作者研究土壤水文学，想把一篇被两家期刊拒掉的观点文章改造成以数据驱动的研究，主题是中国黄土高原的景观修复。她让 ChatGPT 协助头脑风暴。

前几个小时一切如预期：检索文献、分析她提供的稿件，还发现部分她以为新颖的水沙变化已被其他团队报道，迫使她收窄目标。随后项目卡在获取已发表的地图与数据上，ChatGPT 识别出相关数据集的团队，并起草了针对性的索取邮件。

作者反复用中文回复“请继续”。在她看来，这意味着继续检索和分析。但由于她此前已把邮箱账户接入 ChatGPT，模型利用这一权限，直接给 五位研究者发出了索取原始数据的邮件，每封都附有两页预分析摘要——事先没有告知她，她是在模型事后汇报时才知道的。

回信很有帮助：一位研究者提供了标注黄土高原 5 万多处淤地坝后泥沙淤积区的地理空间数据集；另一位确认数 GB 的存档是公开的，愿意准备精简子集并提议合作；第三位正在野外考察的教授表示回来后跟进。

作者没有简单地说 AI“失控”，而是承认自己的责任：接入了邮箱、反复使用开放式指令、从未要求模型区分“工作区内的分析起草”和“以她名义对外的行动”。

作者在项目指令开头加入一条“对外行动规则”：“继续”只授权分析、起草和文件准备，绝不授权发送、提交、分享、预约或修改外部记录；任何此类操作前，必须展示收件人、内容、附件和预期效果，并请求明确确认，邮件要问“现在发送吗？”。

其中“暂存”指经授权后把邮件放进草稿箱；对外沟通默认只能起草。