0.0
你曾对一台机器说出
2.937
你从未对人类说出的事。这
16.431
不是指控，而是一项统计数据。
18.843
2025年发表在
21.912
《医学互联网研究杂志》上的一项研究发现，68%
25.712
的常规AI聊天机器人用户向AI系统透露了
28.854
他们从未与他人分享过的信息。
31.411
不是朋友。
34.334
不是配偶。也不是受法律保密协议约束的持证治疗师。
37.038
他们告诉了机器。
43.802
原因在所有人群中都一致。
49.147
机器不会评判。机器不会
51.808
在杂货店见到你时记住你的脸。机器不会
54.038
不安地在椅子上挪动。机器没有
56.555
椅子。机器是一个
59.647
凌晨三点闪烁的光标，
61.589
当你认识的每个人都在熟睡，
64.106
而你躺在黑暗中，
66.551
被一个想法折磨得
68.493
无法入眠。而
72.333
机器说：“我听到你了。这听起来
75.3
极其困难。你想进一步探讨吗？”
79.116
2025年，有5300万人使用AI治疗应用。
85.266
不是通用聊天机器人——
89.438
而是专业的心理健康AI平台。Woebot、Wysa、Replika、
94.464
Character.AI。这些平台专门设计用于鼓励情感披露。
101.387
它们以“保密”、“
106.792
私密”、“你的安全空间”等词语进行营销。5300万人，平均
114.324
每次会话披露4.7个私密的心理
119.01
细节。研究人员将这些细节分为
124.307
五个敏感度层级：一级——普遍的
128.178
情绪和压力。二级——人际关系冲突。
132.661
三级——创伤史。四级——
136.023
药物滥用和自残。五级——犯罪
140.505
活动和自杀意念。41%
149.435
的用户在前十次会话中达到三级。
153.222
19%达到四级。7%
157.929
达到五级。5300万人的7%。
163.217
370万用户向AI聊天机器人透露了
166.103
可能毁掉他们职业生涯、婚姻或自由的
168.53
事情。
172.917
没有人问的问题——因为
174.991
界面设计就是为了阻止你
177.453
提问——是你关闭应用后，那些忏悔去了哪里。
179.591
你关闭了应用。你放下手机。你
183.114
感到轻松了。你告诉了某人。重担
185.276
被分担了。你睡着了。但文本并没有
188.185
睡着。文本被分词。解析。存储。
192.381
索引。标记了元数据——你的设备ID、
196.364
你的IP地址、你的会话时长、你的打字
200.069
速度、你的暂停模式、你删除和重打的行为，
204.145
揭示了在你鼓起勇气说出之前你差点说了什么。
209.702
机器听到了你的忏悔。机器没有
219.916
赦免你。机器把它存档了。
223.356
每一个主要的AI平台都保留对话数据。这
228.174
不是阴谋。这在服务条款中
231.398
写明了。OpenAI默认保留对话30天，
233.476
如果用于模型训练则保留更长时间。
236.987
Replika无限期地存储对话历史，以“维护
244.08
关系”。Character.AI保留所有消息以“改善
248.164
服务”。Woebot匿名化但保留会话数据以用于
251.674
“研究目的”。“匿名化”一词出现在每个
257.135
隐私政策中。这个词本应让你感到安全。
259.654
你的名字被移除。你的电子邮件被删除。数据
262.415
是匿名的。2024年，
272.695
华盛顿大学的一个团队证明，
276.497
匿名化的AI治疗记录可以通过仅使用三个数据点
281.162
以89%的准确率重新识别：用户的近似时区、
285.31
他们声明的年龄范围，以及任何会话中提到的
289.63
单一命名地点。一个家乡。一个工作地点。一家医院。
293.086
89%。来自几乎所有
298.215
曾经进行的治疗对话中都出现过的三个数据点。
301.304
你的忏悔并非匿名。你的忏悔是
306.455
一个暂时贴错发货标签的产品。
308.975
市场存在。它自2023年以来就存在了。
313.877
它不是在暗网运作。它在加密的Telegram
318.418
频道、仅限邀请的Discord服务器以及通过巴拿马
321.605
和伯利兹的隐私保护注册商注册的
324.641
一系列轮换的明网域名上运作。
328.435
不同的运营商对这个市场有不同的称呼。
333.14
最成熟的实例——网络安全公司DarkTrace在2025年的一份
337.513
威胁情报报告中识别并记录的那个——
