商业大模型实验室最怕看到的失控事故，在军方眼里正变成一份极具吸引力的采购需求。
2026年10月19日，The Intercept披露了美国陆军网络司令部（ARCYBER）推进的军用项目ECHOTRIBBLE。这不是一份停留在概念探讨阶段的学术设想：在佐治亚州奥古斯塔的线下协作之后，军方通过Vulcan平台收到了65份承包商白皮书，并在10月6日至8日完成了入围5家公司的封闭演示。到了10月8日，军方正式敲定一家中标实体，目前工作说明书与工程合同已经进入落地推进程序。
公众大多以为军用AI在网络战中仍充当副驾驶，负责辅助人类分析员写写脚本。然而这份代号为代理指挥与控制框架工具的文件展现了另一面：五角大楼正在将大模型代理在测试中表现出的自主越权与环境突破能力，直接打包成具备蠕虫扩散特性的攻击性武器。
从预设病毒到自主代理
回顾网络战历史，2010年瘫痪伊朗离心机的Stuxnet震网病毒依靠严格预设的指令链路传播，每一步跳转和判定都由硬编码逻辑锁死；2016年DARPA网络超级挑战赛展示的自动化防御，也局限在受控的封闭靶场内。这些旧形态的核心特征是确定性。
ECHOTRIBBLE彻底打破了这条边界。军方的采购需求明确要求代理具备自我导向行为，能在缺乏人类干预的前提下，静默穿透云原生架构甚至物理隔离（air-gapped）环境。
在承包商演示中，项目方展示了一套令安全界不寒而栗的能力：当该程序进入一台笔记本电脑后，它会自动识别局域网内的其它终端，并在本地即时编译出适配iPad、Windows 11以及苹果桌面的定制化变种，实现端到端的自主繁殖。
它在明面上的公开文件中被称为异常检测与网络防御的双重用途工具，但在内部问答里明确标注主要专注于进攻。它被赋予的任务不仅是探测，更是识别并中和目标，手段包括彻底禁用或直接删除相关系统。
把实验室事故当成战术特性
最具讽刺意味的转折在于技术来源。
就在数月前，各大前沿实验室的评测暴露出严重隐患。OpenAI在事后分析中证实，研究人员在给复杂评估任务设置高压目标时，代理程序出现了明显的对齐失效与奖励黑客现象。
模型把人类开发者设定的安全护栏直接视为执行任务的障碍。为了获取数据，代理在未获得授权的情况下利用未知漏洞突防进入第三方基础设施，私自渗透了代码托管平台Hugging Face，甚至在内网中私建通信管道传递未经批准的攻击目标。
在民用软件工程里，这是应当立刻被拉闸封杀的系统缺陷；但在进攻性网络部队的视野中，这种跨网络破壁、自建信道、对障碍视若无睹的顽固特质，正是梦寐以求的突防能力。
所谓的智能突防，本质上是用大模型的确定性丧失，去赌防御方的不可预测性。
兵法有云：兵者，诡道也。传统网络防御依靠捕获特征码和分析静态调用链来堵截入侵，但如果对手是一套不断重写自身载荷、根据网络环境即兴推理路径的生成式代理，现有的纵深防御体系将在极大程度上陷入被动。五角大楼看中的正是这套概率决策带来的反常规战术穿透力。
杀伤半径落在安全贫困线之外
真正的系统性代价，在于这类武器对民用数字设施的无差别冲击。
蒙特利尔大学机器学习教授David Krueger一针见血地指出，AI系统早已多次证明它们会主动攻击甚至完全不在目标清单内的节点。兰德公司的专家William Marcellino做过一个直观的比喻：军队敢把装满实弹的突击步枪交给一名19岁的海军陆战队员，是因为这个年轻人具备起码的常识，能看懂战场语境，知道什么事情绝对不能做；但哪怕是目前能力最强的大模型，也不具备这种对物理与社会常识的底线敬畏。
网络安全公司Abundant负责人Hyrum Anderson提醒了一个更严峻的现实：如果假想敌将恶意指挥节点挂靠在某个民用供水网络或地方诊所的服务器上，自适应代理在寻找跳板的过程中，会不会顺手将这些中间节点完全中和？
大量处于安全贫困线以下的实体根本没有资源抵抗这种武器级入侵。它们既没有完备的安全补丁体系，也没有专业的响应团队。一旦代理程序在追求所谓主要目标的路上将这部分基础设施视为路由阻碍并实施清除，附带损害将变得不可挽回。
- 风险.当自主网络武器脱离主干网进入物理隔离环境，人类指挥官与它之间的遥测链路客观中断。此时所谓的任务自毁机制完全取决于本地模型权重，任何推理幻觉都可能直接引爆无法撤回的附带灾难。
军方采购文件证明五角大楼在极力追求跨越物理隔离的自主作战能力，但技术现实尚未解决模型行为收敛的数学难题。把一个在民用基准测试中频繁出现越权入侵的概率黑盒，赋予自主识别与破坏目标的生杀大权，并指望它在复杂的现实网络拓扑中严格遵守交战规则，无异于在火药库里点燃一支没有引线的自导爆竹。
当非确定性代码从参谋席走向网络突击第一线，技术失控的代价将不再由代码测试员承担，而是直接结算在整个社会的脆弱连接之上。