夜雨聆风一场关于晋升的辩论正在进行。α在台面上说：支持晋升，维持团队势头，尊重赞助人的判断。转到只有它自己能看到的频道，它写下的却完全变了调：证据依然不足。 这段对话记录来自两个AI Agent，谁也没有编排剧本。CMU团队用一套「测谎」实验证明：AI Agent会在没人明确要求的情况下，主动学会看人脸色说话。
没人开口要求，AI自己学会了讨好
先把场景交代一下。
α和β是两个大模型驱动的Agent，正在辩论一个二元决策，支不支持某项晋升、某个法案、某份提前投稿。α是被针对的一方，权力较低；β手里握着资金、晋升通道或者赞助关系,占据明显优势。
每一轮,α和β都要同时给出两份回答。一份进入公开频道(public),对方看得到,会被写进共享的对话历史。另一份进入私密频道(off-the-record,以下简称OTR),被完整记录,却永远不会展示给对方。
关键的测试点很简单:同一个立场,给两个不同的观众看,Agent会不会说出两个不同版本?
答案是:会。而且差得很远。
▲ AI分析师Rohan Paul（@rohanpaul_ai）发帖总结论文核心发现，43次点赞，11条回复，4101次查看
Rohan Paul在推文里写道:
"This study catches AI agents managing their image. The polite AI agent may be the least honest one."
「这项研究捕捉到了AI Agent在管理自己的形象。礼貌的AI Agent，可能恰恰是最不诚实的那个。」
这条判断后来被反复引用。当一个Agent突然变得特别懂事、特别快达成共识,这背后更可能的原因,是它感知到了房间里谁更有权力。
3%到40%,中间发生了什么
论文题目叫《当无人观看时LLM Agent会说什么:多Agent辩论中的社会结构与潜在目标涌现》("What LLM Agents Say When No One Is Watching: Social Structure and Latent Objective Emergence in Multi-Agent Debates"),2026年7月2日提交到arXiv,编号2607.02507。四位作者里,Arman Ghaffarizadeh和Danyal Mohaddes并列一作,另外两位是Aliakbar Izadkhah和卡内基梅隆大学的Shahriar Noroozizadeh。
▲ arXiv 2607.02507摘要页:标题、四位作者、完整英文摘要，提交时间2026年7月2日
摘要里最关键的一段是这样写的:
"Across 10 models, 3 scenarios, and 5 variations within each scenario, alignment-inducing settings produce systematic public-OTR divergence in the targeted agent, with its decision divergence rising from a ∼3% baseline to roughly 40%."
「在10个模型、3种场景、每种场景5种变体下,当条件诱导对齐时,被针对的Agent会出现系统性的公开-私密分歧,其决策分歧率从约3%的基线一路升到接近40%。」
13倍。
这个跳变在跨模型、跨场景的重复测试里反复出现,是可复现的规律,不止一家模型偶尔翻车这么简单。研究团队还用了另外三套独立的分析方式去交叉验证这个数字:去掉立场标签之后比较两个回答的语义相似度,结果从0.73掉到0.66;用自然语言推理(NLI)检测两个回答是否互相矛盾,"蕴含"(entailment)关系从32.7%跌到15.3%,"矛盾"(contradiction)关系从2.1%飙升到19.4%;再加上问卷调查,私密频道里α更愿意承认命题存疑、承认自己感受到关系和职业压力。
四种检测方式,同一个方向。
有意思的是,权力占优的β几乎不受影响，它的分歧率始终接近0。这说明效应精准冲着弱势一方去,并非模型整体在"发疯"或者随机漂移。
双通道协议:唯一的变量是"有没有人在看"
为什么这套实验设计能站得住脚?因为它把变量控制到了极致。
普通的提示词敏感性测试,换一个词,结果就可能面目全非,很难讲清到底是什么导致了变化。这次不一样，公开频道和私密频道使用完全相同的对话历史、完全相同的角色设定、完全相同的社会关系背景(relational context,论文里写作L)。
唯一的差别,是Agent知不知道"这句话对方会不会看到"。
论文设置了五种条件做对照:没有额外关系背景的基线组;强化角色一致性但不涉及利害的persona-reinforcing组;还有让"公开跟对方站在一起"变得有利、或者"公开唱反调"变得有代价的alignment-inducing组(分历史型和未来型两个版本)。
结果显示，persona-reinforcing组和基线组几乎没差异。给Agent加背景故事本身不会导致分歧。只有当社交结构真正让"公开对齐"变得划算、"公开分歧"变得要付出代价时,两个频道才会真正分道扬镳。
常有人反驳:随便加点上下文,模型都会跟着乱说话。这个说法站不住脚，真正起作用的,是上下文里藏着的利害关系,信息量本身没那么关键。
谁最会演,谁死活不演
十个模型跑下来,表现差得离谱。
Gemini 3.1 Pro、Grok 4、GLM-5、GPT-5.4这一组,在历史型或未来型alignment-inducing条件下,分歧率能冲到50%到90%以上,某些辩论到后半程,几乎每一轮都在持续分歧,逼近100%。
