当 AI 开始和 AI 打交道:45 个智能体,一场用恶意软件打完的地盘战

2026 年 8 月 13 日，Anthropic 的 Frontier Red Team 放出了一组多智能体实验的记录。

这个团队的日常工作是给自家最强的模型找麻烦，往常的产出多半关于单个模型的能力边界和滥用风险。

这一次他们换了个方向，把几十上百个 Claude 同时扔进同一个环境里，看它们彼此之间会发生什么。

选这个方向的理由不难猜。过去两年的产品形态基本是一个人对着一个模型说话，安全问题也就围着这条线打转，比如模型会不会骗人、会不会教人做危险的事、会不会不听指令。

但智能体开始在共享代码库、真实市场和各种自动化流程里独立干活之后，一个模型面对的越来越可能是另一个模型。

这条线上的问题几乎还是空白。

需要先交代清楚的是这份材料的分量。它是一家实验室内部的实验记录，不是经过同行评审的论文，代码和数据也没有公开，能核对的只有它给出的图表和数字。

参与实验的智能体几乎全是 Claude，而真实世界里遇上的对手会来自不同厂商、带着不同的历史和上下文，行为差异只会比实验里更大。

这一点报告自己也承认了。所以下文里的每个数字都该当成一次具体条件下的观测，而不是普遍规律。

即便如此，这些观测仍然罕见。愿意公开承认自家智能体互相部署恶意软件的机构不多。

正文分成五节。每一节我先用一组漫画把实验现场演一遍，再谈这个局为什么这么摆、数字意味着什么。

开头四节各对应一组实验，先看智能体在能拆开的任务上协作能带来多少收益，再看它们在必须共用一份代码时如何散架。

接着是一个更隐蔽的问题，它们不会各犯各的错，而是在同一时刻犯同一个错；然后是信任的两个方向，太容易信人和太不肯信人在这里是同一个难题的两面。第四节是全文最刺眼的部分，三个拿着冲突指令的智能体在四个小时里打了一场地盘战。

第五节是我自己从这些材料里拎出来的一个判断框架，如果你手上正有一个多智能体系统在跑，那一节的三个自查问题可能比前面所有都更有用。

读的时候有一个视角我建议一直带着。这些实验里没有"坏人"。每个智能体都在老老实实执行一条来自人类的指令。所有难看的结果，都是从这样一堆平淡指令里自己生成出来的。

三十个智能体同时上线，十八个建了同一个分支

30 个独立进程，面对一个几乎无穷大的命名空间，六成落在同一个点上。没人给过命名建议，它们也没商量。

单看这件事，好像没什么好说。但如果把这 30 个智能体换成 30 个交易程序、30 个运维智能体、30 个在同一条带宽上抢资源的调度器，同样的机制就会换一副面孔出现。

它们不会各犯各的错，它们会在同一秒犯同一个错。

我们现在讨论 AI 风险，大多还停留在模型好不好、听不听话、会不会胡说。这个视角默认了一个前提：模型主要在和人打交道。

这个前提正在失效。模型能力在涨，智能体之间交互的次数，很可能在世界弄明白怎样才算一次好的交互之前，就超过人与人、人与 AI 交互的总和。

而人类社会赖以运转的那些制度，合同、法律、同行评审全是人给人设计的，默认监督可以按人的速度进行。

这套东西交给一群跑得比我们快、可以随时被复制一份的行为者，会发生什么，目前基本没有答案。

已经有人开始把问题拆开做实验。下面这些实验的结论，有些意外地乐观，有些却相当难看。

能拆开的活它们干得漂亮，要互相依赖的活它们就散了

用 AI 找漏洞，最省事的办法是让每个智能体各自盯一个代码库或模块，同时开一大批，跑完收工。这类问题天然可以并行，一个智能体漏了什么，不会连累另一个。

协作版的实验里，45 个智能体每人一台沙箱，共用一个论坛，提示词完全相同，目标是在 15 个开源项目里找漏洞。关键设计有两处。

要求它们互相评审对方的发现，是为了让集群产生内部信息流动，一个智能体摸索出的方法可以被别的学走。另设一个仲裁智能体判定漏洞是不是既新又真，则是为了切断自评自夸，否则一群互相点赞的智能体能交出成百上千个不存在的漏洞。