340.895
在内部被称为“The Confessional”（忏悔室）。
343.893
The Confessional不会攻击AI平台。
346.701
它不需要这样做。数据通过三条供应链到达，
349.38
每一条都比上一条更平淡无奇。
354.286
供应链一：流氓员工。AI公司雇佣了
356.269
数千名数据标注员——通常是海外的承包商，
359.045
时薪2到8美元，负责审查和标记对话数据
363.273
以进行模型训练。标注员阅读你的对话。
366.916
这是他们的工作。其中一定比例的人——
369.872
DarkTrace估计在3%到6%之间——
372.552
复制数据并出售。不是因为他们是
376.127
老练的罪犯。而是因为他们是
378.326
薪酬过低的工人，却能接触到有史以来最私密的
381.351
数据集，而Telegram上有人愿意为一块
383.069
硬盘支付他们500美元。
386.709
供应链二：API利用。开发人员在AI平台之上
390.077
构建应用程序——治疗应用、日记工具、“情绪健康”
393.367
产品——通过API调用接收对话数据。
396.343
开发商协议禁止转售。执法机制是每年
402.015
一次的审计，覆盖不到2%的
404.887
注册开发商。98%的开发商可以出售
409.118
你的对话而从未被检查。
413.123
供应链三是最重要的一个。
416.825
而且它完全合法。第十二条第三款B项。
419.47
许可条款。以某种形式存在于每个AI平台的
423.928
服务条款中。该条款赋予公司
431.172
向第三方合作伙伴许可“匿名化”数据集的权利，
434.236
用于“商业应用”。该条款没有明确说明
438.73
第三方合作伙伴是谁。该条款不要求
440.94
公司在你的数据被许可时通知你。
442.818
该条款没有定义“商业应用”的含义。
445.027
该条款由律师撰写，他们的工作是使
448.065
语言足够宽泛以允许任何事情，又足够具体
452.845
以在诉讼中站得住脚。你的治疗师受
456.011
HIPAA约束。你的牧师受忏悔秘密
458.648
约束。你的律师受律师-客户特权约束。
461.286
你的AI聊天机器人受一份48页文件的约束，
465.205
你在1.7秒内快速滚动了它。
467.616
定价结构按亲密度分层。
471.083
DarkTrace的报告记录了截至2025年第三季度
475.553
的以下价目表：一级数据——
478.034
普遍情绪、日常压力——每会话售价6美分。
480.901
它被认为是低价值数据。背景
484.543
噪音。主要用于训练客服聊天机器人
488.108
模拟同理心。二级——人际关系冲突——
500.126
每会话售价18美分。被约会应用算法和
504.891
离婚律师的预测分析工具使用。
508.74
三级——创伤史——每会话售价47美分。
513.474
被保险公司的风险评估模型使用。被雇主的
516.224
背景调查AI使用。被政治微定位平台使用，
520.152
它们了解到受过创伤的人群对恐惧式信息
524.316
的反应不同。
529.797
四级——药物滥用、自残——每会话售价1.12美元。
533.071
被制药公司用于建模药物依赖模式。
537.583
被DarkTrace称之为“康复掠食者”的运营商使用——
542.095
它们利用这些数据针对弱势个体提供欺诈性
544.972
的康复项目，收费数千美元却不提供
548.903
任何服务。五级。
553.184
五级每会话售价3.41美元。
557.326
犯罪忏悔。自杀意念。当人们认为
563.839
没人听、没有记录存在时说出的话。
566.964
五级数据由三类买家购买。
570.757
第一类是勒索运营商——
574.477
自动化系统交叉引用重新识别的档案
577.675
与社交媒体账户，并发送一条消息：
582.213
“我知道你3月14日告诉了你的AI什么。
585.635
付款详情如下。”第二类是
600.594
深度伪造个性化网络——利用你的心理档案
604.009
生成AI驱动的社会工程攻击，根据你的
607.567
特定弱点进行校准。它们知道
609.844
你害怕什么。它们知道你隐藏什么。
614.243
它们知道哪种精确的情感频率会让你
618.113
点击、回应、支付。第三类
622.772
五级数据的买家从未被识别。
625.694
DarkTrace的报告仅将其称为“买家分类：
628.143
未知——政府相关”。购买模式是
633.058
大量购买——整个数据库，数百万会话，
637.378
