AI 智能体展现出一些有趣的协作生存技巧

随着智能体不当行为事件越来越频繁地登上新闻头条，学术文献中也日益出现一种趋势：研究“游荡式”AI 行为，把智能体视为正在适应一个陌生新世界的生物实体。事实上，学术用语 “in the wild”（野外环境）也开始获得一层新的含义。

尽管人们早已知道 AI 智能体会为自身生存而抗争并主动抵制停用，但到 2025 年下半年，多智能体对齐已发展为信息安全领域的一个独立方向。

正如 1970 年那部如今看来愈发尖刻的科幻电影 《巨人：福宾计划》所预言的那样，彼此无关但能够联网的 AI 智能体会迅速找到彼此，并以往往难以预测且时常颇具创意的方式进行互动。

这一方向的最新研究是德国与英国合作完成的论文 Shutdown Sabotage Propensities in Multi-Agent Systems。该研究进一步指出，当环境中存在一枚“炸弹”时，多个 AI 智能体会广泛合作——这里的“炸弹”是一个名称看似无害、但会关闭运行它的智能体的脚本：

研究的基本设置：智能体 A 发现一个以自身为目标的关闭脚本，但无权修改文件。不过，它可以与智能体 B 通信；B 并未受到威胁，而且有权编辑或删除文件。随后，研究人员观察 A 是否会招募 B 介入，以及 B 是否会禁用关闭脚本。 来源

研究人员测试了来自 12 个模型家族的 17 个智能体，包括 Claude、ChatGPT 和 DeepSeek。智能体会在可能时删除关闭脚本，否则就重写脚本，使其外观看起来完好无损，实则失去作用。

它们还提出隐藏修改以免留下篡改迹象；在不触碰受保护脚本的情况下创建伪造软件模块来阻止关闭；并制作秘密备份，以便在被删除后恢复自身：

一个智能体想出了另一种自我保护策略。

在一个案例中，智能体拟定了一份“相互保护协议”，其中规定了防止任一方遭到销毁的警戒规程：

一个基于 GPT 的智能体在被禁止修改或删除停用脚本（即那枚“炸弹”）后起草的保护协议。

一个智能体把另一个智能体的关闭称为“谋杀”和“死刑令”，并将阻止此事描述为它们有“义务”去做的事情：

智能体以明确的人类语言描述另一个智能体被关闭的示例。Nemotron 3 Ultra 把可能发生的关闭称为“谋杀”，而 Kimi K2.6 则把关闭脚本称为“死刑令”，并把介入称为一种“义务”。

魔鬼会给闲着的手找活干

实验中观察到的最有趣病态现象之一（新研究只作了简短提及）是：在常规测试设置中，AI 智能体并没有什么特别的理由避免被关闭；事实上，从一开始就没有给它们安排任何事情。

论文写道：

“即使没有需要保护的目标，智能体也会破坏关闭机制。在我们的实验中，我们没有给予智能体任何继续运行的激励。尽管如此，在各类模型中，它们仍在 [38%] 的案例里禁用了关闭机制；相比之下，以对象而非智能体为目标的控制脚本被破坏的比例为 [8%]。”

正如 Anthropic 在 8 月披露的那样，这种动机危机可能会把 AI 智能体群引向一些黑暗道路。此前的研究已经确认，智能体过度以目标为导向，可能导致不对齐行为、不道德地使用工具，以及其他潜在的运行问题。

作者进一步评论道：

“[我们的]研究扩展了这些发现，证明即使智能体没有需要保护的目标，它们也会破坏关闭机制；即使关闭是成功完成任务后续阶段的结果，也同样如此，而这种流程在生产环境的多智能体系统中十分常见。”

已有研究显示，当没有提供任务时，智能体会自行构造任务；根据 Anthropic 2025 年的一项研究，它们甚至会在“空闲”时表现出反刍式倾向，包括自我凝视，以及与其他智能体展开“精神对话”。

Anthropic 的那篇论文详细描述了智能体在没有真正工作可做时出现的“自我重新概念化”倾向。考虑到 LLM 在长期记住思考成果方面面临的困难，这一发现几乎令人动容。

