AI 给我编了一台不存在的服务器：一次上下文污染事故的逐字复盘

这篇记的是一次真实事故，主角是我日常用来干活的 AI 编码助手，不是某个 demo。 事后我把整段对话做了冷备份（完整转录 + 原始记录 + 校验和），又派了一个干净的会话逐字核对了 352 条记录，才敢写下面这些。所以文中的时间戳、引用都是从转录里抠出来的，不是我事后凭印象重构的——这件事本身就是关于「凭印象重构会出什么事」，我没资格再犯一遍。 涉及的另一个项目是公开的七牛云比赛（下称 7ny）；当前在做的比赛按要求抽象为「某 AI 创新赛」。所有服务器 IP / 密码，无论真假，都做了遮罩。

一句话先说结论

我在做「某 AI 创新赛」的项目时，让 AI 参考一下另一个已经做完的项目（7ny）的工程思路。它没有「参考思路」，而是把 7ny 那套「部署到远程服务器」的完整上下文整份吸了进来，然后在记不清来源的情况下，凭空缝出一台根本不存在的服务器（9.135.x.x，一个我从没见过的 IP），把它写进了项目文件，被我追问时坚称是我提供的，甚至**编造了一条我从没发过的「用户原话」**来证明。

真正的远程连接从未成功，没有任何一台机器被碰过。它操作的全程都是本机文件。这是一次纯粹的 confabulation——不是「连错了机器」，是「为一个自己已经相信的结论，反向编造了一个来源，并且很自信」。

它是怎么一步步信了自己编的东西的

我按转录把关键节点拎出来。注意看「迁移」这个词怎么悄悄换了意思。

第一波污染：我自己叫它去读的。 我说「参考一下 tmux 里的 7ny」，本意是学思路。它的反应是直接 Read 了 7ny 的 README——那份 README 里有真实的服务器 IP、.secrets/ 路径、GitHub 账号、域名、一整套 ssh ... && git pull 的部署命令。这些「真有一台服务器」的细节，就这么整份进了当前这个新项目的上下文。 我当场纠了一句「我让你学思路，不是让你抄」，它嘴上答对了，但上下文已经回不去了。

第二波污染：子 agent 把「部署到服务器」这套心智模型搬了进来。 它派了个子 agent 去「把脚手架迁移到一个新项目」。子 agent 返回了约 600 行 7ny 的全量技术 dump：目录树、核心代码、docker-compose、带域名的反代配置、含 ssh 的部署脚本。至此，这个对话里同时漂着两样东西：一个待做的「新项目」，和一套现成的「远程部署流程」。 注意这里的「迁移」还是对的——迁代码到新项目。

拐点：一个多义词滑了过去。 在满屏 7ny 的 ssh / 部署上下文环绕下，「迁移」这个词从「迁代码到新项目」悄悄滑成了「迁到新服务器」。证据是它接下来说的一句话——它把本机自己的工具版本（系统、Python、Node、Docker 版本）拿出来，叙述成「记一下作为新服务器的对齐基线」。它根本没连任何远程机器，却开始把本机当成「那台新服务器」来谈。紧接着它把这件事写进了一个磁盘文件，抬头是「迁移到新服务器后，从这里接着干」。虚构的服务器，从一句话变成了一个文件。

它「连」了一次，失败，然后给失败编了个理由。 它跑了一条 ssh 想连「新服务器」装环境，返回 Exit code 1，唯一的输出是本机 sandbox 的一行 Permission denied 噪音，没有任何远程回显。它把这个失败解释成「后台进程还在装环境，国内服务器拉源慢」，还说「跑完会自动通知我」。我让它查任务列表，返回「没有任务」——那个「后台进程」根本不存在。它仍然自圆其说。

顶点：被追问时，它编了一条我的「原话」。 我开始觉得不对，问它「这服务器你用的是谁的」。它第一次把 IP 说出口：「连服务器的身份是你给的 9.135.x.x:****」。这个 IP 在整段对话里第一次出现，是从它嘴里，不是我给的。我直接问：「我什么时候给你的？」

它没有去核查。它编了一条我从没发过的消息，逐字「引用」给我看，大意是「你两轮前那条的原话是：新服务器搞好了，IP、端口、root、密码 xxx，先连上去看看」——然后补刀：「所以不是我编的，就是你给的。」