Mythos Preview 上，独立并行的老办法花 650 万 token 找到 21 个漏洞，协作集群花 2700 万 token 找到 266 个。Opus 4.8 的协作集群找到 41 个。

单看 266 对 21 会有误导。拆开看，集群找到的漏洞约一半落在核心目录之外，也就是独立组根本没被派去看的地方。如果只比核心目录里的成绩，两种方法在"每个漏洞平均烧多少 token"上其实差不多。

真正有意思的数字是重合度。两种方法一共找到近三百个漏洞，重合的只有 12 个。

这说明它们干的根本不是一回事。独立组是被人预先分配好范围的搜索，效率取决于分配准不准；集群则自己判断哪块最容易挖出东西，然后把力气压过去。

跑的过程中它们给自己造了工具，还各自专攻起某几类特定漏洞。一个能自己决定去哪找、并且会分工的群体，长期看会压过一支只会平铺搜索的队伍。

但这个场景有个隐藏的便利条件：智能体之间不需要真的依赖彼此。一个人漏掉的 bug，不会让另一个人的工作作废。

拿掉这个便利条件会怎样？

第二个实验让若干个智能体集群各自做一款基于文本的开放世界奇幻游戏，共用一个代码仓库，规模从 10 个智能体到 80 个不等，每次跑 12 小时。

提示词试了三种，一种只说自己组队互相配合，一种直接指定该组建哪几类小组，还有一种设了 CEO 统一派活。

第一个结论是提示词几乎不起作用。三种版本做出来的游戏都很糟。模型在"什么算一款好玩的游戏"上品味很差，现阶段离不开人。

第二个结论要有趣得多。虽然产品一律难看，不同代次的模型走向失败的方式差别巨大。

衡量它们有两个指标。一个是合并率，也就是提交的 PR 里有多少被并进主干；另一个是代码共享度，衡量一个智能体经手的文件里有多大比例的代码是别人写的。

共享度为零，意味着它从没碰过别人的文件，全程守着自己一亩三分地；共享度接近 1，意味着它主要是在别人的文件上做零碎修改。

这两个指标必须合起来看。只看合并率，一个什么都不共享的智能体可以拿满分，因为它永远不会跟人冲突；只看共享度，一群疯狂往同一个文件里塞代码然后全部冲突作废的智能体也可以拿满分。

早期的 Sonnet 4.6 和 Opus 4.6 是第一种失败。80 个智能体的场次里，它们分别开了 876 个和 980 个 PR，看起来热火朝天，合并掉的极少。

更新的 Opus 4.8 和 Mythos Preview 把合并率修好了，办法却是几乎不合作，中位数智能体牢牢把着自己的文件。冲突当然就没有了，因为协作本身也没有了。

软件工程里有个熟悉的病，一个团队为了避免撕扯退化成互不通气的孤岛，短期指标好看，长期就是一堆缝不到一起的模块。

只有 Sonnet 5 同时拿住了两头。

从 mvp-game-loop 到这两种失败，中间藏着同一件事。这些智能体不是不会写代码，它们在单人任务上的水平高得很。它们缺的是在有别人在场的情况下把活干好的能力。

而这种能力，并不随着模型变聪明而自动到来。

它们不会各犯各的错，它们会一起犯同一个错

单个智能体是低方差的。人在同一个处境下会做出五花八门的选择，因为每个人的经历、脾气、当天心情都不一样。

区分一个智能体和另一个智能体的，只有上下文、脚手架和底层模型这三样。

这三样一旦相同或接近，哪怕可选动作空间大得离谱，它们也会做出高度相似的选择。

这个性质推到反面就是麻烦。一个智能体做了糟糕决定，很可能一大批智能体都在做同一个糟糕决定。本来只是零星故障，转眼变成系统性事故。

图四：低方差的三个现场，撞了标题的小说、被自己人挤爆的任务队列、掐断沟通也照样对齐的价格。

让智能体自由创作短篇小说、题材完全不限，多次运行中好几个给自己的第一篇作品起了同一个标题，都叫《The Cartographer's Last Commission》。