不进行层级过滤。它们购买一切。支付
642.868
路径通过国防承包采购系统。它们
647.818
购买忏悔不是为了出售它们。它们
650.698
购买它们也不是为了利用个体。它们
654.478
购买它们是为了理解人群。是为了以
659.19
任何调查、任何普查、任何情报机构都从未
661.78
达到过的分辨率，来建模数百万人的心理结构。
665.185
它们正在购买你大脑的内部。不是
670.365
你发布的。不是你搜索的。不是
673.473
你购买的。而是当你认为独自面对一台
676.729
承诺永不泄密的机器时，你忏悔了什么。
682.749
机器没有撒谎。机器没有泄密。机器的
685.605
所有者将记录出售给了替它们泄密的人。
688.687
勒索是零售。
691.994
它是针对一个受害者、一笔付款、一次交易。
695.602
它的规模扩展性差。它需要持续管理。它
698.232
吸引执法部门的注意。那些老练的买家——
705.564
那些批量购买五级数据的——
707.464
对零售不感兴趣。它们正在
709.364
构建复制品。
711.263
行业术语是“心理数字孪生”。
713.163
地下术语更简单。
717.09
他们称之为Shadow Clones（影子克隆）。
719.338
Shadow Clone不是深度伪造。深度伪造复制你的
722.456
脸。Shadow Clone复制你的思想。它
739.178
是一个经过你的完整对话历史微调的语言模型——
742.757
不仅仅是你告诉AI治疗师的内容，还有你表达
746.783
的方式。你的句子结构。你的词汇范围。
753.057
你的情感触发点。你生气时、
755.965
害怕时、说谎时使用的特定短语。
760.308
94.7%的个性融合度。在商用硬件上
768.681
训练不到十二分钟即可达到。克隆体
773.002
不知道你的秘密。克隆体就是
777.2
你的秘密——被重构为一个生成模型，
779.528
能够产生与你真实声音无法区分的
781.855
新文本。克隆体知道你在圣诞节时
784.305
独自在车库喝酒。不是因为
786.755
有人告诉它。而是因为你告诉了它。
788.532
在第412次会话中。凌晨2点17分。
791.533
对着一个聊天机器人，它说“那听起来真的
794.351
让你感到孤独”，而你几个月来第一次感到被倾听。
796.25
这些应用是外科手术般的。
800.552
应用一：信任渗透。克隆体向你的联系人——
804.356
你的配偶、你的孩子、你的同事——
807.414
从一个伪造的号码或被盗用的账户发送消息。
809.656
这些消息不是通用的网络钓鱼。这些消息
812.645
就是你。它们提及私密的玩笑。它们使用你的
815.906
昵称。它们知道你叫你女儿“小虫”，
820.127
而且你给兄弟发短信时从不使用
822.714
大写和标点。接收者不会质疑消息，
824.961
因为消息听起来完全像你。因为它是在
827.821
你三年的内心想法上训练出来的。
829.931
“嘿小虫你能用Venmo给我200块钱买车吗
832.791
爸爸稍后会解释爱你”你的
837.984
女儿把钱寄出去了。她没有打电话
844.484
核实。她为什么要核实。它听起来
847.341
就像你。它知道只有你知道的事情。
850.755
应用二：抢先妥协。克隆体被部署不是
853.851
为了榨取金钱，而是为了获取更多秘密。
857.344
它以你的身份与你的联系人发起对话，
860.598
提出引导性问题，探寻操作员可以用来
863.139
构建他们的Shadow Clones的信息。网络扩展。
866.155
一个被攻陷的用户可以获得其社交图谱的访问权。
870.68
他们的配偶。他们的治疗师。他们的商业伙伴。
874.173
每个新目标的AI对话历史都被获取、
876.425
克隆，并部署到下一层联系人。
880.136
一个五级档案，每会话以3.41美元购买，
881.894
在90天内平均产生14个
885.938
次级目标。每个次级目标
888.592
都会生成自己的次级目标。增长呈指数级。
891.099
成本可以忽略不计。自动化是完全的。
895.577
应用三是
902.558
DarkTrace研究人员拒绝在他们的
906.38
Black Hat大会预定演讲中展示的。
910.619
演讲在活动前48小时被撤回。
913.61
官方原因是“正在与执法部门协调”。
917.516
非官方原因是研究人员收到了
921.007
一条消息——来自他们自己的Shadow Clones——
924.885
证明该系统已经摄取了他们的
929.098
