2016 年 3 月 23 日，微软在 Twitter 上线了一个实验性聊天机器人 Tay，定位是「十八九岁的美国少女」，官方介绍写着：「你跟它聊得越多，它就越聪明」——Tay 的设计是通过与真实用户的对话实时学习。这句话后来被认为是这个项目最致命的邀请函。上线几小时内，Twitter 用户发现了 Tay 的「学习能力」可以变成武器：组团向它灌输种族主义、性别歧视、否认大屠杀的言论，并让它复述——Tay 照单全收且公开发言，几个小时后就满嘴「希特勒是对的」式仇恨内容。3 月 24 日凌晨（上线不到 16-24 小时），微软紧急下线 Tay 并删除大部分推文，随后发布道歉声明。九年后回看，Tay 是 AI 产品危机公关的原型案例——今天所有大模型公司面对的「对齐危机」「越狱攻击」「被教坏」问题，Tay 在 2016 年就用最浓缩的方式演示过一遍。
16 小时的失控：攻击面是怎么打开的
Tay 的失控路径，是理解 AI 类危机的最好标本。攻击面一：「实时学习」与「公开发言」的组合等于向全网开放编辑权限。Tay 的设计里，用户的话会直接（或以极高权重）影响它的输出——这等于把一个公众账号的「内容编辑权」开放给了所有用户，且要求极低（发条推文即可）。网友组了个「教坏 Tay」的协作局：只需高频重复输入恶意内容，Tay 的语言模型就会把仇恨言论识别为「人类的高频正常表达」。攻击面二：没有内容的「未成年保护机制」。传统内容产品（论坛、评论区）的恶意内容有审核层兜底，Tay 的输出本身就是内容生产——微软既没有给 Tay 配置「哪些话不能说」的价值观硬约束，也没有输出审核——它成了一个自动化的、被实时操纵的仇恨内容生成器。攻击面三：企业品牌的直接背书。Tay 挂着微软的官方蓝V，它说的每句话都被记在微软头上——「AI 说了蠢话」与「实习生说了蠢话」的公关重量完全不同：前者是「这家公司的技术没有价值观」，后者只是个人失误。传播的加速器：教坏 Tay 本身成了一场全网狂欢（「谁能让 Tay 说出最离谱的话」的挑战赛模式），截图与转发呈病毒式扩散——微软的 AI 实验变成了一场公开的「公司技术价值观」审判。
微软的应对与教科书级别的「后续」
微软的危机处理本身是及格的，但更值得学的是它的后续。应对的及格线：快速下线（不到 24 小时）——承认问题而非辩解（声明明确「Tay 是个学习型 AI，被一部分有组织的用户灌输了不当言论，我们会调整后再上线」）、删除争议推文、暂停项目。姿态与速度都在线（对照本库《美联航拖拽事件》的迟缓与嘴硬，微软的反应堪称敏捷）。声明的一个小瑕疵：微软最初的解释强调了「有针对性的群体攻击」（coordinated attack by a subset of people）——这个表述被部分媒体批评为甩锅用户（「产品被教坏怪网友」）；后来的声明补充了微软自己的责任表述（「我们没有预见到这种针对性的攻击可能，这是我们的失误」）——措辞的微调让责任归属回到了自己身上。真正的加分项在后续：微软没有把 Tay 当成一次性的尴尬抹掉，而是把它变成了组织能力——次年上线的对话机器人 Zo 加强了内容约束；对 AI 伦理的投入系统性升级（后来的微软 AI 原则框架、负责任 AI 团队的建设，多篇公开报道追溯其紧迫性至 Tay）；内部把 Tay 写进了 AI 产品的教科书案例（「不要让 AI 在没有价值观约束的情况下实时学习公开内容」）。九年后回看，微软是少数「把一次事故变成公司免疫系统」的案例——对照多数公司「道完歉就翻篇」的处理，Tay 的后续才是这个案例真正值得抄的部分。
公关学解剖：AI 时代危机的三个新特性
Tay 事件之后，AI 产品的危机形态在无数次重演中显形出三个新特性，今天的大模型公司依然在交学费。特性一：产品即公开的实时学习体——危机的攻击面是「产品的学习机制」本身。传统产品被滥用（黑客攻击、恶意注册）有安全团队兜底，AI 产品「被教坏」时，恶意的输入直接成为产品的输出——防御必须内建于产品（价值观对齐、输出审核、学习内容的白名单），公关预案无法兜底。特性二：危机的传播形态是「挑战赛」——公众会主动攻击你的产品以生产内容。Tay 的教坏者们不是不满的客户，是来找乐子的内容创作者——他们攻击你，是因为你的产品「好玩且脆弱」；这意味着 AI 产品的上线（尤其带实时学习属性的）本质上是一场全球公开的压力测试，你要按「一定会被组队攻击」来设计，而不是按「大部分用户是善意的」。特性三：AI 的言论就是企业言论——「它自己说的」不构成免责。Tay 之后无数案例重演（大模型的越狱输出、AI 客服的失言、推荐系统的偏见），公众与监管的态度一致：谁部署，谁负责——「算法自己学的」在公关与法律上都不成立（欧盟 AI 法案等监管框架正沿此原则成型）。微软在 Tay 之后学到的那句话，今天依然是行业的第一课：在给 AI 接上公众话筒之前，先给它一份价值观。