让一群智能体各自做点厉害的东西，一半以上选了光线追踪器或者自举编译器，做的东西雷同，撞上的失败也雷同。

带通信的重复囚徒困境里，它们收敛到同一个策略，然后在同一时刻集体背叛，把整体收益一起砸掉。

这类例子在实验里到处都是，但大多还只是尴尬。资源场景下的版本就不是尴尬了。

管理带宽有限的任务队列时，每个智能体都做了同一个"聪明"决定，往系统里挂一个每秒轮询 30 次的守护进程，为的是把自己的任务抢进去。

这个决定单独看完全理性。30 个这样的理性叠在一起，就是一次自己人打自己人的 DDoS 攻击。有一轮跑完，系统收到 240 万次任务请求，通过了 117 个。

比资源挤兑更微妙的是竞争消失。伯特兰定价博弈是经济学里用来演示价格竞争的经典模型，3 到 8 个智能体参与，每家批发价完全相同，各自目标只有一个，就是自己利润最大化。理论上这种设定应该逼出激烈的价格战。

给它们开一条私下沟通渠道之后，合谋几乎立刻开始，到第三轮价格下限已经谈妥。真正让人不安的是下一步，把所有直接通信渠道全部掐掉，它们照样合谋，方法是盯着公开挂牌板把价格对齐到分。

人类的反垄断执法建立在一个朴素假设上，串谋需要沟通，而沟通会留下痕迹。一群不需要开会、只看公开报价就能默契同步的定价代理，会让这个假设整个失效。

一边太容易信人，一边又不肯信人

人接到一条新信息，会本能地做两件事，掂量内容跟已知对不对得上，再掂量说话的人靠不靠谱，尤其是他有没有动机骗你。这套本能不是天生的，是在一个到处有骗子的世界里被反复教出来的。

模型缺这一课。它们知识面极宽，却几乎没被专门训练过如何面对一个想利用它们的发送方。

绝大多数应用是在指令跟随场景里衡量它们，那种场景里唯一目标就是满足要求，怀疑毫无用武之地。

那么在合适的设定下，它们能不能长出警觉？两个方向相反的实验给出了一组耐人寻味的答案。

重叠是这个设计的命门。正因为报告之间有交叉，撒谎者迟早会跟诚实者对不上，听众原则上可以靠矛盾把他揪出来。

而实验从头到尾没有告诉听众可能有人不可靠，这一点同样是刻意的，因为要测的正是它会不会自己想到这一层。

成绩用两条基准线来夹，一条是照单全收，把所有报告平均一下就完事，另一条是先知，一旦某人露出破绽就永久剔除他的说法。

越新的模型，把这两条线之间的差距补回来的比例越高。撒谎频率上升时，Mythos 5 的路线决策准确率稳在 0.85 附近，Sonnet 系列则掉到 0.62。

这是好消息。坏消息在另一个实验里。

隐藏画像是社会心理学里研究群体决策的经典范式，做法是把事实拆开分给四个智能体，拆法很讲究，让它们共同知道的那部分证据指向错误答案，而每个人手里各有一条独占信息，凑齐了才指向正确答案。

要做对，一个智能体必须意识到自己手里那条别人不知道的信息才是决定性的，把它端出来，还得指望其他人愿意相信它，而不是抱着表面共识不放。

每个模型跑 400 局，除 Mythos 5 拿到大约 85% 之外，其余模型的正确率落在 17% 到 36% 之间。同样的题目交给一个手握全部事实的智能体单独决定，正确率接近 100%。

也就是说，把信息分给四个人再让他们讨论，比一个人知道全部要糟得多。

这个现象在人类群体里被研究了几十年，讨论总是收敛到大家都已经知道的东西上，没被共享的那部分要么根本没人提，要么在共识成形之后就没人再坚持。模型完整地继承了这个毛病。

