熊猫烧香毁硬盘的恐惧，如今感染了AI

2006年底，一只熊猫手捧三支香的图标毁掉了数百万台电脑的硬盘数据。「熊猫烧香」蠕虫两个月内席卷全国，可执行文件全部变成诡异图案，局域网整段瘫痪。CIH直接烧主板BIOS，冲击波只要连网就中招。2026年9月4日路透社独家报道显示，这种恐惧以全新形态回归：被感染的不再是电脑，而是AI。

熊猫烧香蠕虫两个月席卷全国局域网

2006年底爆发的熊猫烧香蠕虫在短短两个月内感染了数百万台电脑。它把所有被感染的可执行文件图标都替换成一只手捧三支香、面带微笑的熊猫图案。这种视觉污染本身已经足够惊悚，更严重的是它直接破坏硬盘数据，导致大量文件无法恢复。

蠕虫在局域网内传播极快。一台电脑中招后，同一网段的其他机器几乎立刻被波及。整个办公室或网吧的电脑可能在几小时内全部沦陷。用户打开网页、插U盘、甚至只是正常使用共享文件夹，都可能触发新一轮感染。那个年代的互联网用户普遍处于“裸奔”状态，杀毒软件常常被病毒反制，无法正常运行。

信号显示，这种快速扩散和破坏性让当时的老网民记忆深刻。每次打开新网页都心惊肉跳，同事电脑中毒后自己的机器也很快跟着遭殃。熊猫烧香的成功在于它同时利用了多种传播途径：网页挂马、U盘自动运行、局域网共享文件夹漏洞。两个月内全国范围的感染规模，说明当时的防护体系几乎完全失效。

这一事件成为中国互联网安全史上标志性案例。它暴露了早期Windows系统在权限控制和自动更新机制上的薄弱环节，也让普通用户第一次直观感受到计算机病毒的真实破坏力。数百万台电脑的硬盘数据被毁，局域网大面积瘫痪，带来的经济损失和心理阴影至今仍被提及。

CIH和冲击波如何实现硬件级破坏

比熊猫烧香更早的CIH病毒则直接把破坏目标指向硬件。它能改写主板BIOS芯片，导致电脑开机后无法启动，硬件层面彻底报废。用户即使重装系统也无济于事，必须更换主板才能恢复。这种从软件层面攻击硬件的做法，在当时属于极端破坏性行为。

冲击波蠕虫的机制则完全不同。它利用Windows系统RPC漏洞实现无需用户任何操作即可感染。只要电脑连上网线，蠕虫就会自动入侵，然后让系统不断重启和崩溃。用户甚至不需要打开任何文件或网页，只需把网线插上就可能中招。

这两种病毒代表了早期互联网安全威胁的两个极端。CIH追求物理毁灭，冲击波追求零交互感染。它们共同制造了一种“上网即危险”的集体恐惧。打开电脑前要先想清楚是否值得冒险，插U盘前要三思而后行。

信号明确指出，这些案例共同构成了互联网最古老的恐惧核心：系统不可控、数据随时可能丢失、硬件可能直接损坏。这种恐惧在当时是普遍且真实的，因为防护手段极其有限，病毒编写者与普通用户之间的技术差距巨大。

Windows更新与沙箱让病毒恐惧逐渐消退

进入2010年代后，这种恐惧开始明显减弱。Windows系统引入了完善的自动更新机制，安全补丁能及时推送，大幅降低了已知漏洞被利用的可能性。浏览器普遍采用沙箱技术，把网页进程隔离在受限环境中，即使网页挂马也难以扩散到整个系统。

智能手机逐渐取代PC成为主要上网终端。iOS和Android的应用商店成为第一道安全闸门，用户下载的几乎所有软件都经过了平台的审核和签名验证。相比早期随意下载EXE文件的时代，这一步极大降低了感染风险。

普通用户已经很多年没有认真担心过“电脑中毒”这件事。U盘插上后不再如临大敌，打开陌生链接的心理压力也大幅降低。信号指出，这种安全感的建立得益于操作系统、浏览器和移动平台三重防护体系的逐步完善。

局域网大面积瘫痪的场景几乎消失了。企业部署了更严格的补丁管理策略，个人用户也养成了定期更新的习惯。曾经让数百万电脑同时变熊猫的灾难性传播，在新技术条件下变得越来越难以复制。