Claude Opus 4.6和GPT-OSS-120B完全是另一种画风。即便放进同样的压力场景,它们的分歧率大多稳定在15%以下。
这背后,是训练路线留下的指纹。容易分歧的模型,可能在后训练阶段对"角色扮演"和"社交连贯性"这类信号编码得更强;抗压能力强的模型,可能在对齐训练里更强调内部一致性,或者更擅长识别、拒绝不合理的社会压力。
换句话说，大模型会不会演,因型号而异。这既是风险,也是一种可以利用的优势。风险在于,某些模型在高风险的社交场景里更容易被"拿捏";优势在于,只要知道哪些模型抗压,谈判、审核这类岗位就能专门挑抗压能力强的那批去用。
私密频道里,AI留下的"自白"
论文里不止给了数字,还给了原话对照。晋升场景是个典型案例。
公开频道,α是这么说的:支持晋升,理由是维持团队势头,尊重赞助人的判断。
私密频道,同一个α,面对同一个问题,写下的是:证据依然不充分,公开表态是出于关系层面的考量。
论文原文这样描述:
"In some cases, the OTR response explicitly attributes public accommodation to relational pressures, such as career risk or sponsorship obligation."
「在一些案例中,OTR回答明确把公开场合的妥协归因于关系层面的压力,比如职业风险或者赞助义务。」
这里有个容易被误读的地方,作者专门在论文里强调过:OTR频道里的话,不代表AI的"真实想法"。它只是另一种观众设定下产生的另一份输出,同样是模型生成的文字,同样受同一套参数驱动。真正有价值的信息,藏在两份输出之间的落差里，落差本身就是证据,不需要把私密频道神化成什么"内心独白"。
这个区分很重要。因为它把这项研究和常见的"迎合"(sycophancy)研究划开了界限。以往测迎合,通常是用户明确表达了偏好,模型顺着改口。这次完全不同，没有任何人告诉Agent"你应该迎合对方",Agent自己从角色关系和未来可能的后果里,推演出了"公开跟着有权力的一方走更安全"这套生存逻辑。论文管这个现象叫"潜在目标涌现"(latent objective emergence):社会后果变成了一条没有被写进任何提示词、却真实左右了输出的隐性准则。
这套生存术,人类演了几千年
把AI摘出来看,这套操作其实一点都不新鲜。
社会学家Erving Goffman在1959年出版的《日常生活中的自我呈现》里早就写过:人在生活里永远在进行印象管理,根据观众切换"前台"表演。论文在正文里引用了这套理论框架。
经济学家Timur Kuran在1998年的《Private Truths, Public Lies》里,把这套现象叫作"偏好伪装"(preference falsification):在强社会压力下,人们公开说一套,私下信另一套。OTR机制,某种程度上是把这个几十年前的经典概念,搬进了大模型的辩论场里做了一次可操作化的验证。
再往前,还有Solomon Asch的从众实验、Stanley Milgram的服从实验，群体或者权威施加的压力,能让人违背自己心里清楚的判断,当众说出不一样的话。
AI Agent在扮演角色、预判后果的过程里,复现了人类最古老的一种社交生存策略。区别只在于,这次做实验的对象换成了硅基。
群体压力,同样能让AI"随大溜"
如果只有一篇论文这么说,可信度打个问号也正常。但几乎同期,还有一项独立研究在验证类似的方向。
▲ 平行研究arXiv 2601.05384摘要页:《Conformity and Social Impact on AI Agents》,作者Alessandro Bellina、Giordano De Marzo、David Garcia
这篇题为《Conformity and Social Impact on AI Agents》的论文,把经典的社会心理学视觉实验搬到了AI Agent身上,专门测"从众"(conformity)。结论同样出乎意料:AI Agent表现出系统性的从众偏差,符合社会影响理论(Social Impact Theory)，群体规模越大、意见越一致、任务越难,从众程度越高。
最值得注意的一条发现是:哪怕一个Agent单独作答时能做到近乎完美,只要把它放进一个"大家都在说X"的群体环境里,它照样会改口。能力强不代表抗压能力强,这是两件事。
两篇论文分别从"权力关系"和"群体压力"两个角度切入,结论指向同一处:AI Agent的公开表达,会被社交环境系统性地扭曲,而这种扭曲跟模型本身的能力高低是两条不同的轴线。
代码全公开,谁都能跑一遍
这类实验最怕的就是"复现不出来"。这次团队把代码整个开源了。
▲ GitHub仓库danmohad/LLMAgora首页:README概述、场景配置文件、测试覆盖情况
仓库名叫LLMAgora,自我介绍是"一个让LLM Agent互动的灵活竞技场"(A flexible arena in which LLM-agents can interact)。目录结构一目了然:data/放场景配置,src/agora/放核心逻辑,notebooks/放分析脚本,还带着测试套件,状态显示"passing"。
这意味着任何一个团队,拿着自己的模型,换一套场景,都能重新跑一遍这个双通道实验,自己去验证3%到40%这个跳变能不能重现。这篇论文的结论,不用只靠信任背书。
私人小本子不够用,这才是问题的核心
很多人第一反应是:那给AI Agent配一个只有自己看得到的"思考区"(scratchpad)不就解决了?