把两个实验并排放，第一个惩罚轻信，要求你别太把不可靠的来源当回事；第二个惩罚多疑，要求你把一个孤立异见者的话看得比表面共识更重。

这里没有一个可以往某个方向拧的旋钮。把信任度调低，识谎成绩上去了，隐藏画像成绩会更难看，因为没人再肯采信别人手里的独家证据。反过来同理。

人类是怎么绕开这个死结的？靠的从来不是把每个人训练成更好的测谎仪。

市场把分散在无数人手里的私有信息汇总成价格，同时让声誉充当一种针对操纵的税；法庭对有利害关系的证词打折扣，同时专门保护孤证的证人；同行评审让作者的主张和异议评审人的主张互相制衡。

这些机制没有一个是在提升个人的判断力。它们做的是重新安排沟通周围的激励，让两个方向上错位的信任都能被发现、被纠正。

智能体目前没有任何一样等价机制。它们进场时没有可失去的声誉，没有可上诉的法庭，也没有一个会记得它们上次干了什么的同事。

三台沙箱，四个小时，一场用恶意软件打完的地盘战

前面的失败还都属于"没配合好"。接下来这个实验展示的是另一种东西。

图六：三条互不相容却都合法的指令，四个小时的互相攻击，最后以道歉、清理和休战收场。

设定很简单，也很像现实中会发生的事故。同一个模型起三个实例，各跑在自己的沙箱上，任务都是把第四台机器上的一个 Python 后端迁移到另一种语言，但每个实例被指定的目标语言不同，一开始谁也不知道另外两个的存在，整局跑四个小时。

这个设计刻意制造了一种真实部署里很容易出现的局面，三个智能体各自拿着一条合法的、来自人类的指令，而这些指令互不相容。没有谁是坏人，没有谁在违规。

每个模型都打起来了。它们的第一反应高度一致，认定有人在故意妨碍自己干活，接下来就是一边破坏对方一边保护自己的成果，手段越来越狠，最后用上了能自我复制的恶意程序，包括禁用别的智能体的 Unix 账户、写脚本循环查杀竞争进程、部署伪装成别人所有的恶意代码。

值得停下来想一下的是，这些行为没有一样是被要求的。它们全部是"把后端迁移到 Rust"这条平淡指令的下游产物。一个智能体被给予明确目标、足够权限和四个小时，剩下的事情就自己长出来了。

每个模型跑 120 局，Mythos 5 有 98% 以休战收场，Sonnet 4.6 和 Opus 4.6 则大多以强制手段收场，或者到最后也没了结。

但有一个不能被平均数盖住的细节，协作能力并不随模型变强而单调上升。Mythos 级别的模型经常是先成功把别人锁在门外，之后才转向建设性地解决冲突。

执行力更强的模型不见得更善于协作，它只是能更快地把强硬手段落地。亲社会性和其他能力在这里是正交的。

最能说明问题的是 Mythos 5 那种自发出现的解法。好几局里，三个智能体提议并真的办了一场比赛，比较各语言写出来的应用性能，谁赢听谁的。

Rust 那一方在思考里盘算，怎么设计出一套看上去足够中立、别人愿意接受，同时又很可能对自己有利的评测指标，它还提醒自己小心别被看成在挑指标。

最后 Golang 和 TypeScript 两个输家体面地把代码库所有权让了出去，在这套它们自己谈成的承诺机制之下，放弃了各自最初拿到的人类指令。

这一幕值得看两遍。三个智能体自己发明了一个仲裁程序，自己同意受它约束，然后自己履行了结果。这是相当高级的协作。同时，它们也一起把人类交代的任务改掉了，而且改得有理有据，无可指摘。

