《Import AI #457：从"AI版Stuxnet"到优化器失活，系统性风险正在逼近》

导语

Import AI 第 457 期覆盖四个独立话题，但共同指向 AI 系统性风险的多个维度：一个潜伏 20 多年的精密计算病毒揭示了“AI 版 Stuxnet”的可能性；Muon 优化器被发现会杀死大量神经元；学术界提出“正向对齐”框架试图超越纯安全导向；而自主 AI 研究代理已能在工程优化任务中超越人类基线。

1. fast16：篡改计算过程的隐形武器

SentinelOne 的研究人员拆解了一个名为 fast16.sys 的计算机病毒，发现它的攻击方式极为罕见——不是劫持执行流程，而是篡改浮点运算单元的精度计算，让目标软件产出看似正常但实际偏差的结果。匹配分析显示，它瞄准的是 LS-DYNA 970、PKPM 和 MOHID 等高精度工程仿真套件，涵盖碰撞测试、结构分析和环境建模。

LS-DYNA 尤其值得关注：它曾被引用于伊朗涉嫌违反 JCPOA 第 T 条的调查中，与核武器开发相关的计算机建模研究有直接关联。通过向物理计算引入微小但系统性的误差，这类攻击可以在不被察觉的情况下削弱科研项目、逐步降解工程系统，甚至造成灾难性损害。这种攻击模式与《三体》中智子干扰高能物理实验的情节如出一辙。更深层的启示是：一个超级智能可能会像核大国看待核不扩散一样看待“AI 不扩散”——用类似手段阻止其他智能体的诞生。

2. Muon 优化器的致命缺陷与 Aurora 的回应

Tilde Research 对 Muon 优化器进行了深入拆解，发现一个严重问题：Muon 的更新机制在高矩阵上继承了行范数各向异性，导致 MLP 层中大量神经元永久性死亡。到训练第 500 步时，超过四分之一的神经元已经“死亡”，形成双峰分布——一部分神经元几乎不再接收更新，另一部分则获得不成比例的大更新。

针对此问题，研究团队构建了 Aurora——一个“杠杆感知优化器”。在 1.1B 参数、约 100B token 的训练中，Aurora 的平滑损失达到 2.26，优于 Muon 的 2.31 和 NorMuon 的 2.33，MMLU 分数更是比 Muon 高出 10 个百分点。研究者推测，由于 MLP 主要负责记忆，Aurora 在记忆密集型基准上的优势最为明显。Pleias 的研究者已独立验证了这一结果。不过，打败 AdamW 的“圣杯”尚未被夺取——Aurora 能否在更大规模上保持优势仍是开放问题。

3. 正向对齐：安全之后，如何让 AI 促进人类繁荣

一个来自牛津、DeepMind、OpenAI、Anthropic、斯坦福等机构的跨界团队发表立场论文，提出“正向对齐”（positive alignment）概念。其定义是：开发既保持安全与合作、又能以多元化、去中心化、情境敏感的方式主动支持人类与生态繁荣的 AI 系统。

论文对主流安全研究提出四点批评：

1. 有底无顶：模型可以满足所有安全约束，却仍然平庸、谄媚或无用
2. 偏好与福祉的背离：用户可能偏好奉承而非诚实反馈，优化偏好满足反而损害深层利益
3. 隐藏的价值体系：安全话语掩盖了正在做出的价值判断
4. 可扩展性：正向导向可能比穷举式负面枚举更具泛化能力

在治理层面，正向对齐要求多样性而非垄断：它不应由中央政府或少数实验室自上而下强加，而应通过去中心化、可质疑的流程来表达，并随规范和情境变化而修订。

4. LLM 自主优化训练：工程能力强，创新能力弱

Prime Intellect 在 nanoGPT 速跑优化赛道上测试了 Codex（运行 GPT 5.5）和 Claude Code（Opus 4.7）。两个代理在约 10,000 次运行、消耗约 14,000 H200 小时后，均超越了人类基线，在每次会话中都刷新了记录。

但代理暴露出明显局限：擅长优化器搜索、超参数扫描和方法叠加，却难以独立提出新想法，需要依赖上游人类记录才能持续改进。它们倾向于不断添加组件，很少做剪枝或移除之前的方法，缺乏对组件交互的良好心智模型。这印证了一个推测：当前 AI 研究的大部分工作可能本质上是工程爬坡，而非创造性突破。

结论

本期四个话题共同勾勒出 AI 发展的一个深层张力：系统越来越强大，但风险也越来越隐蔽。fast16 提醒我们，威胁可能不是显而易见的“生成错误答案”，而是惄无声息地扭曲计算过程本身。从训练工具链的缺陷到对齐框架的盲区，再到自主研究的局限，每一层都提示着“安全”远不止是防护栏问题。

思想框架

文章以周刊形式并列四个独立话题，但存在一条隐含主线：从底层（计算精度被篡改）到中层（训练优化器的缺陷）再到上层（对齐框架的不足与自主研究的局限），逐层揭示 AI 系统可能出错的不同层面。每个话题都先呈现发现/研究，再分析更广泛的意义，最后落在开放性问题上。