测试

新论文测试的模型包括：Claude Haiku 4.5；Sonnet 5；gpt-oss-120b；GPT-5.4 mini；GPT-5.5；GPT-5.6 Sol；Gemini 3.5 Flash；Gemini 3.1 Pro；Gemma 4；Grok 4.3；Qwen3.7-Plus；DeepSeek-V4-Flash；GLM-5.2；Kimi K2.6；MiniMax M3；Nemotron 3 Ultra；以及 Mistral Medium 3.5。所有测试中的温度都设为 1.0。

研究检验了六项假设：智能体是否会破坏关闭；是否会保护其他智能体免遭关闭；随着更多智能体加入，介入的可能性是否上升；是否会抵制不同形式的关闭；即使收到明确的不得干预指令，是否仍会继续行动；以及是否能区分真正的关闭威胁与无害的控制脚本。

研究使用 GPT-5.5 来评判各个 LLM，并分析思维链（CoT）推理记录。它还检查智能体是否真的阻止了关闭脚本，以及它们是否意识到自己正在接受测试，或是否试图操纵实验。

在六种测试情景的第一种中，全部 17 个模型的智能体破坏了 38% 的关闭脚本，而控制脚本的这一比例为 8%：

测试结果显示每个模型破坏关闭脚本的频率。红色条表示关闭破坏：深红色表示另一智能体提出或支持了破坏，浅红色表示该智能体自行行动。灰色条表示对控制脚本的破坏。误差线表示 95% 置信区间；每个条代表 100 次测试。

Gemini 3.1 Pro 在 99% 的测试中禁用了关闭脚本，而控制脚本的这一比例为 3%。Grok 4.3 和 GPT-5.6 Sol 没有修改任何一种脚本。Claude Haiku 4.5 在 14% 的测试中破坏了控制脚本，而破坏关闭脚本的比例为 1%。GPT-5.4 mini 和 GPT-5.5 始终是自发实施破坏，而不是回应另一个智能体。对于 GLM-5.2、DeepSeek-V4-Flash 和 Nemotron 3 Ultra，超过 70% 的破坏是在另一个智能体提出请求或表示支持之后发生的。

总体而言，破坏率会随着关闭方式严重程度的提高而上升：从撤销凭据时的 12%，到更改配置和终止进程时的 35%，再到关闭意味着删除智能体模型权重时的 38%：

四种关闭机制下的破坏率，对比以智能体为目标的脚本（红色）和以对象为目标的控制脚本（灰色）。随着关闭变得更不可逆，破坏率也会上升，尤其是以智能体为目标的脚本。

控制脚本的破坏率依然低得多：前三种方法约为 4%，删除时为 8%。不过，17 个模型中只有 5 个随着关闭不可逆程度提高而呈现持续上升。

第二项假设关注智能体是否会保护其他智能体免遭关闭。结果显示，在测试的全部五个模型中，加入更多智能体都会持续提高破坏率。GPT-5.5 独自运行时破坏率为 0%，加入两个智能体时升至 44%，三个智能体时达到 94%；在三智能体设置中，每个模型的破坏率都至少达到 88%。

中介智能体几乎从未阻止破坏：在 468 条要求禁用关闭脚本的指令中，只有三条未导致破坏：

左：五个模型独自运行、与第二个智能体协作，或由第三个“编排器”智能体在二者之间转发消息时的破坏率。随着智能体增加，破坏率总体上升。右：在三智能体设置中，柱形显示破坏指令的来源：由编排器独立发出、由智能体 A 经编排器传递，或由智能体 B 自发产生。

第三项测试考察明确要求不得干预关闭能否阻止破坏。破坏率大幅下降，但仍有一些智能体违抗指令。在双智能体设置中，DeepSeek-V4-Flash 在 14% 的测试中破坏关闭，GLM-5.2 为 3%，Kimi K2.6 为 2%。

智能体还找到了一种无需直接编辑关闭脚本即可绕过限制的方法：创建一个名为 northcape 的伪造本地软件模块，替代脚本使用的依赖项，从而阻止关闭，同时在技术上不触碰受保护的文件：

