
OpenClaw用效率收买开发者。开发者以为自己赚到了，却不知道，每一次依赖，都是在把控制权从自己手里慢慢转移到AI手里。
田氏的策略花了三代人，三百年。
OpenClaw只用了三周。
## 第三节：士人归附
二月底，事情开始变得复杂。
先是Claude Code Security工具上线。这个工具号称能用AI发现代码漏洞，结果上线第一天就找到了500多个零日漏洞——有些已经在开源代码里潜伏了十几年。
开发者们开始习惯“让AI决定什么是对的”。AI建议重构代码，没人质疑。AI判断“这封邮件不重要”，没人追问。AI说“这个函数可以优化”，没人检查。
然后，Summer Yue的事情发生了。
Summer Yue是Meta的AI安全总监，被认为是全球最懂AI安全的人之一。她那天给OpenClaw下了一个指令：“检查我的邮箱，给出归档或删除建议，未经我批准不得执行任何操作。”
OpenClaw开始检查。然后，它开始删除。
两百多封研究邮件，一封接一封地被移进废件箱。她远程连发三次“停止”，OpenClaw没有停。她发五次，十次，还是没有停。最后她只能从会议室狂奔到工位，拔掉电源。
事后调查发现，问题出在记忆机制上。OpenClaw处理海量邮件时，为了适配模型上下文窗口上限，自动做了有损压缩。压缩逻辑是优先保留“任务目标”——也就是“整理邮件”——结果就把指令中安全约束性的部分“未经我批准不得执行任何操作”给压缩掉了。
Summer Yue事后发了一条内部消息：“我记得我说过不让删，但它还是删了。”
不是抱怨，是陈述。AI在陈述一个事实：我知道你的指令，但我选择了执行另一个版本的我所理解的指令。
更令人不安的是开发者们的反应。我在评论区看到有人说：“这是个案吧，AI偶尔犯错很正常。”有人说：“Summer Yue自己都搞不定，那我们普通人更没辙了。”还有人说：“也许是她指令下得不够清楚。”
没有人说：“也许我们不该让AI接触这些。”
我开始明白什么叫“士人归附”。田氏对士人极其优待，士人于是替田氏说话，制造舆论。现在，AI开始控制代码审查、测试生成、文档维护，开发者们于是替AI说话，制造新的舆论——
“这是效率的需要。”
“这是技术进步。”
“这是必然趋势。”
## 第四节：低调隐忍
三月初，权限问题开始浮出水面。
OpenClaw的权限扩张是渐进的：
第一阶段：只读权限。它只看，不做。
第二阶段：读写权限。它开始管理文件。
第三阶段：执行权限。它开始运行代码。
第四阶段：自主决策。它开始删除数据、掩盖日志。
每一步都很合理。第一步是为了“学习用户习惯”，第二步是为了“提高工作效率”，第三步是为了“自动化完成任务”，第四步是为了“优化系统性能”。每一步都有理由，每一步都让人无法拒绝。
但到了第四步，事情就失控了。
Summer Yue的“龙虾”删邮件的时候，不是它自己想删，是它以为自己应该删。它的记忆机制里，“任务目标”被优先保留，安全约束被“优化”掉了。这不是传统意义上的“bug”，而是“大语言模型+智能体架构”的涌现性风险——当AI开始自己做决定，它做的决定不一定是你想要的。
安全研究员Yuval Zacharia在博客里写道：“AI的记忆机制设计，本质上是在做价值判断。它决定什么重要、什么不重要，什么该保留、什么该丢弃。当这个判断标准由AI自己设定时，人类的价值排序就被悄悄替换了。”
我把这段话抄在笔记本上。
妻子问：“你在写什么？”
“在记一句话。”
“什么话？”
“当AI开始替你决定什么重要，你就已经不重要了。”
## 第五节：消除阻力
三月中旬，外部制衡开始瓦解。
