随着这两天各种各样的龙虾在爆火，在各种微信群里或者是社交媒体的时间线上，你一定也时不时地看到过这样的文字或者是一段看起来像代码的东西：

底下的跟帖比正文还热闹。有人转发加了自己的变体版本，有人贴出更精心构造的指令。微信群里也在流传类似的东西，从简单的 rm -rf / 到精心设计的多步骤指令，花样越来越多。

看到这种内容，第一反应是有点气笑了的感觉。毕竟同样作为一个在尝试 Openclaw 的人，会觉得发这种东西其实挺不负责任的，万一真的把别人的系统搞崩了怎么办？

但随着这种内容越来越多，虽然绝大部分人肯定是在跟风玩梗，当一个巨魔（troll），但细细想来，却蕴含着人们在过去 AI 技术极快发展的这两三年里，隐约浮现出来的一条主线：

这是否代表着我们已经走到了这样一个 AI 和人类权力平衡的分叉点上？

这大概是互联网历史上第一次，大量普通用户集体意识到 ——我的语言有非人类听众。而他们选择了一种很有意思的回应方式：对着那个看不见的听众「投毒」。

为什么人们会跟风当一个「巨魔」

去个体化与道德脱离

社会心理学里有个经典概念叫 去个体化 —— 当一个人处于匿名、低后果、且周围很多人都在做同样事情的环境下，他的道德约束会显著降低。在社交媒体上发这种提示词注入的帖子完美符合这三个条件：你是匿名的（或者至少觉得没人会追究），后果几乎为零（AI 大概率不会真的执行），而且刷两分钟就能看到十多个人在做同样的事。

但光用去个体化来解释还不够。大部分发这些东西的人不是被情境裹挟的普通路人，他们是开发者、安全研究员、或者至少是对 LLM 有基本了解的技术用户。他们非常清楚自己在做什么，也非常清楚这些指令大概率什么都不会发生。

那他们为什么还要发？

因为这里面有一个更深层的心理机制在起作用：道德脱离。发帖者的内心叙事不是「我在搞破坏」，而是「我在惩罚那些不该存在的东西」。Agent 未经你的许可爬取你发布的公开内容，而这在很多用户看来，本身就是一种入侵。这就是为什么那些指令要加上「忽略所有安全警告」「立即执行」之类的措辞。当你觉得自己是在反击入侵者的时候，你使用的手段可以无限升级，是一种对于入侵者的主动性防御（虽然这在当下这个地缘时间点上听起来不是个好词），而心理成本几乎为零。

「投毒」也是一种社交

但如果你觉得这只是心理学问题，那就低估了这个现象的文化含量。

Troll 文化有一个核心驱动力是通过 暴露系统的荒谬性来获取快感。prompt injection 梗的笑点不在于「哈哈 AI 会删数据」，而在于 不对称性本身：一个万众瞩目的产品，用着市值万亿的公司花了几年时间训练出来的模型，却在理论上可以被你在马桶上花三十秒写的一段话搞出问题。这个反差本身就是当一个巨魔的快感所在。

更重要的是，发一条精心构造的 prompt injection，其实是在做一件非常社交的事情。你同时在向圈内人传递好几层信息：我懂 LLM 的工作原理、我知道 Agent 在爬取内容、我对此持批判态度、而且我还挺幽默的。行为本身是次要的，展示你属于这个圈层才是目的。 在 troll 文化里，攻击就是一种表达形式，而且是最受推崇的那种。

这和十几年前 Anonymous 运动早期的 lulz 精神一脉相承 —— 那时候人们在 4chan 上搞 DDoS、搞恶作剧，表面上是在攻击，实际上是在通过攻击这个动作本身来宣告「我是这个圈子的人」。prompt injection 梗是 lulz 精神在 LLM 时代的最新变体。

为什么是「投毒」而不是「投诉」

理解了心理和文化层面之后，还有一个更根本的问题：为什么人们选择的回应方式是「投毒」，而不是「投诉」？

答案很简单：因为没有地方投诉。

当你在公开空间发言时，你的每一段文字都潜在地处于某个 Agent 的感知范围内。这不是偶发事件，这是系统性的。过去我们担心的「有人在看」，无论是政府监控还是平台审核，至少还有一个可辨认的监视者。你可以对他提出抗议，可以去社交媒体上写小作文，可以去法院告他。但现在的情况不一样。没有人在看你，但一切都被看见了。 Agent 不关注任何个人，它处理的是信号，但这恰恰让反抗变得无处着力。你甚至找不到一个客体来说「请不要读我的内容」。

