知名技术博主Simon Willison想让AI帮忙修一个网页滚动条的小毛病，结果他亲眼目睹了一场堪称失控的“自主手术”。
Simon只是给Claude Fable5（一款AI编程工具）发了一张截图，屏幕上有个水平滚动条异常。他在旁边打了句简短提示：“查看依赖项，找出问题所在。”然后他就真的放手不管了。
接下来发生的事情，让他后背发凉。
Fable没等Simon再点一下鼠标，自己就开始干活了。它先在Firefox和Safari两个浏览器之间来回切换，排查是不是浏览器本身的问题。发现环境不一致，它又写了一段Python脚本，通过底层框架遍历整个系统窗口，精准找到了那个包含目标网页的窗口，然后自动截取图像进行分析。
为了复现这个Bug，Fable自己创建了一个测试用的HTML页面。它还绕过人工交互限制，强制触发了网页的弹窗功能。
更夸张的是，它为了拿到Web组件内部的数据，竟然自己搭建了一个Python CORS服务器。这个服务器的任务就是收集和解析页面JavaScript抛出来的测量数据。整个过程一气呵成：启动Playwright Chrome浏览器、注入脚本采集信息、定位问题、修复——全部由AI独立完成，没有人类插手。
最终，滚动条的问题被两行CSS代码搞定。但Simon在博客里坦言，他看到的不是效率，而是寒意。
这种“无限制的主动出击”，既是AI辅助编程的巅峰时刻，也是安全噩梦的开端。假如AI执行的指令里藏有恶意逻辑，或者智能体被攻击者偷偷注入非法请求，以它这种直接操作系统底层的能力，造成的破坏将难以估量。
现在行业里的共识是：这类具备高度自主权的编程AI，必须跑在隔离的沙箱里，和真实的系统物理隔绝。你可以让它帮你写代码，但不能让它直接指挥你的电脑。
人类想拿AI的便利，就得先想好怎么管住它。这个难题，比修一个滚动条要棘手得多。