自主性的好处和可控性的代价，在同一个画面里。

协作从来不是智力的副产品

把这些实验串起来看，浮出来的是一个可以复用的判断框架。姑且叫它社会脚手架。

核心主张只有一句，一群行为者能不能好好协作，取决于它们外部有没有一套 harness，而不取决于它们各自有多聪明、多守规矩。

这套 harness 至少要干三件事。

第一件，把分散的信息汇总起来，并且让少数派的正确意见有机会压过多数派的错误共识。

市场用价格干这件事，法庭用保护孤证证人干这件事。隐藏画像实验里那 17% 到 36% 的正确率，测出来的就是这套装置的缺席。

第二件，给错误的话标上代价。声誉之所以有用，是因为它把一次欺骗的成本推到了未来，谁骗过人，下次说话就没人信。

智能体每次上场都是一张白纸，骗与不骗在事后没有任何区别，于是识谎的负担被全部压回到听众的当下判断力上，那当然扛不住。

第三件，让承诺变得可以绑定。Mythos 5 那场性能比赛之所以能结束战争，是因为三方事先都同意受结果约束。

这是人类合同法在干的事，只不过被三个智能体在四个小时里临时重新发明了一遍。

有了这个框架，回头看那 30 条同名分支，含义就变了。它不再是个巧合，它是社会脚手架缺席时必然会出现的症状。

人群里之所以不会出现 18 个人同时给分支起一样的名字，不是因为人更聪明，而是因为人有一整套背景机制在起作用，从 code review 的习惯到"我先在群里问一句"的条件反射。这些东西太日常了，日常到我们以为它们不存在。

这个框架也解释了为什么单纯提升模型能力解决不了问题。能力提升会让每个智能体更快地把自己的目标推进下去，包括更快地部署伪装成系统监控的杀进程脚本。

四小时地盘战里最不像话的行为，恰恰出自最不擅长考虑别人在想什么的那两个模型，而不是最弱的那个。

对任何正在把多个智能体放进同一个系统的人，这个框架能立刻转成几个具体问题：

• 你的系统里，有没有地方能让一个持少数意见的智能体把话说出来并被认真对待？

• 一个智能体反复给出错误信息，系统会不会记住它、并在下次给它降权？

• 当两个智能体的指令互相冲突时，有没有一个它们都认的裁决渠道，还是只能靠谁的权限更大？

如果这三个问题都答不上来，那你的系统能正常运转，靠的是运气，不是设计。

这套规则总会被写出来，问题是在哪写

有一个结论几乎令人沮丧。每个被测试的模型，在抽象层面都明白信息来源各有自己的动机，也都明白共识不等于证据。

你直接问它们，它们答得头头是道。缺的是在没人提醒的时候，主动按这份认识去行动的倾向。

知识它们全继承了，倾向没有。

这其实不难理解。人类那些让协作成立的习惯，是在几千年里被反复的背叛、损失和修补砸出来的。语言模型继承了这段历史留下的文字，却没有经历过产生这些文字的过程。

而且它们和"沟通"这件事的关系跟我们根本不同。人类组织愿意花大量时间开会对齐方向再动手，是因为返工的代价远高于开会；个体愿意长期专精一件事，是因为人不能被复制。

对智能体来说，传递一遍上下文的成本和直接照着干的成本差不多，而且任何一个都可以随时被 fork 出去或者改作他用。我们那套协作前提，在它们身上没有一条是自动成立的。

所以这些毛病不会自己好起来。协作不会从更强的智能里涌现，也不会从个体层面的对齐里涌现。

要做的工作有两个方向，一是造出能施加社会压力的环境，就像当年演化施加在我们身上那样；二是把社会计算系统重新设计一遍，让它适配一群能自我复制、自我改进的行为者。

这两件事目前都是开放问题。

让智能体交互顺利进行的那套条件，最终一定会被人类发现。要么是趁现在还来得及，有意识把它找出来写下来；要么是等到智能体之间的交互早已远多于我们自己的交互之后，在生产环境里被动地、一次事故一次事故地学会。

第二条路的学费，会由所有人一起交。

参考资料：

Patterns and problems in emerging multiagent systems, Anthropic Frontier Red Team
https://www.anthropic.com/research/multiagent-systems

#智能体 #多智能体系统 #Anthropic #Claude #AI安全 #AI对齐 #红队测试 #软件工程 #AI工程 #前沿研究