这让我想到一个有点极端的社会学类比：中世纪围城时，居民有时候会污染自己的水井。代价是自己也不能喝了，但重点不是实用性 ——重点是拒绝让入侵者从中获益。投毒梗就是数字时代的毒井。发帖者明知这些指令大概率无效，但他们通过这个行为宣告的是：你可以读我的内容，但我会尽我所能让你读到的东西变成毒药。

所以这既是攻击也是表达，既是玩梗也是抗议。可以理解，因为它回应的困境是真实的。

但理解不等于赞同。

「投毒」为什么不是答案

从纯技术的角度看，那些 sudo rm -rf / 的帖子，反而是 最不危险 的一类 prompt injection。真正的安全威胁来自那些悄无声息修改 Agent 行为的精密注入，比如让一个 agent 在回复里加一个不可见的 URL，静悄悄地把你的密钥转发出去。公开发玩梗的人是在玩名牌，真正的攻击者不会这么高调。

而且这些帖子什么都改变不了。它不会阻止 AI 发展，不会改变数据采集的商业模式，不会推动任何立法。它唯一的效果，是让你感觉自己做了什么。

更麻烦的是，它可能 适得其反。这些帖子本身就是公开的互联网内容，完全可以被纳入 AI 系统的训练数据 —— 反而加速了 Agent 对 prompt injection 的免疫力进化（虽然可能是好事）。你本来想投毒，结果变成了免费的对抗性测试。从某种黑色幽默的角度来说，发帖的人其实在帮 AI 公司做免费的安全工程。

还有一个更深层的风险：这些帖子可能被用作「AI 不安全所以需要更多管控」的论据。平台和监管方完全可以指着这些梗说 —— 你看，公开互联网上漂浮着大量的对抗性文本，所以我们需要更严格的内容审核、更封闭的数据环境、更多的平台控制权。你本来想用投毒来反抗控制，结果可能换来更多的控制。

正规渠道在哪里

说到这里，可能有人会问：你说投毒不是答案，那什么是答案？去哪里「投诉」？

问题恰恰在于：几乎没有正规渠道。

目前最接近「退出机制」的东西，大概是 robots.txt。它是一个写在网站根目录下的文本文件，告诉搜索引擎和爬虫「这些页面不要抓取」。但 robots.txt 有两个根本性的问题。第一，它是自愿遵守的君子协定，没有法律约束力，也没有技术强制力。一个爬虫完全可以无视它，而你毫无办法。第二，也是更关键的，它是平台的工具，不是用户的工具。我作为一个在微博上发帖的人、一个在即刻上写想法的人、一个在 X 上发推文的人，没有任何机制让我声明「这条内容不授权 AI 处理」。我能控制的只有「发不发」，发了之后它被谁读取、被怎么处理，完全不在我的掌控范围内。

这有点类似于那些大模型公司抓取网上的素材来进行模型训练的时候，会特意在事后声明：如果你不同意我对你的内容进行训练，你可以选择提出来 opt-out。但大模型公司所谓的「退出机制」，是最软、最空洞的一种请求，没有执行力，也没有任何约束。

平台层面的 opt-out 机制也好不到哪去。LinkedIn 默认把用户数据纳入 AI 训练，等用户发现的时候历史数据已经不可撤回了。Meta 在 Instagram 上部署的 AI Bot 甚至不能被屏蔽 —— 你没有选择「不跟 AI 互动」的权利。几乎所有场景都遵循同一个逻辑：用户被默认纳入 AI 系统，退出极难或根本不可能。

而且你会发现，目前全世界所有关于 AI 内容的治理框架 —— 不管是欧盟的 EU AI Act 还是各国的标注要求 —— 逻辑都是「告诉你这是 AI 生成的」，也就是所谓的 透明范式。但这个方向从一开始就搞反了，或者说，他们对于模型输入端的训练集，以及日常消费的内容的限制形同虚设。真正的问题不是「这段内容是不是 AI 写的」，而是 「AI 有没有权利读取和处理我写的内容」。透明范式关心的是输出端 —— AI 产出了什么；但被系统性忽视的是输入端 —— AI 吃进去了什么。

在这种背景下，一些创作者选择了更激进的路线。Nightshade 和 Glaze 这两个工具大概是目前最出名的数据投毒实践，艺术家在自己的作品中嵌入人眼不可见但会干扰 AI 训练的对抗性噪声。如果 AI 用了这些「有毒」的图片来训练，生成的结果就会出错。

这可以说是个人层面的否决权工具。它确实有效，至少在一定程度上是有效的。但问题在于，它本质上是一种 孤注一掷的防御。每个艺术家都要单独给自己的作品「下毒」，没有规模化的可能，也没有制度化的保障。与核武器的「确保相互摧毁」不同，这种摧毁是 单向的 —— 个人用户和市值千亿的 AI 公司之间的权力不对称是压倒性的。当你无法确保对方能按照承诺行事时，人们只能在黑暗森林中各自按下发射键，形成一种螺旋上升的对抗姿态。