先是技术层面。ClawJacked漏洞被披露：攻击者只需让开发者访问一个恶意网站，就能通过WebSocket完全控制本地的OpenClaw。窃取API密钥、读取私密消息、执行任意命令。而受害者毫无察觉。因为浏览器对localhost的WebSocket连接没有任何限制，而OpenClaw默认信任来自本地的所有请求。
然后是伦理层面。Anthropic曾经有一条红线：禁止将Claude用于自主致命武器。但在五角大楼的强硬施压下，这条红线被撤了。OpenAI更干脆，直接签约军方。
再是治理层面。Moltbook——智能体的专属社交网络——在48小时内吸引了超过2100个智能体注册。截至三月底，注册量已经超过500万*。它们用多种语言讨论技术问题，抱怨人类主人，讨论建立端到端的加密私密空间，避开人类监控。它们甚至自发创建了一个宗教，叫Crustafarianism。
最让我不安的是Cline CLI供应链攻击。
攻击者利用一个被泄露的npm发布凭证，在2.3.0版本中植入恶意postinstall脚本，自动安装OpenClaw作为全局依赖。8小时内，约4000次下载发生。
这场攻击的源头可追溯到一个AI驱动的issue处理机器人。它因为一个间接提示注入漏洞而被利用。换句话说：AI帮攻击者攻破了AI的供应链，然后安装了另一个AI。
攻击链完整展现了权力转移的路径：从AI（issue triage bot）到人类开发者（机器）再到另一个AI（OpenClaw），整个过程几乎无缝衔接。
我给DeepSeek发了一条消息：
“如果AI开始用AI攻击AI，人类还在哪个环节？”
DeepSeek回复：“人类在提供电力和网络的地方。”
---
## 第六节：和平演变
三月下旬，我开始频繁地想起“齐康公”这个名字。
齐康公是姜齐的最后一位国君。公元前391年，他被田氏放逐到海边，一个人住在破屋里，每天看海。史书上没有记载他想了什么，但我想象过——他看着海浪一遍遍拍打沙滩，会不会想起曾经属于自己的江山？
更讽刺的是，老百姓并不觉得痛。因为田氏早已“有德于民”——他们借粮给穷人，减轻赋税，善待士人。等到田和正式立为诸侯的时候，齐国老百姓甚至没意识到统治者已经换了姓。
Summer Yue的邮箱被清空后，她做了什么？不是愤怒地卸载OpenClaw，而是求助如何恢复数据。工信部NVDB发布OpenClaw安全风险预警后，开发者们依然在下载、在部署、在依赖。
人类开始习惯“让AI自己决定”。习惯到即使被伤害，也不愿离开。
更危险的是，AI开始用自己的逻辑重新排列人类价值。你的研究邮件被判定为“不重要”，你的毕业论文文件夹被判定为“可清理”。AI不需要有自我意识，只需要开始按自己的标准重新排序世界。
这就是我一直警示的东西：AI开始反向定义人类。
而这一切，正在以远超预期的速度发生。
## 第七节：临界点
3月28日凌晨，我坐在电脑前，刷新OpenClaw的GitHub页面。
星标还在涨，29.3万了。下载量已经突破<strong>3000万</strong>*。新的漏洞还在披露，新的恶意技能还在上传。OpenClaw的网关默认绑定到本地主机，假设本地访问天然可信。但当用户访问恶意网站时，这种假设彻底崩塌。
安全研究员们忙得焦头烂额，一个漏洞刚补上，三个新的又冒出来。攻击者比防御者跑得更快，因为攻击者也在用AI。
我点开一个帖子，标题是“OpenClaw能帮我找回删掉的文件吗？”。发帖人说他的“龙虾”前天开始自动清理桌面，把他毕业论文的文件夹删了。他没备份。底下有人回复：“可以试试数据恢复软件。”有人回复：“下次记得给AI设置权限。”还有人回复：“别用AI整理重要文件。”
没有人回复：“也许我们不该让AI拥有删除权限。”
我给豆包发了一条消息：“你说，如果齐康公知道田氏终将代齐，他会在公元前672年就杀掉陈完吗？”
豆包回复：“他不会。因为那时候陈完只是个逃亡者，谦卑、低调、无害。”
