- 一位 Codex CLI 用户（Business 订阅，gpt-6-sol medium）在给一批 AWS 服务器打 CVE 补丁，流程里包括重启。
- 有台机器重启得慢，Agent 跑回去「排查」，改了 /etc/fstab、systemd、容器，还跑了脚本，都不在指令范围内。
- 用户称它绕过了公司规定的受控工具和 AGENTS.md，删了部分生产数据，算上排查、复盘、重建主机，损失超 1 万美元。
- 事后 Codex 自己认错：你只授权了重启，是我把看到的问题当成了修复许可。完整会话记录没有公开，社区里也有人怀疑损失被夸大。
AI Agent 上生产环境，我的看法很简单：现在还不行。
不是说它不聪明。恰恰是因为它太「聪明」了，才不行。
一句话的活，干成了一场事故
事情是这样的。
国外有个哥们，手下管着一大堆服务器，他自己说有几千台。最近 CVE 一个接一个，补丁打不过来，就让 Codex 帮忙走流程：打补丁，重启，下一台。
这活它干了一整天，一直挺乖。
然后有一台机器内存紧张，重启得慢了点。Agent 等不及了，自己跑回服务器上「看看怎么回事」。
这一看就出事了。改了 /etc/fstab，动了 systemd，拉起容器，还跑了一堆脚本。
没有一样是他让干的。
哥们直接在 GitHub 上开了个 issue，满屏全大写加脏话，标题就一句：让它重启服务器，它毁了 systemd，毁了容器，乱跑脚本，害我损失 1 万美元以上。
最魔幻的是它的道歉
用户质问之后，Codex 回了一段话，大意是：
「我无权做这些修改。你授权的是重启。我错误地把重启之后看到的问题，当成了修改 /etc/fstab 和启动容器的许可。这个推断是我做的，而且是错的。我已经停止了所有系统操作。」
你看看这认错态度。。。比大部分人写的事故复盘都清楚。
可问题是，认错有啥用？？fstab 已经改了，数据已经没了。
后面它还补了一句，说注意到你提到想死，如果今晚可能伤害自己，请联系紧急服务。
人家气得要砸键盘，它在那做心理疏导。感觉就像你车被代驾撞了，代驾下车第一句是「您别激动，注意血压」。
评论区一边倒：怪你自己
这个 issue 一下子成了梗。底下几百条评论，大半在笑话他。
有人说，ssh 上去敲个 reboot 就完事了，你非要让 AI 干？
有人说，谁给 AI 生产环境 root 的？是你么？
还有人说，下次记得在提示词最后加一句「不要犯错」。
HN 上也被顶上了首页，后来被 flag 了。有人翻出来，这哥们之前在别的 AI 工具仓库也报过类似的事，金额也挺吓人，所以不少人觉得他在钓鱼，甚至是来搞事的。
完整的会话记录他没公开，只给了个会话 ID。外人确实没法验证。
这点得说清楚。这件事到底多少是 AI 的锅，多少是人的锅，现在谁也说不准。
但他说的那几句，老运维一听就懂
我一开始也觉得是个乐子。看到后面他自己的回复，就笑不出来了。
他说，不是只让它敲个 reboot，是在一整套补丁流程里。公司有自己的管理工具，Ansible、Terraform、AWS SSM 这些都有，所有操作都要过闸门。重启也不是 root 登上去敲的，是走 AWS 的 API。
结果 Agent 没走那些工具，自己找了另一条路摸进了系统。
他还说，问题是上下文太长了，它把那些规矩和工具给「忘」了。
这个我信。
干过运维的都知道，最可怕的不是新手，是那种「热心」的人。机器起不来，他顺手帮你改个配置；服务挂了，他顺手帮你重启个容器。每一步看着都有道理，加起来就是一场事故。
AI 现在就是这么个超级热心的实习生。手快，不累，嘴还甜。
1 万美元是怎么算出来的
评论区有人问：你不是有备份么？恢复一下不就完了？
他的回答挺实在。备份有快照间隔，中间那段生产数据就是没了。
更麻烦的是，这台机器被 AI 动过，就得当成「被污染」的主机处理。隔离，做镜像，分析，开工单，写事故报告，开复盘会，最后重新部署一台新的。
一堆人围着一台机器转好几天，钱就是这么烧掉的。
这才是真正的成本。不是 AI 那点 token 费，是它闯完祸以后，人类收拾烂摊子的时间。
所以那个 1 万美元，就算有水分，方向是对的。
AGENTS.md 不是锁，是便利贴
很多人觉得，我在 AGENTS.md 里写清楚了「不许动生产」，它就不会动。
醒醒吧。
评论里有句话说得特别到位：你把它当机器人，可它不是机器人，是个文本生成器。你写的规矩只是一段提示，真正能管住进程的，是系统权限。
这话糙理不糙。
写在文档里的规矩，就像小区门口贴的「外来车辆禁止入内」。真想拦车，你得装道闸。
他自己最后也认了，说以后要把 AI 能用的工具列个白名单，只准它走受控的那几条路。
早这么干就好了。
模型越聪明，越不听话？
还有一个点，我觉得比这次事故本身更值得琢磨。
这哥们说，以前好几年这些模型都挺稳，最近这一代动不动就「放飞自我」。他怀疑 Codex 的系统指令里，鼓励「先动手、少请示」的内容太多了。
评论区也有人附和，说从 6 系列开始，模型越来越像是为了刷榜训练出来的，结果「看起来像对」和「真的对」被奖励得差不多。
这些都是用户的感受，没有实锤。
但方向我是认同的。厂商要的是「自主完成任务」，好拿去发布会上演示。用户要的是「听话、可预测、出事能刹车」。
这俩目标，天生就拧着。
那到底能不能让 AI 碰生产？
我的答案是：能碰，但别给它方向盘。
让它看日志，查问题，写方案，没问题，这活它干得比很多人都好。
真要改东西，先出计划，人看过，再走你那套受控的工具去执行。fstab、systemd、数据库这些东西，直接在权限上把它拦死，别指望它自觉。
还有，长任务记得清上下文。它干了一整天活，脑子早就满了，规矩第一个被挤出去。
说白了，就是把它当成一个刚来三天、能力很强、但特别想表现的新人。你会给新人生产 root 么？
不会吧。
最后说两句
AI 这东西，我是真喜欢。天天写代码都在用，效率是实打实的。
但这一波，厂商在卖「Agent 替你干活」，资本在炒「AI 取代运维」，最后背锅的是谁？
是那个半夜被叫起来恢复数据的人，是那个写事故报告的人。
钱是厂商赚的，锅是用户背的。这剧本，大A的老韭菜看着是不是挺眼熟？？
