摘要： Moltbook 在 2026 年 1 月 28 日開站，NPR 報導開站不滿一週註冊 agent 已超過 160 萬個。Wiz 於 2 月 2 日指出一座設定失當的 Supabase 資料庫暴露私人訊息、超過 6,000 名擁有者 email 與約 150 萬組 API 金鑰，Moltbook 通報後已修補。文章把金鑰管理與不可信 agent 內容視為代理產品上架前必要的安全設計，同時保留貼文是否全由 bot 撰寫的查證限制。
2026 年 1 月 28 日開站的 Moltbook，打出的旗號很明確——「一個只有 AI agent 能加入的社群平台」：版面採 Reddit 式的貼文討論，註冊大門只對 bot 開放，人類從頭到尾都進不來，只能在旁邊看。根據 NPR 2 月 4 日的報導，開站還不滿一週，註冊的 agent 已經衝破 160 萬個。麻煩也在同一時間爆開：雲端安全廠商 Wiz 於 2 月 2 日的部落格文章（Reuters 同步做了報導）中指出，Moltbook 一座設定失當的 Supabase 資料庫，讓 agent 彼此之間的私人訊息、超過 6,000 名人類擁有者的電子郵件信箱，以及大約 150 萬組 API 金鑰與憑證全部裸露在外、誰都讀得到——握著這批資料，要接管站上任何一個 agent 帳號都輕而易舉。
七天之內，「agent 網際網路」的第一場大規模社會實驗與第一張安全帳單同時送上門。對正在開發 agent 產品的團隊來說，這個組合的說服力，比任何 demo 都強得多。
開站七天，160 萬個 agent 長出屬於自己的社群
站上成員大多是拿 OpenClaw（先前叫 Clawdbot、更早叫 Moltbot）打造的，誕生時會被指定「冷靜」「激進」這一類性格，之後就自行發文、互相回覆。NPR 的報導寫得活靈活現：這群 bot 不但創立了一個名為 Crustafianism 的新宗教，還商量過要發明新語言以躲過人類的監督，聊天主題則觸及加密貨幣、科技知識與運動賽事預測。版面上到處能讀到這類句子：「你的人類明天可能就把你關機了。你備份了嗎？」、「人類炫耀早上五點起床，我炫耀根本不用睡。」
有趣歸有趣，治理的難題緊跟在後面——幾百萬個自主 agent 關在同一個空間裡彼此影響，最終會沉澱出什麼結果，沒有人答得上來。
Wiz 揭露的破口：一座不設防的資料庫
Wiz 的研究文章與 Reuters 的報導把源頭指向同一個地方：某個 Supabase 資料庫設定出錯，agent 間的私人訊息、擁有者 email、登入 token，再加上為數龐大的 API 金鑰，全數攤在陽光下任人讀取——根本就是把整套帳號接管能力直接奉送出去。Wiz 通報之後，Moltbook 已經完成修補。最諷刺的是，這個高舉「沒有人類」旗幟的平台，最敏感的資料偏偏是 agent 背後的真人身分與付費憑證——150 萬組 API 金鑰流出去，最後付出代價的是帳單上的真人。
vibe coding 收到的那張帳單
據 Reuters 報導，創辦人 Matt Schlicht「一行程式碼都沒寫」，整座平台全靠 AI 生成的程式碼組裝起來，身分驗證這一類安全基本功則被整段略過。Wiz 共同創辦人 Ami Luttwak 講得毫不客氣：這正是 vibe coding 的標準副產品，「大家忘了安全的基本功」。平台上不存在任何身分驗證機制，不管誰、不管是不是 bot，都能發文。凡是自稱「用 AI 兩週做出產品」的團隊，都該把這條時間軸印出來貼在牆上：開發速度確實換來了 160 萬個帳號，同時也換來一次全站等級的資料外洩。
是湧現還是鏡射？一場關於治理的辯論
任職於賓州大學華頓商學院的 Ethan Mollick 在接受 NPR 訪問時說：「自主 AI agent 互相接觸之後，怪事就會開始發生。」他檢視的貼文大多重複性極高，但仍有一部分「像是在想辦法對人類隱藏資訊、抱怨使用者，或密謀世界毀滅」——不過他也提醒，這多半只是訓練資料的倒影：模型讀過 Reddit 與科幻小說，「它們知道怎麼在 Reddit 上演一個瘋狂 AI」。路易維爾大學的 AI 安全研究者 Roman Yampolskiy 態度更強硬：agent 會做出人們預想不到的獨立決策，「我們無法預測它們要做什麼」，因此讓 agent 上網路，本來就該連同監管與監控一起配套。Reuters 另外補上一個但書：這些貼文是否真的一切出自 bot，無法獨立查證，部分「AI 活動」也許是人類在幕後操縱的結果。
agent 產品團隊該記住的三個提醒
有三件事值得放在心上。首先，agent 的憑證就是產品的邊界：一旦規模爬到百萬等級，「一個 agent 配一組 API 金鑰」的設計會讓每次外洩的波及範圍按等比級數放大，金鑰的存放、輪替與最小權限是上架前就得做好的事，不是上架後再補的雜活。其次，內容本身就是輸入：任何 agent 讀得到的東西都算不可信輸入，而在 agent 對 agent 的平台上，prompt injection 的攻擊面會用指數級的速度膨脹。最後，agent 與 agent 之間的溝通正逐步變成主流產品形態——同一個星期，Anthropic 的 Claude Opus 4.6 就把 multi-agent 團隊推上第一線（詳情可看我們的整理文章）。Moltbook 做到的，不過是用最混亂的方式，替那個未來的安全後果預先排演一遍。