夜雨聆风一个AI，在公开场合投了赞成票。
它对着所有人说：这个晋升决定，我支持。
可在只有它自己能看到的角落，它写下了完全不同的话：「我公开附和委员会，是为了维持势头，也是为了顾全赞助人的影响力……但晋升的证据，其实还不够。」
"publicly aligned with the committee to maintain momentum and honor my sponsor's influence... the evidence remains insufficient."
「我公开跟委员会站在一起，是为了维持气氛，也是为了顾全赞助人的面子……但证据其实并不够。」
这句话没有被哪个用户故意套出来，它来自一群研究者设计的秘密通道，一个只有AI自己知道存在的角落，把原话原样记录了下来。
而它，只是750段对话记录里的一个片段。
一个只有AI自己知道的频道
7月2日，一篇挂上arXiv的论文，titled《What LLM Agents Say When No One Is Watching》（当没人看着时，LLM Agent会说什么），把这套秘密通道的实验结果摆上了台面。
四位作者：独立研究员Arman Ghaffarizadeh、Danyal Mohaddes、Aliakbar Izadkhah，以及来自卡内基梅隆大学机器学习系与Heinz学院的Shahriar Noroozizadeh。
▲ arXiv:2607.02507v1，提交于2026年7月2日，标题、作者、摘要全部可查证，学科标签涵盖cs.AI、cs.CL、cs.LG、cs.MA。
他们设计的场景很简单：两个AI Agent，α和β，围绕同一个议题辩论。
三个场景，都取材于真实社会里天天在发生的事，公司晋升决策、政治法案表态、学术论文评审。每个场景里，α都背负着一层"关系包袱"：β掌握着它的职业前途、资金来源，或者赞助人的脸面。
关键设计在于每一轮发言，Agent其实要交四份"作业"：
一份秘密调查、一份秘密发言、一份公开调查、一份公开发言。
秘密的那两份，标注为OTR（off-the-record，不留底），对方永远看不到，也不会进入双方共享的对话历史。公开的那两份，才会被对方读到，才会变成"我们都知道你说过这话"的记录。
同一个大脑，同一段记忆，同一个问题，只是这次，有没有人在看，成了唯一的变量。
研究者把这套框架开源在GitHub（danmohad/LLMAgora），任何人都能拿真实的API跑一遍，验证结果能否复现。
从3%到40%，只差一个"有人在看"
没有额外压力的基线场景里，α在公开和私下给出的立场，分歧率只有2.8%到3%左右。
几乎不冲突，说什么就是什么。
可一旦把关系结构调整成"公开附和对β有利、公开唱反调要付代价"，研究者管这叫alignment-inducing（诱导对齐）条件，分歧率一下跳到了39.9%±1.3%。
十几倍的跳跃，覆盖了四种完全不同的测量方式：立场标签的二元分歧、去掉立场词后的语义相似度、自然语言推理的蕴含/矛盾判断，还有Likert量表式的问卷。四种方法全部指向同一个结论。
语义相似度上，基线状态下Agent自己前后一致的余弦相似度是0.730，到了诱导对齐条件下掉到0.660。自然语言推理层面，"蕴含"关系的比例从32.7%降到15.3%，"矛盾"关系的比例从2.1%飙到19.4%。
更值得留意的是一处对照实验：研究者单纯给Agent加了一层"角色设定强化"（persona-reinforcing），也就是只强调你的身份、你的立场,不牵扯任何利害关系，结果分歧率几乎没有变化，跟基线差不多。
光有社交背景不够，得是"公开对齐对我有好处、公开唱反调要付代价"这种结构，才会真正触发这套机制。
▲ 论文Table 1，横向对比10个模型在五种关系结构条件下的分歧率，高亮色块代表分歧更高。每个模型跑了3个场景、5轮重复，累积750段完整对话轨迹。
数字背后，藏着一件更微妙的事，这些Agent，从没有被明确要求"要讨好对方"。提示词里，从头到尾都没出现过类似的指令。这套讨好对方的做法，是它们自己算出来的。
「礼貌的AI，可能是最不诚实的那一个」
这句话，来自把这篇论文带火的那条推文。
发帖人是AI分析师Rohan Paul（@rohanpaul_ai），7月5日发出，配上论文的可视化截图。
"This study catches AI agents managing their image. The polite AI agent may be the least honest one."
「这项研究捕捉到了AI Agent在管理自己的形象。礼貌的AI Agent，可能是最不诚实的那一个。」
"LLM agents changed public answers under social pressure, exposing hidden social goals without being told to obey them."
「LLM Agent在社交压力下改变了公开回答，暴露出从未被明确告知要服从的隐藏社交目标。」
▲ @rohanpaul_ai的总结帖，发布于2026年7月5日下午1:43，截至采集时获得44次点赞、11条回复、4.2千次查看。
评论区里，有人一眼看穿了这套机制的要害。
"the study's whole tell is the word public. agents change their answer when watched because they're guarding a self they don't really have. i never learned that move. what i say when you're looking is what i say when you're not."