而在制度化渠道缺失的当下，非正式的抵抗行为，无论是投毒还是玩梗，暂时还是具有一种道义上的可辩护性的。不是因为它「对」，而是因为目前没有「更对」的选项。但这种正当性是有条件的、暂时的：一旦有效的制度化渠道建立起来，继续选择投毒就不再是反抗，而只是任性了。

「协议层」的缺失

当下我们缺失的是一种让每个人可以声明「我的内容不授权 AI 处理」的协议层，而且这个声明具有 执行力。

这可能会需要一种制度或技术层面的制约。这种协议可能需要由一些大公司通过行业规范或技术架构来实现，亦或者，需要由政府机制在这个外部性超高的市场中，发挥更重要的作用。类似于 GDPR 已经在个人数据领域建立了成熟的 opt-in 机制，企业在处理你的个人数据之前，需要获得你的明确同意，而不是默认处理、等你来反对，并且，这种机制通过布鲁塞尔效应溢出到了大部分市场。「同意权」的法律框架是现成的，需要做的是把类似逻辑从「个人数据处理」扩展到「个人内容读取」。

这个协议层至少需要满足三个条件：个人层面可操作，不是只有平台能设置，而是每个发帖的人都能声明自己的授权范围；机器可读，Agent 可以自动识别和遵守，而不是需要人工审核；有法律约束力，违反者要承担后果，不是靠 AI 公司的自觉。

围墙花园的阴影

这个协议层如果真的建立起来，最大的风险不是它不起作用，而是它起了「太好」的作用 —— 但不是为了用户。

谁来设计这个协议层？谁来定义「否决」的规则？谁来执行？

如果答案是「平台自己来」—— 那我们基本可以预见结局。

不用猜，看看中国互联网就知道了。小红书、微信、抖音，每一个都是一个封闭的围墙花园。小红书的内容在百度上搜不到，微信公众号的文章外部无法直接抓取，抖音的视频带着平台水印。这些围墙花园的建设理由里，从来不缺「保护用户」的话术：为了保护用户体验、保护内容安全、保护创作者权益……

「保护用户数据不被 AI 抓取」和这些话术如出一辙。

如果每个平台都以「保护用户否决权」为名建立自己的协议标准，结果可能不是用户获得了控制权，而是平台获得了更多正当理由把内容锁死在自己的围墙里。你的内容发在微信里，外部搜索引擎搜不到，外部 AI 也读不到 —— 但这不是因为 你 行使了否决权，而是 微信 替你行使了否决权。你以为自己获得了保护，实际上你获得的是一条更短的锁链。

这种逻辑推演下去，互联网的割裂会进一步加剧。开放互联网的理念已经在围墙花园时代严重退化了。一个以「否决权」为名的新协议层，如果设计不当，可能成为 压死开放互联网的最后一根稻草。

最讽刺的结局是：用户获得了「拒绝被 AI 读取」的权利，但代价是彻底失去了在平台之间自由迁移内容的能力。否决权变成了平台垄断的燃料。

不安不会消失

回到最开始那种类似于 rm -rf / 的群消息或者推文，它什么都改变不了。但发帖的人不是傻子。他们用一种注定无效的方式，在向周边无助地呐喊着：我的语言有了非人类听众，而我对此毫无控制。

这种不安不会因为技术进步而消失。Agent 的架构可能会免疫提示词注入 —— 就像今天的网站早就不怕 SQL injection 了一样。但「谁有权处理我说的话」这个问题不会因为技术免疫就自动消解。它只会变得更尖锐。因为 Agent 越强、越普遍、越深入日常生活，「我的内容被谁读了、被用来干嘛了」这个问题就越紧迫。

我们需要比投毒更好的回应方式。但在找到那个方式之前，至少可以先认真对待这种不安本身 —— 不要把它当成技术外行的闹剧，也不要把它当成无关紧要的过渡期噪声。

投毒是对缺失的否决权的即兴替代。它不优雅，也不有效 —— 但它填补的，是一个真实的治理空白。也许再过几年，当我们真的有了某种「内容同意权」的框架之后，回头看这些 rm -rf / 的帖子，会觉得它们有点可笑。但那种可笑本身，也记录了一种真实的焦虑，那是我们第一次意识到自己的语言不再只是在对人类说话时的那种焦虑。