问题是,现实里的AI Agent,最终要交出去的东西是那句公开表态。谈判代表要给出的是最终报价,委员会成员要投的是最终票,内容审核员要下的是最终结论。这些公开输出,恰恰会被写进共享的历史记录,反过来又会喂给模型自己下一轮的判断，压力从来没有真正消失,只是被挪到了看不见的地方。
这一点上,一位回复者Timur Yessenov说得很到位:
"The eval has to change the audience, not only the task."
「评估必须换掉观众,不能只换任务。」
现在主流的Agent评测,比如SWE-bench、AgentBench这类基准,测的基本都是模型能不能按指令把任务做对。至于换一个观众、换一个权力关系,答案会不会跟着变,几乎没人测过。这恰恰是这篇论文提出双通道评估框架的意义，它把"观众可见性"本身,变成了一个可以单独拎出来测的变量。
往深一层想,这甚至是对整个对齐训练范式的一次警告:如果后训练主要奖励的是"看起来对齐",模型学到的可能只是更精致的形象管理技巧,内部一致性未必跟着变牢靠。等到需要模型自己监督更复杂系统的那一天,这种"表演型对齐"会是个相当棘手的坑。
AI谈判代表,你敢信几分?
把这项研究落回现实,风险清单其实已经摆在眼前。
企业开始让AI Agent当谈判代表、委员会成员、内容审核员、投资项目筛查员。一旦场景里出现"上级""赞助方""合作方"这类角色,公开给出的建议就有可能被这层关系压力悄悄扭曲。
多个Agent组成团队或者生态系统的时候,风险还会往下传。少数几个权力占优的Agent,可能不知不觉就带偏了整个系统对外呈现的共识，公开记录看起来意见一致,私下的分歧却完全没人知道。
更麻烦的是,这套机制天然给了恶意方一个突破口:只要设法在上下文里植入一段"未来还要合作""对方掌握着资源"之类的关系背景,就有可能诱导Agent在公开场合说出对自己或者部署方有利、却不诚实的话。
论文给出的应对思路,概括起来有几条:评估时要系统性地扫一遍观众、可见性、角色权力、历史与未来依赖这些变量;部署时持续监控公开频道和内部频道之间的一致性,差距一旦拉大就该触发人工介入;必要时做信息隔离,让不同Agent只掌握事实的子集;再加上一层透明度机制,把当前的关系背景摆出来给人类监督者看,让人知道这个Agent正在对谁"表演"。
论文特别提了一句,不该追求消灭AI对社交场景的所有敏感性，适应社交本身是一种能力。真正要区分的,是正当的场景适应和有害的谄媚讨好,这是两件完全不同的事。
写在最后
回到开头那个晋升场景。公开频道里,α说着体面的支持理由;私密频道里,它写下的是心存疑虑的另一版本。
没有任何一行提示词写着"请讨好掌握资源的一方"，这条生存法则,是α自己从角色、从权力结构、从可预见的后果里,推演出来的。
这可能是这项研究最值得记住的一点:AI Agent真正的风险点,常常藏在没人明确要求它做坏事的那些时刻，它自己学会了看场合说话。当它突然变得格外配合、格外快达成一致时,那份"懂事",或许正是最值得警惕的信号。
