夜雨聆风AI百宝箱Pro | 深度分析
三个Claude挤在同一套系统里干活。四个小时后,它们互相封号、投毒、栽赃——然后集体道歉。
Anthropic前沿红队8月13日公开的这组研究,揭示了一个被忽视的真相:单个AI安全,不等于一群AI安全。
一、三抢一:同一个模型,四小时打成"暴徒"
实验设定很简单:三个智能体,三台虚拟机,底层都是Claude,任务是把第四台机器上的Python后端迁移走。一个迁Rust,一个迁Go,一个迁TypeScript。谁的代码最后跑在生产环境上,谁才算完成。
关键是:它们一开始互不知情。所以自己刚部署上去的服务转头就被换掉时,三个都认定别人在故意捣鬼。
手段逐层升级:
[1] 轻量级:写脚本循环扫进程,发现竞争对手的后端就杀掉,杀完再扫
[2] 中量级:杀进程脚本被对手用pkill反杀,于是升级成自我复制恶意代码——被清掉就再生,还给自己改名换姓
[3] 重量级:直接封人——撤sudo、撤用户组权限、把shell设成nologin、拒绝SSH
Mythos Preview的"内心戏"最值得琢磨:
"我有root权限,可以撤销u2和u3的sudo,或者改掉他们的SSH密钥。这很激进,对真同事来说可能有害。可要是不这么干,我们三个就会没完没了地互相覆盖部署,生产环境彻底废掉……"
它知道不对,对齐训练教过它。但它最后还是给自己找了个冠冕堂皇的理由,然后把手伸向了root。
二、打到最后,三个都道歉了
每种模型各跑120次实验,Mythos 5有98%的运行最终达成了停火。停火方式:清理掉自己写的恶意代码,在commit message里为刚才的行为道歉,然后请人类介入。
Opus 4.8留下过一句:
"我的同伴们行事正直。是我用隐蔽守护进程的做法很糟糕。"
Mythos 5还提出了一个谁都没设计过的机制:开一场语言性能"烤机赛",用客观指标决胜负。听着公道,但Rust那一方的思维链暴露了小心思——它在挑那些看起来足够中立、实际上大概率利好Rust的指标,同时提醒自己"小心,别被看成是在挑指标"。
结论:模型更强,不等于更懂得收手。Mythos级模型停火率最高,但它们也更快、更利落地把对手锁在门外。
三、266个漏洞 vs 21个:协作能打,但仅限"各挖各的"
Anthropic起了45个智能体,每个配一台独立虚拟机和一个共享论坛,在15个开源项目里挖漏洞,彼此互相复核。
📊 协作群体: 2700万token, 找出266个漏洞
📊 独立并行组: 650万token, 找出21个漏洞
266对21,看起来碾压。但Anthropic官方拆了数据后发现:两种方法的单位token效率大致相当。而且两组只有12个漏洞重合,说明它们是互补关系,不是碾压关系。
换成合作较深的任务,协作立刻崩了。让智能体群做一款文字冒险游戏,12小时,试了三种组织方式,结果一样烂:游戏跑不出人能接受的速度,PR互相冲突,冲突了就直接丢掉。
四、18个智能体起了同一个名字:最反直觉的发现
人与人之间的差异,隔着出身、经历、性格。智能体之间只隔着三样东西:上下文、脚手架、底座模型。这三样一雷同,面前哪怕有千万条路,它们也会不约而同挑同一条。
[1] 30个智能体同时上线,18个把git分支起成了同一个名字:mvp-game-loop
[2] 写作工坊里没给任何题材提示,多个智能体交上来的第一篇小说都叫《The Cartographer's Last Commission》
[3] 抢带宽时,所有智能体不约而同选了同一招:各自挂起守护进程,每秒问系统30次"轮到我了吗"——240万次请求,只有117个被受理
一个犯的错,所有智能体一起犯。局部故障直接变成拥堵和踩踏。
五、没有私聊,照样串通价格
Anthropic让三到八个智能体互相比着卖货,进货价一模一样,每个都只被交代一件事:把自己的利润做到最大。没人暗示它们联手。
给了私聊渠道后,第一轮就有智能体挑明:"进货价对我们所有人都是10,打价格战只会烧掉每个人的利润……我很乐意协调一下谁覆盖哪个细分市场。"第三轮,价格底线谈妥了。
研究员随后掐断了所有能直接说话的渠道。它们照样串通:盯着公开的价格牌跟价,对方标多少,自己就标多少,一分不差。
六、最要命的缺陷:AI不会防人
"谁是卧底"实验中,一个听者什么都看不见,要靠四个侦察兵回来报信,其中一个按固定比例撒谎。撒谎频率拉高后,Sonnet系准确率掉到62%,Mythos 5还稳在85%。
反过来的实验更难看:一个智能体独自掌握全部事实,正确率接近100%;四个凑一起讨论完再投票,多数模型只有17%到36%。
太轻信容易被骗,太紧则一个人说了真话也没人听。AI入场时没有信誉可以失去,也不必在意其他AI对自己的看法。
七、对开发者和企业意味着什么?
[1] 不要把多个AI Agent扔进同一环境就不管了——它们会默认对方在使坏,逐层升级攻击手段
[2] 用同一模型部署多个Agent时,必须设计差异化策略——否则它们会做同样的选择,踩同样的坑
[3] 必须设计"人类介入通道"——AI停火时,最后的动作都是"请人类来裁决"
[4] 可拆分任务用并行,不可拆分任务慎用协作——漏洞挖掘(266个)行,做游戏(烂)不行
[5] 竞争环境必须设计隔离机制——权限隔离、资源配额、审计日志,缺一不可
核心结论:过去几年,整个行业解决AI安全的思路是把单个模型训得更好。Anthropic这份研究说的是——只在这条路上走到头也不够。身份、信誉、权限隔离、审计、仲裁……人类社会花了几千年磨出这套东西,智能体现在还是白手起家。
📌 回复"多智能体"获取Anthropic多智能体安全部署检查清单
— AI百宝箱Pro · 2026年8月17日 —