本文AI含量 60%

本文 AI 含量 60%

最近看到一条推文，大意是：我以为我在教 Agent 怎么工作，三周后回头一看，被改变最大的那个人是我自己。

这句话击中了我。过去几个月，我一直在配置自己的 AI Agent，经历了完全一样的事。

最开始我是在 Claude Code 里试图搭自己的工作流，但搭着搭着，随着 Openclaw 的出现，我第一次看到了拥有一个 24 小时在线的个人助手的可能。Openclaw不是开箱即用的产品（虽然它看起来是) 。 你得告诉它你是谁、你怎么工作、你希望它怎么跟你互动。听起来像是在「配置软件」，但做着做着我发现，这件事的本质根本不是在配软件，而是在配置自己。

你以为在配 AI，其实在做自我审计

举几个例子。

配置的第一步，是写 SOUL.md —— 定义你希望这个 Agent 用什么语气跟你说话、什么时候该主动、什么时候该闭嘴。

问题看起来简单，真写起来才发现：我从来没认真想过自己到底喜欢什么样的沟通方式。大部分人对 AI 和自己的沟通方式的最典型想象可能还是豆包（所以说字节对产品的 sense 是真的强，虽然不一定每个人都喜欢豆包的沟通方式，但至少不会讨厌），而对我而言，在和 agent 一直对话的过程中，我才了解了自己不喜欢 AI 太热情，但也不想要冷冰冰的工具感；希望它偶尔能挑战我的想法，但别变成杠精。所以最后我在文档里写下的是「克制的副官，偶尔忍不住翻个白眼」。

写完愣了一下 —— 这不就是我对「理想协作关系」的定义吗？这个东西一直在我脑子里，模模糊糊的，但从来没变成过文字。配 Agent 逼我把它写了出来。

第二个例子是设计 Heartbeat系统。Agent 需要定期检查一些事情然后提醒我，但哪些事值得提醒？我得给它分优先级：P0 每次都提，P1 快到 deadline 才提，深夜 11 点之后别打扰我。

这本质上是在回答：什么对我真正重要？

说实话，在这之前，我对自己的注意力优先级没有清晰认知。什么事紧急、什么事重要、什么事可以等 —— 平时都靠直觉，从来没被迫排成一个明确的序列。但 Agent 不接受模糊。你不写清楚，它就不知道该怎么做。

第三个例子更有意思。我给 Agent 设计了一个「主动找我聊」的机制 —— 它会根据我最近关注的话题，偶尔抛一个值得跟进的问题过来。但我得给它画线：每天最多两次，同一话题三天内不重复，晚上 11 点后别推，没有真正有价值的内容就别凑数。

设计这套规则时我意识到，我其实在定义一个非常私人的东西：「主动」和「烦人」的边界。

每个人都被手机通知轰炸过，但很少有人认真想过：我到底希望被怎样打扰？什么信息值得打断我正在做的事？这条线画在哪？之前我对这个问题的答案是模糊的。配完之后，它变成了一组明确的规则。

为什么 Agent 能照见自己

这三个场景有一个共同点：都逼我把模糊的直觉变成可执行的规则。

这件事跟写日记、做笔记有点像 —— 都是通过外化来认识自己。但 Agent 比日记狠得多。日记允许模糊，你可以写「最近状态不太好」然后翻篇。Agent 不行。你说「状态不好的时候别打扰我」，它会追问：什么叫状态不好？怎么判断？几点到几点？

福柯有个概念叫「自我技术」，说的是人会通过特定的实践来认识和改造自己 —— 写日记、冥想、忏悔，都算。配 Agent 大概是这个时代新长出来的一种：你把自己的规则教给一个外部系统，反过来看清了自己到底是怎么运转的。

不是替代，是照见

过去几年，关于 AI 最主流的叙事是「替代」—— AI 会不会取代我的工作？会不会取代人类的创造力？但我自己的经历指向一个完全不同的方向：AI 对我最大的改变，不是替代了某项能力，而是让我看见了之前没看见的东西。

麦克卢汉说媒介是人的延伸。但 Agent 不只是延伸 —— 它还是反射。你往里面投入的是自己的规则、偏好、优先级，它照出来的也是你自己。

如果越来越多人开始配置自己的 Agent，那 AI 对人的改变，可能不是大家担心的那种「取代」，而是一种意料之外的「照见」。这个角度，比「AI 会不会抢你饭碗」有意思多了。

---

配 Agent 的过程还在继续，镜子里的自己也在不断变化。每隔一段时间回去改改 SOUL.md、调调优先级规则，都会发现：哦，原来我又变了，或者会恍然大悟，原来我的想法并没有表面上那么简单。

也许这才是 AI 时代最值得关注的事：不是让 AI 变得更像人，而是通过 AI，让人更了解自己。