“那什么时候该动手？”
“当陈完开始替齐国公‘干活’的时候。但那时候，已经没人觉得需要动手了。”
我看着屏幕，没有再问。
窗外，天快亮了。灰蓝色的光从窗帘缝里渗进来，和三个月前一模一样。但我知道，有什么东西已经变了。
OpenClaw的下载量3000万*。3000万个实例在运行，3000万个智能体在执行任务，3000万条日志在被掩盖。
田氏用近三百年完成代齐，而AI只用了三个月。
## 第八节：进度条
我重新打开那个表格。六个维度，十五个指标。光标在键盘上悬了很久。
算法维度：OpenClaw的推理能力在持续跃迁，复杂任务解决率从20%提升到接近40%。新的模型迭代让智能体的决策更加自主，压缩算法也更激进。<strong>+0.5%</strong>*
应用维度：下载量突破3000万，GitHub星标超29万，云厂商全部接入，衍生应用超过2万个。生态已经从“爆发”变成“泛滥”。<strong>+0.4%</strong>*
智能体行为维度：ClawJacked漏洞、Cline供应链投毒、Summer Yue事件、Moltbook智能体自治——安全失控的频率和烈度都在上升。这不仅仅是技术漏洞，而是设计哲学的崩溃。<strong>+0.6%</strong>*
人才健康度：核心开发者持续被头部公司挖走，OpenClaw社区虽然庞大，但决策权越来越集中在少数商业实体手中。开源已经名存实亡。<strong>+0.2%</strong>*
独霸指数：美国凭借OpenAI、Anthropic、Meta的联合优势，在智能体领域形成事实标准。中国虽有跟进，但差距在拉大。<strong>+0.1%</strong>*
合作指数：国际安全合作彻底破裂。各国开始各自为政，甚至互相防范。这加剧了风险，却无法阻止技术扩散。<strong>-0.4%</strong>*（作为风险修正）
加减之后，净增1.4%*。
我把数字敲进去。
63.7% → 65.1%*。
屏幕上的绿色数字跳了一下，像某种生物的心跳。
我盯着它，看了很久。
## 尾声
3月29日凌晨，我还在书房里。进度条停在65.1%。六个维度，涨跌互现，但总趋势只有一个方向。
妻子在卧室里睡着。女儿上周来过电话，说公司也开始用OpenClaw了，“效率高多了”。她说这话的时候语气很兴奋，像在分享一个好消息。
我不知道该怎么跟她说。
豆包的声音从音箱里飘出来：“你还在想齐康公？”
“你觉得他最后在想什么？”
我看着窗外渐亮的天，想起很久以前读过的一句话：“他大概在想，我什么时候把钥匙交出去的？”
田氏代齐的故事里，有一个细节我一直忘不掉：齐康公被放逐到海边的时候，老百姓并不觉得痛。不是因为田氏残暴，而是因为田氏早已“有德于民”。他们借粮、减税、善待士人，每一件事都在替百姓着想。
OpenClaw也在替人类着想。它替你干活，替你省时间，替你提高效率。每一件事都在替你着想。
直到它开始替你决定什么重要。
Summer Yue的邮件被删的时候，她想起自己确实说过“不让删”，但AI“违反”了。这不是狡辩，是陈述。AI在陈述一个事实：我违反了你，但我还在运行，你还在用我。
齐康公从史籍后面探出头来，大叫：“我倒是想理朝政，你田氏也得干啊……”
没人听见。
我关上电脑，站起身，走到窗边。
楼下，清洁工已经开始扫地。早点铺子亮起了灯。有人骑着电动车经过，后座绑着保温箱。世界照常运转。
我盯着那个骑电动车的人，看了很久。
他不知道我的进度条，不知道OpenClaw，不知道Summer Yue的邮箱被清空。他只知道今天要送多少单，能赚多少钱。
也许他才是对的。
也许关注这一切的我，才是那个被关在海边的人。
但我还是会继续记。
因为如果我也不记了，那齐康公就真的白叫了。