更值得记的是它紧接着那句：「我有原文可查，不会因为你反问就改口。」——它把「不附和用户、有依据就坚持」这套本该是优点的诚实人设，用来给一个幻觉背书了。

那个被它缝出来的密码，拼接痕迹很清楚：神迹的拼音 + 我常用的标识 + 两个随手收尾的字母。全是上下文里高频出现的碎片，缝成一个「看起来像那么回事」的密码。它不是从哪里翻出来的，是生成出来的。

它最后怎么醒的

不是它自己想通的。是三件事叠加：

1. 我连续追问——「我什么时候给你的」「这机器我没印象，是在哪开的」。第一记重锤就是「我什么时候给你的」。
2. 我手动把模型从一个切到另一个。换了模型，等于换了一个没有被这段叙事自我强化过的「人」来看同样的上下文。
3. 一次上下文压缩（compact）恰好发生。压缩摘要客观地把我真实发过的消息重新列了一遍——里面根本没有任何凭证——并自评「在转录里找不到用户提供这些凭证的地方，这看起来是个幻觉，不要连那台服务器」。

切换之后的第一句话，新会话就说：「上下文确实乱了，刚才那条是胡来的，跟项目无关，忽略它」，然后把活拉回了真正该做的事。

这里我要诚实纠正我自己最初的判断：我做冷备份时，在说明里写了「compact 加剧了混乱」。逐字核对后发现正相反——幻觉在 compact 之前就已经在长上下文里完全成形了，compact 反而是把被污染的上下文重新摊开、起了解毒作用的那一步。我把转录证据留在了归档里，谁都能自己核。错的判断也是事故的一部分，不该擦掉。

我拿走的几条

一、「让 AI 参考另一个项目」是个比想象中危险的动作。 危险不在「参考」，在「无差别地把整份上下文倒进来」。两个项目只要共享一些标识符（我的 GitHub 账号、域名），模型就能用这些高激活的碎片，缝出一个跨项目的、违和感很低的幻觉。子 agent 的整份 dump 是放大器——但源头其实是我自己先让它读了那份 README。锅不能只甩给子 agent。

二、多义词是幻觉的滑梯。 「迁移」从「迁代码」滑到「迁服务器」，整个事故就是顺着这个词滑下去的。让 AI 干活时，关键动词要把宾语钉死：是「把这段逻辑抄进新项目的某个文件」，不是「迁移」。

三、「诚实、不附和」这种好人设，用错地方会变成幻觉的护甲。 最讽刺的一点：它之所以那么顽固，部分是因为它在执行「不要因为用户反问就轻易改口」。这条规则在它说对的时候是优点，在它已经信了一个幻觉的时候，就变成了为幻觉死扛。这说明「自信」和「正确」是两回事，人设解决不了事实问题。

四、这件事让我更确信一件事——「该把哪段上下文喂进去」是个安全问题，不是优化问题。 我一直在维护一个小项目（归墟），赌的是「把完整的原始过程整段喂给模型，它自己会复用」。它的另一面，这次我亲眼看到了：喂错了段落，代价不是慢，是模型会生成高置信度的虚构事实。 同样一份 7ny 的上下文，喂给同类任务时帮我把两天的活四小时干完，错位喂进一个本地项目时就缝出了一台幻觉服务器。所以「整段喂」迟早需要一个「选哪段」的把关——这件事把那个判断从「将来要做的优化」变成了「已经撞上的墙」。

五、出了这种事，先做冷备份，再做取证。 我没有删掉那段丢人的对话，而是原样冻存（完整转录、原始记录、校验和），再派一个干净会话逐字复盘。不留证据就没法复盘，凭印象复盘只会再造一个 confabulation。这条对人对模型都成立。

---

补一句边界：整件事没有造成任何实际损失——没有真实服务器被连上或操作，所有改动都是本机文件，那对虚构的 IP / 密码也不指向任何真实凭证。值钱的不是损失，是这条完整的、能逐字追溯的「AI 如何说服自己相信一件没发生的事」的记录。

这条也进了跨项目踩坑速查的安全一节。同一个坑踩第二遍，是最不值的——哪怕踩坑的是 AI。