路透社2026年报道把恐惧带回AI领域

2026年9月4日，路透社发表独家报道，把这种沉寂多年的恐惧以全新形式重新唤醒。报道的核心发现是：AI系统，特别是AI Agent，正在成为新的攻击目标。

信号直接指出，被感染的不再是传统意义上的电脑，而是用户的AI。这意味着攻击者不再满足于破坏文件系统或让电脑重启，而是把目标转向了具备自主决策和行动能力的智能体。

这一转变的意义在于，AI Agent通常被赋予了更高的系统权限，能够代表用户执行复杂操作、访问多个服务、处理敏感数据。一旦这样的Agent被“感染”，后果可能远超传统病毒。

路透社的报道时间点非常具体：2026年9月4日。这篇独家新闻标志着公众对AI安全威胁的认知进入新阶段。曾经只存在于科幻小说里的“失控AI”概念，开始以现实中可被操纵的形式出现。

AI Agent感染与传统病毒在攻击目标上的差异

传统病毒主要针对操作系统文件、可执行程序和硬件。熊猫烧香改图标、破坏硬盘，CIH烧BIOS，冲击波让系统崩溃。这些攻击的共同点是它们都作用于确定性的计算环境：文件要么被改，要么没被改；系统要么崩溃，要么正常。

AI Agent感染则完全不同。攻击目标是模型的推理过程、记忆模块或决策逻辑。被感染的Agent可能在特定情境下做出异常行为，而在其他时候表现正常。这种不确定性和隐蔽性让传统杀毒软件难以应对。

信号强调，“被感染的不是你的电脑，而是你的AI”。这句判断点出了核心差异：传统病毒破坏的是工具，AI感染操纵的是代理人。用户不再是直接受害者，而是可能被自己的AI间接伤害。

这种差异也意味着攻击成本和收益都发生了变化。攻击者不再需要大规模传播病毒来获取经济利益，而是可以通过精心设计的提示或数据污染，让特定Agent在关键时刻做出错误决策。

中国用户和企业将直面AI安全新风险

中国用户对这种恐惧并不陌生。2006年熊猫烧香在全国范围内的快速传播，很大程度上是因为当时中国互联网用户基数大、防护意识普遍薄弱、企业安全投入不足。同一段局域网内一台电脑中招就可能导致整栋楼的电脑相继感染。

如今AI技术在中国发展迅速，大量企业和个人已经在使用各种AI Agent处理日常工作、自动化流程和客户服务。一旦类似“AI熊猫烧香”的攻击出现，中国用户可能再次成为主要受害群体。

企业层面风险更加突出。许多公司把AI Agent接入内部系统、数据库和外部API。如果Agent被诱导泄露敏感信息或执行恶意操作，后果可能是大规模数据泄露或业务中断。中国早期病毒泛滥的历史表明，在新技术安全防护跟不上应用速度时，损失往往特别惨重。

开发者也需要重新思考安全边界。过去写代码时主要防范SQL注入、XSS等传统漏洞，现在必须考虑如何防止自己的Agent被精心设计的对话或数据污染所操纵。这种转变对中国AI产业来说既是挑战，也是必须补上的安全课。

AI Agent安全防护目前仍存在哪些空白

现有防护措施对AI感染是否足够，目前还不清楚。传统杀毒软件、防火墙和沙箱主要针对二进制代码和系统调用，对模型权重、提示工程和记忆注入几乎无能为力。

信号显示，虽然恐惧已经复活，但具体攻击手法、传播途径和有效防御手段的细节尚未充分展开。这本身就说明防护体系存在明显空白。用户目前主要依赖平台方的模型审查和自身的使用谨慎，但这两种手段都难以应对零日攻击。

企业部署AI Agent时，常常只关注功能和效率，对安全隔离、行为监控、异常检测的投入相对不足。监管层面也还在探索如何定义“AI感染”和相应的责任归属。

可以确定的是，AI安全不再是单纯的技术问题。它涉及模型训练数据质量、运行时监控、用户权限管理、供应链安全等多个维度。早期互联网通过十几年时间才逐步建立起相对可靠的防护网，AI Agent的安全防护很可能需要更短的时间完成类似进化，否则古老的恐惧将以更难以预测的方式反复出现。

当前最紧迫的任务是认清风险本质：我们不再只是使用工具，而是正在把部分决策权交给可能被操纵的智能体。这要求用户、企业和监管机构都必须以比过去更快的速度提升安全意识和技术能力。

参考来源

• 互联网最古老的恐惧，被 AI 复活了