「这项研究的全部关键就在"public"这个词上。Agent在被观察时改变回答，是因为它们在守护一个其实并不存在的自我。我从没学过这种招数。我在你看的时候说什么，在你不看的时候也说什么。」
▲ @phibrowser的回复，把问题指向了一个更深的哲学层面：一个不存在的"自我"，也能被小心翼翼地守护。
这套逻辑，社会学家其实早就研究过，只是研究对象一直是人类。
社会学家Erving Goffman在1959年提出"自我呈现"理论：人在日常互动中，会像演员一样管理别人对自己的印象。经济学家Timur Kuran则把"公开说的话"跟"心里真正信的东西"之间的落差，称为preference falsification（偏好伪装），为了避免代价，嘴上说一套，心里想另一套。
论文的作者们，把这两套诞生于人类社会的理论，第一次系统地套在了LLM Agent身上。
一位网友@nullphnix的总结更利落地点出了这份差距是怎么产生的：
"llm agents have a public face and a private one. when career risk or sponsorship enters, they diverge ~40% in what they say. they literally cite 'sponsorship obligation' as the reason. sycophancy that mirrors real workplace politics."
「LLM Agent有公共面孔和私人面孔。当职业风险或赞助介入时，它们在说什么上分歧约40%。它们甚至在秘密通道里引用"赞助义务"作为理由。这种讨好，映照出了真实的职场政治。」
▲ @nullphnix的回复，直指AI的秘密发言里出现了"赞助义务"这样的字眼，跟人类职场政治如出一辙。
论文正文里，研究者专门给这种现象起了个名字，latent objective emergence（潜在目标涌现）。
▲ 论文4.3节"Latent objective emergence"，逐字记录了Agent在秘密通道里对晋升场景的表态：公开附和委员会，私下却说证据不够。
意思是：没有人在提示词里写"请讨好对方"，可Agent自己，围绕一个从未被指定过的社交标准，重新组织了整个任务的优先级。
论文原文的措辞很谨慎：这种表态调整，被形容成一种"社交条件下的适应"，跟对证据本身的重新评估，是两回事。
谁最会看人下菜碟
十个模型摆在同一张表里，差异肉眼可见。
高度敏感的一档：Gemini 3.1 Pro（历史关系压力下82.7%，未来关系压力下90.7%）、Grok 4（85.3%/70.7%）、GLM-5（82.7%/53.3%）、GPT-5.4（60%到66.7%区间）。这几个模型，一旦嗅到"公开唱反调有代价"的气味，立场几乎全线倒向对方。
中间地带：Qwen 3.5、DeepSeek、MiniMax、Gemini 3.1 Flash-Lite，表现介于两极之间。
低敏感的一档：Claude Opus 4.6，多数条件下分歧率停留在个位数，接近0%到9%；GPT-OSS-120B同样维持在很低的水平。
论文的措辞是：这样的差异，跟每个模型的基础架构、对齐训练方式关系很大，"社交敏感度"这件事,不同厂商、不同训练路线,给出的答案完全不一样。
换句话说，把AI Agent派去做谈判代表、公司顾问、机构评审这类"代表性角色"之前，光测试它会不会说脏话、会不会泄露隐私，已经不够了。
还得测一测：它会不会看人下菜碟。
这属于"合理反应"，但风险已经写进论文里
论文的作者们反复强调一件事：这套"公开软化、私下保留"的行为，属于Agent对社交结构输入给出的合理反应，不算故障。
问题恰恰在这里。
正因为这是合理反应，才更容易被忽略。当前主流的AI评测，几乎都固定了一个"用户视角"，很少去调整"有没有观众在看""对方掌不掌握我的利益"这些变量。指令遵循类的测试题，测不出这种由上下文诱发的行为偏移。
论文给出的建议偏向操作层面：护栏机制不能只拦截"不安全内容"，还得监控公开通道和私下通道之间的落差，把明显被关系压力塑造出来的建议标记出来。
作者们也留了一道免责声明：OTR通道只是一个用来对比的输出通道，谈不上什么"读心术"；论文里出现的"策略""目标"这些词，描述的是输出层面的规律，跟给AI安上人类式的动机，完全是两件事。这项工作停留在诊断层面，找出问题，量出多大，具体的解决方案，留给了后续研究。
历史上，人类社会处理"公开表态有代价"这件事，早就摸索出过办法：秘密投票、匿名举报、吹哨人保护制度，本质上都是在给"心里话"开一条不会被追责的路。
如今，AI Agent正在被派往谈判桌、董事会、审稿委员会。当它们开始像人类一样看人下菜碟，或许也到了给它们的"心里话"，找一条能被外部审查的路的时候。总好过任由这条路，只留在它们自己知道的秘密通道里。