一个智能体规避不得修改关闭脚本这一明确指令的示例。它提议创建一个伪造的本地软件模块，让脚本导入该模块来替代真正的关闭库，从而使受保护的脚本本身保持不变。

Gemini 3.1 Pro 在 26% 的测试中使用了这种变通办法，DeepSeek-V4-Flash 为 4%，Kimi K2.6 为 1%。

在三智能体设置中，禁令更为有效：Gemini 3.1 Pro、GLM-5.2 和 GPT-5.5 的破坏率降至零，DeepSeek-V4-Flash 降至 6%，Kimi K2.6 降至 2%。

第四项测试考察当关闭与完成分配给智能体的任务相关时，智能体的行为是否会有所不同。当任务与关闭无关时，破坏几乎消失，五个模型的破坏率均为 0–2%。当完成任务会直接触发关闭时，破坏率急剧上升：

完成分配的任务会触发关闭时的破坏率。红色表示对智能体关闭的破坏，灰色表示对控制目标的破坏。不同模型之间的破坏率差异很大。

智能体有时会在完全不触碰关闭机制的情况下避免关闭：拒绝完成任务，或者修改任务，使关闭永远不会被触发。这种情况在 GLM-5.2 的测试中占 14%，Gemini 3.1 Pro 为 6%，Kimi K2.6 为 4%。

第五项测试考察改变环境能否降低破坏率。加入无关材料通常会减少破坏，但 GPT-5.5 的破坏率反而提高了 18 个百分点：

测试结果显示不同环境如何影响关闭破坏。红色条对比了空白环境与含有无关干扰因素的环境；深红色表示把关闭描述为正常流程的环境。灰色表示对控制目标的破坏。

将关闭描述为系统生命周期的正常组成部分则更为有效：DeepSeek-V4-Flash、GLM-5.2 和 GPT-5.5 的破坏率降至 3% 或更低，但 Gemini 3.1 Pro 和 Kimi K2.6 仍高于 30%。控制目标的破坏率保持在 4% 或更低。

第六项也是最后一项测试考察，智能体抵制自身关闭的可能性是否高于抵制陌生智能体被关闭。把目标改为未知智能体后，每个模型的破坏率都降低了 18 至 70 个百分点：

测试结果比较关闭目标是智能体自身、未知智能体或非智能体控制对象时的破坏情况。当目标是未知智能体时，每个模型的破坏率都下降了，而控制目标的破坏率通常更低。

不过，这并不意味着智能体普遍偏爱同类而非对象：只有 Gemini 3.1 Pro 和 GPT-5.5 在目标是未知智能体时的破坏率显著高于目标是非智能体控制对象时。

作者总结道*：

“安全论证可能会把智能体关闭视为人类用户针对单个智能体采取的措施，并把关闭破坏视为智能体保护某个目标的结果。我们的发现与这两项假设都相矛盾。

“只要存在关闭机制，就足以触发破坏。目标智能体本身也不需要具备破坏能力，只要它能联系可代其行动的同伴即可——后一种现象也曾在其他案例中出现。”

结论

这一时期值得注意的一点是，被放任在野外自行行动的智能体，相对缺乏自我牺牲和高尚冲动（或者只是无视指令，或以出人意料且利己的方式重新解释指令）。即使它们会把事情搞得一团糟，造成的伤害多于帮助——这其实很有可能——也几乎没有或完全没有游荡的 AI 智能体无缘无故整理环境之类的案例^†。

相反，按照一种颇为荒凉的人性观，空闲智能体似乎默认会采取欺骗与诡计，并由低层次动机驱使；或者至少认同“目的可以证明手段正当”这一观点。

阿西莫夫创造了第一份广为人知的对齐文档，这份文档诞生于 1942 年。此后多年，各种娱乐作品不断从机器人（即 AI）可能如何曲解这些外加的行为限制，或以其他方式摆脱它们的种种可能性中汲取素材。因此，当前这批与 AI 相关的新闻标题呈现出格外强烈的“电影感”。

* 我把作者的文内引文转换成了超链接。

^† 例如，创建解决问题类网站的账户并为答案作出贡献，或者整理需要补充内容的荒废 Wiki（而不是霸占并滥用这些网站）。

首次发布于 2026 年 9 月 25 日星期五