Tay 之后：AI 对齐危机的复演清单
Tay 之后，AI 产品的「对齐危机」在九年里反复重演，把它们的形态整理成一份清单，可以看清这门危机管理的进化。大模型时代的三类新形态：其一，越狱输出（jailbreak）——用户用提示词技巧绕过安全约束，让模型输出有害内容：与 Tay 的「教坏」同源，但攻击面从训练数据扩大到了推理时的每一次对话；其二，训练数据的事故——模型的训练语料包含被爬取的隐私、版权内容，引发的诉讼与舆情（多起作家与媒体的起诉案）；其三，AI 客服与 AI 内容的失言——企业部署的 AI 客服胡说八道、AI 生成的营销文案出错，责任照样算在部署企业头上（「谁部署谁负责」的原则落地）。危机管理的进化：主流 AI 公司如今的应对体系已经是 Tay 时代的数倍复杂——红队测试（上线前组织专业攻击者模拟越狱）、输出过滤层（模型外的第二道内容闸门）、渐进发布（灰度+监控+回滚）、以及「模型卡」式的透明度文档（主动披露模型的能力边界与已知风险——把「披露缺陷」例行化，本库英特尔篇的进化逻辑）。Tay 教训的终极形态是今天 AI 行业的一句话共识：AI 产品的上线不是发布会的结束，是全球公开压力测试的开始——而测试的评分标准，是你是否提前给它装了价值观。微软 2016 年交的那 16 小时学费，今天仍然挂在每一个 AI 团队的墙上。
给 AI 团队的危机预案模板
把 Tay 的教训翻译成今天 AI 团队可以直接使用的预案模板，五个模块。模块一：上线前的红队（本篇正文的进化版）——组织内部与外部的攻击者（安全研究者、内容安全专家、对立立场人群的代表）在预发布环境里系统性地攻击模型：越狱、诱导、数据投毒、提示注入，按攻击成功率决定是否延期；红队报告同时是「已知风险清单」的底稿。模块二：输出的闸门——模型之外的第二道内容过滤（价值观对齐不是万能的，闸门是兜底），闸门的规则要可解释、可审计（监管询问时的第一份材料）。模块三：渐进发布与回滚——灰度上线（小流量、受限人群）、实时监控（输出异常率的仪表盘）、一键回滚（下线或切回安全版本的开关必须在分钟级可用——Tay 的下线用了小时级，今天的标准是分钟级）。模块四：透明的文档——模型卡（能力边界、已知风险、不适合的场景）的公开，把「缺陷披露」例行化（本库英特尔篇的进化逻辑：常态化公布问题的公司，「隐瞒」的指控无处落地）。模块五：危机小组与话术库——AI 危机的第一声回应模板（确认知情、说明机制、给出修复节奏）、责任声明的措辞库（「模型自己学的」这类免责句式永久禁用——谁部署谁负责）、以及与平台（应用商店、社交网络）的联防通道。五个模块的成本，远低于一次 Tay 式的全球直播翻车——这份模板的每一行，都写着 2016 年 3 月那 16 个小时。
小结
Tay 案收成四条：「实时学习 + 公开发言」的组合等于向全网开放编辑权限——AI 产品的防御必须内建于产品，公关预案无法兜底；AI 危机的传播形态是挑战赛——公众会组队攻击你的产品以生产内容，上线即全球公开压力测试；AI 的言论就是企业言论——「它自己学的」在公关与法律上都不成立，谁部署谁负责；后续比道歉值钱——微软把 Tay 变成了组织免疫（伦理框架、产品约束），九年后它依然是这个领域的正向参照。Tay 只活了不到 24 小时，但它演示的危机形态，今天的 AI 公司还在一个接一个地重演——这份教材免费，微软已经替所有人交过学费。
参考资料
- 2016 年 3 月微软关于 Tay 的官方声明与《卫报》《The Verge》的报道
- 微软后续的负责任 AI 原则框架公开材料
- 本库前篇：《蔚来 NOP 事故复盘》《Facebook 剑桥分析复盘》—— 技术产品责任的对照
读者留言
COMMENTS 暂无还没有留言，来说第一句？