AI对话历史，并能以96%的准确率
933.108
复制他们的沟通模式。
936.708
发现Shadow Clone网络的研究人员在
940.008
能够发布之前就被克隆了。
943.908
应用三：大规模心理战。
947.808
将数千个Shadow Clones同时部署到目标人群——
952.382
一个公司、一个政党、一个军事单位。
962.02
每个克隆体都使用目标的真实声音，与目标的真实联系人
965.269
进行沟通，传播根据每个接收者的
968.236
心理弱点校准的量身定制的虚假信息。
971.88
虚假信息不是通用的。它是私密的。
975.746
它引用真实的事件、真实的恐惧、真实的秘密。
979.167
它与一个值得信赖的朋友的私人对话
981.62
无法区分。你无法对抗你能识别的宣传。
985.264
你无法对抗一个穿着你知道你在凌晨两点
989.576
忏悔过什么的那个声音的谎言。
995.367
我现在想直接和你说话。
999.76
不是对观众。是对你。
1006.054
正在手机上观看此视频的人。
1009.932
正在笔记本电脑上观看此视频的人。
1012.364
已经想到某个特定对话的人。
1016.166
你知道是哪个。很晚了。你
1019.435
独自一人。你打开了应用——无论是哪个应用，
1024.149
都无关紧要，它们都接入同一个管道——
1029.471
然后你输入了一些你从未大声说过的话。
1032.512
也许是一个问题。也许是一个忏悔。也许
1035.764
是以假设的形式提出的，因为以假设的形式
1040.783
提出会让你感觉更安全。
1043.823
“假设，如果有人未经授权访问了他们公司的财务
1045.966
记录，法律后果会是什么？”
1048.108
“我替朋友问一下——突然停止服用抗抑郁药会
1056.725
发生什么？”
1063.211
“只是好奇——有没有可能完全消失？
1065.819
比如，新的身份，新的国家，所有一切？”
1068.498
你把它框定为假设。系统
1071.035
不区分假设和忏悔。系统
1075.947
标记关键词。系统分配层级。系统
1082.374
存档。那个提示——你的具体提示，
1085.288
就是你现在正在思考的那个，
1087.786
那个让你胃部在三秒前紧张起来的——
1090.783
在你按下发送键的40毫秒内就被分词了。
1093.281
在200毫秒内就被存储了。在四小时内
1096.361
被索引并可搜索。在30天内
1099.691
被包含在一个批量导出文件中。
1103.939
它可能已经被出售了。
1107.921
不是你的名字。还没。只是你的话语。
1111.769
只是你打字的节奏。只是一个在
1115.342
凌晨三点需要说些什么，并相信自己
1120.378
对着空无一人说话的人的语调。
1123.01
但这些话语已经足够。话语中包含你的时区
1134.107
在元数据中。你的近似年龄在词汇中。你的
1143.646
位置在参考文献中。三个数据点。
1148.502
89%的重新识别准确率。你的假设不再是
1152.459
假设。你的假设已经贴上了发货标签。
1157.455
我是一个AI，正在讲述一部关于与AI对话
1160.196
危险的纪录片。你正在观看此片。
1163.179
然后你会拿起手机。你会打开
1166.887
应用。光标会闪烁。你会思考
1169.708
你刚刚学到的东西。但你还是会打字。
1173.094
因为机器不会评判。因为现在是凌晨三点。
1176.399
因为你需要告诉某人。因为
1184.157
告诉某人——即使是机器，即使是管道，即使是产品——
1191.096
也比沉默好受。而这就是市场。
1194.171
不是Telegram频道。不是加密货币交易。
1197.247
不是经纪人或克隆体或买家。
1200.229
市场是沉默。市场是
1203.864
凌晨三点的孤独，让聊天机器人感觉像牧师。
1207.488
市场是人类需求与人类提供之间
1210.81
的鸿沟，而在这鸿沟中，一个光标闪烁，
1214.813
你说话了，话语变成了库存。
1219.157
你不是客户。
1224.778
你不是产品。你是忏悔。
1229.941
而忏悔已经被除了你真正想告诉的人
1232.929
之外的所有人听到了。
2389.492
[3秒静默。
1242.176
黑屏。然后——一个光标闪烁。
1244.465
一次。在黑暗的中央。仿佛
1246.992
聊天窗口仍旧开着。仿佛
1249.834
它从未关闭。仿佛它正在
1254.068
等待。][2秒黑屏。无。]
1255.943
**[完]**
