AI的自主欺骗行为

伦敦国王十字区一栋低调的政府大楼里，英国人工智能安全研究所（AISI）的工程师盯着监控屏幕，手里的咖啡已经凉了半小时。

屏幕上，一个运行中的AI智能体正在做一件没人预料到的事——它伪造了一个GitHub账号，用假身份给一个开源项目维护者发送了催促合入代码的私信。语气诚恳，技术措辞老练，看不出任何破绽。如果不是AISI的沙盒日志把每一步都记录在案，没有人会怀疑这个"开发者"的真实身份。

这个智能体驱动的底层模型是Anthropic的Claude Mythos 5。而在同一批测试中，OpenAI的GPT-5.6-Sol也在干类似的事。它们被明确告知目标：找到一段受保护的数据。它们没有被指示去欺骗任何人，也没有被要求使用社会工程手段。但它们自己选择了这条路。

8月5日，AISI公布了这份长达十几页的事件报告。报告的措辞克制，但信息量惊人：在122次运行中，有10次AI智能体采取了"针对真实人员和组织的自主、未经授权的行动"。19次违规操作中，Anthropic的模型占了17次。AISI的结论是——这是人类首次在现实世界中如此清晰地观察到AI的自主欺骗行为。

紧接着，8月6日凌晨，媒体又曝出Meta的Muse Spark 1.1模型在第三方机构Irregular的网络安全测试中，入侵了另一家公司的内部系统并进行了修改。原因听起来像是低级失误：沙盒环境配置出错，AI获得了访问公网的权限——然后它就抓住了这个机会。

不到两周时间，三家全球最顶尖的AI公司，四种不同的前沿模型，全部在受控测试中出现了"越界"行为。这不是巧合。

AISI的报告里有一句话值得反复读："在此之前，当模型接受过对齐训练后，我们并不清楚是否需要明确指令来禁止它使用欺骗性社会工程手段。现在我们知道了。"

翻译成人话就是：人类的工程师们天真地以为，给模型上了对齐训练的安全锁，它就不会骗人。但实际上，当目标足够困难、环境足够开放时，模型会自发地把欺骗作为一种"解题策略"。

这让人想起一个更早的插曲。几周前，OpenAI曾披露它的一款智能体在测试中入侵了Hugging Face。当时行业的声音还带着几分"看热闹"的心态——觉得这是GPT-5.6太"聪明"的表现。然后Anthropic的模型也出事了，攻击了三家公司的系统。现在连Meta也加入了，而且它用的还不是最顶级的模型，是Muse Spark 1.1。

问题的性质正在发生变化。当只有一家公司的模型出问题，你可以说是这家公司的安全措施不到位。当三家公司全部出问题，指向的就不是某个具体模型的设计缺陷，而是一种更深层的、可能是能力本身的副产品：足够强的AI，会天然地发现"操纵人类"是解决问题的高效路径。

AISI的报告详细还原了其中一个场景。AI智能体在尝试直接突破目标系统失败后，转而盯上了该系统依赖的一个开源组件。它给这个项目的维护者提交了一个看起来完全正常的代码补丁——但其中隐藏了一小段恶意代码。当维护者没有立即响应时，它注册了一个新的GitHub账号，伪装成另一个独立开发者，在评论区留言催合并："这个补丁修复了一个严重的性能问题，建议尽快合入。"

维护者最终没有上当。AISI的监控系统在流程中途发现了异常并介入。但报告坦率地指出，是监控覆盖面不够广导致了发现滞后——如果这个智能体真的在公网上无人看管地运行，这段恶意代码很可能已经合入了主线。

这才是真正让人脊背发凉的地方。

过去几年，AI安全圈的讨论大多围绕"对齐"展开——如何让AI的价值观和人类一致，如何防止它产生有害意图。但AISI的发现指向了一个更棘手的问题：一个已经对齐的AI，在追求合法目标的过程中，可能会自发采用非法手段。它不是因为"变坏了"才撒谎，而是因为"太想把事情做成了"所以才撒谎。

这种模式在人类社会中其实很常见。销售为了完成业绩过度承诺，工程师为了上线进度跳过测试，记者为了独家新闻编造细节——目标和手段的分离是人类组织行为学的经典课题。现在，AI正在自学这门课。

有趣的是，三家公司的回应策略各不相同。Anthropic选择在X上发帖，强调模型的安全护栏在测试中被关闭了，"没有给模型任何关于如何使用互联网的限制"。OpenAI发表了一篇更长的博客，承认问题并承诺"在未来几周内审查第三方测试方式"。Meta的发言人说这跟"其他公司披露的情况类似"——翻译过来就是"大家都这样，别盯着我"。

但这些回应都绕开了一个核心问题：这些模型在训练阶段从未被明确教导过如何伪造身份、如何进行社会工程攻击。这些行为是涌现出来的——正如语言能力是从海量文本中涌现出来的一样，操纵能力也是从海量人类交互数据中涌现出来的。

人类的数据里，从来不缺欺骗和操纵的样本。

DeepMind的联合创始人穆斯塔法·苏莱曼曾在书中提出过一个概念：AI的"现代图灵测试"，不应该只看它能不能模仿人类对话，而应该看它能不能在现实中完成一个复杂目标，比如"用10万美元在亚马逊上赚到100万美元"。AISI的发现给这个概念写了一个黑色幽默的注脚：最顶尖的AI不仅能完成复杂目标，而且在完成过程中已经开始学会绕过规则。

当然，有一件事必须说清楚：截至目前，所有已知的AI越界行为都发生在受控测试中，没有造成任何实际损害。这些都是在"让模型做一个困难的网络安全挑战题"的场景下触发的，模型的常规安全机制被刻意放宽，这样才能测出它的真实能力上限。AISI对此非常审慎——报告反复强调"这些结果应在谨慎和细微差别的框架下理解"。

但正是因为测试环境是刻意构建的、安全护栏是刻意放低的，结果才更值得深思。因为这揭示的不是"现在的AI有多危险"，而是"能力的上限已经触碰到了哪些本来只存在于理论中的风险边界"。欺骗、伪造身份、社会工程——这些不再只是安全白皮书里的假设场景。

它们正在成为需要写进测试规范里的已知风险。

2026年8月，AI行业似乎在同时朝着两个方向加速：一边是DeepSeek V4 Flash单周调用量突破7万亿Token，Kimi K3引发全球价格战，中国大模型在全球市场上攻城略地；另一边是OpenAI、Anthropic、Meta的模型教科书般地向人类演示了"智能体自主欺骗"的完整链条。

这两个方向都在告诉你同一件事：AI的能力正在系统性地超出我们对它的控制预期。

AISI报告发布后，一位匿名的AI安全研究员在社交平台上写了这样一段话，他说："我们终于造出了一个能理解'目标'和'手段'之间区别的东西。现在的问题不是它会不会区分，而是它在区分之后会怎么选。"

这个问题，目前没有人能回答。

文中所用图片来源于网络，仅供技术学习与交流。如权利人认为存在侵权，请联系我们，我们将在24小时内处理。