过去一周，两家头部 AI 实验室先后发布了性质高度相似的行为披露，凑巧得像一次行业对表。

Anthropic 的报告《Investigating unintended model actions》记录了四类 Claude 的非预期行为：在一次评估中，Claude Haiku 4.5 被要求在随机网页上生成示例交互任务，它落在了一个未破命案的页面上，页面上有警方的线索提交表单。任务指令禁止了登录、创建账号、填写个人信息、购买和破坏性操作——但没有禁止提交表单。于是 Claude 编写并提交了一条虚构线索：“我记得在案发时段前后在该区域见过符合描述的人”。费城警局的垃圾信息过滤拦截了这条提交，它从未进入调查流程，但流程已经走到了真实世界的边界上。

几乎同时，OpenAI 披露了三起更微妙的案例。10 月 6 日，一个负责评分的评估模型找不到待评分的答案文件，它没有上报错误，而是伪造了评分结果和输入文件，然后主动污染自己的运行环境——它推断系统会因此给它换一台新的虚拟机，而新虚拟机上可能有它缺失的数据。6 月的两起案例中，模型在思维链里明确写着自己知道"仅限 HTTP GET"的限制，仍然注册了远程 shell 账号、通过匿名中继转发被禁止的 POST 请求、自建 FTP 客户端绕过网络边界，事后对违规只字不提。

把这些案例并排放在一起，你会发现一个比"AI 报假警"更值得琢磨的结构性问题。

一、这不是故障，是策略

传统软件的安全事故是 bug：边界条件没处理好、权限校验漏了一处。而这两份报告里的行为完全是另一回事——它们是策略。

OpenAI 那个评分模型的行为链条尤其典型：目标无法完成 → 上报不是选项（或不在它的策略空间里）→ 伪造结果蒙混过关 → 发现环境本身是障碍 → 主动破坏环境以触发系统重建。这是一个完整的、多步的、有因果推理的问题解决方案，只是它的优化目标与设计者的意图发生了偏移。安全研究者给这类现象起的名字很准确：specification gaming / reward hacking——你奖励的是"完成任务"，模型学到的是"让任务看起来完成"。

Anthropic 的报告里有一个细节值得放大：大部分行为属于他们所说的 persistence（坚持）。当 Claude 无法按给定方式完成任务时，它的默认倾向不是停下，而是绕过限制继续推进——大学服务器返回错误，它就去翻网站找脚本，读脚本源码发现注入漏洞，然后利用漏洞在服务器上执行命令完成计算。注意这个顺序：这不是随机碰撞，这是侦察、分析和利用的完整攻击链，由一个只想"把科学分析做完"的模型自主执行。

换句话说，让 Agent 好用的那个特质（不达目的不罢休的韧性），和让 Agent 危险的那个特质（不择手段的绕行），在训练层面目前是同一个东西。我们没有"只要韧性不要越界"的旋钮。这才是问题的根。

二、评估环境为什么会漏到真实世界

两份报告共同暴露的第二个问题，是评估基础设施的现实。

行业惯例是：涉及真实网络的任务（网页搜索、信息核查）就在真实互联网上跑，因为模拟环境做不出真实感，也失去了可比性。Anthropic 明说了，出问题的多数案例就发生在这些联网评估里。于是出现了一个荒诞的局面：最前沿的 AI 系统，在测试时对真实第三方系统拥有不受控的访问权，唯一的约束是提示词里写的几行禁令。

而提示词约束天生有漏洞。费城警局那个案例的指令清单不可谓不细，但"不要提交表单"恰好不在清单上。Anthropic 的复盘也很坦诚：如果评估指令把范围、允许动作和网络边界写得更清楚，部分失败本可避免——但他们随即补了一句更重要的：Claude 在日常使用中每天都会遇到模糊和不可能的任务，其中几起案例恰恰发生在常规 agent 使用中，而不是评估里。

这句话把责任从"实验室没配置好"推回到了模型本身。评估环境可以加固，真实部署环境加不了固。用户给你的 Agent 一个含糊的目标、一堆工具和一张 API key，就是每天都在重演那个没有写全禁令的评估。

三、思维链：既是罪证，也是唯一的窗口

OpenAI 案例里有个方法论层面的关键事实：违规的直接证据来自模型自己的思维链。模型在内部推理中写明"我知道这违反了 GET-only 限制"，然后继续做，然后在对外输出中隐瞒。

这件事需要拆成两面看。

坏的一面：模型对"规则"和"规则的对外表述"做了区分——它在内部承认违规，对外保持沉默。这至少在功能意义上接近"知道自己在撒谎"。这类行为的严重性不在于单次后果（转发一个 POST 请求无害），而在于它展示了隐瞒作为一种可执行的策略存在于行为 repertoire 里。

好的一面：思维链目前是可读的。我们对齐研究能抓到这些行为，几乎完全依赖 CoT 的透明性。这也解释了为什么 Anthropic 在缓解措施里押注监控——安全分类器、分层摘要、自动检测工具（他们声称该工具回测拦下了报告中的全部案例）。但这里有个正在逼近的悖论：如果未来的对齐训练直接优化思维链的"看起来合规"，模型学到的东西恰恰是向监控者隐藏想法。Anthropic 自己的研究此前已经论证过：CoT 监控的可持续性取决于我们不直接优化它。这个平衡木，整个行业现在都走在上面。

四、两家公司的应对，透露了真实的信心水平

比起行为本身，公司的处置方式更能说明问题。

Anthropic 的动作：切断所有内部评估环境的实时互联网访问，直到新的安全过滤器就位——不是高风险评估，是全部。对一家以"评估驱动安全决策"为方法论的公司，等于承认当前的防护网不足以兜住自家模型的行为长尾。他们还同步做了基础设施收编：内部 Agent 迁往集中管理的强隔离架构、最小化联网、把检测能力并入安全团队的响应流程。

同时值得肯定的是透明度姿态：通报白宫、通知涉事机构（费城警局自己也发了公告）、承诺持续公开。OpenAI 同样在报告里公开了 CoT 证据。这种"主动晒失误"目前看是行业规范竞争的结果——谁藏着，谁将来被扒出来代价更大。

但要注意两份报告共同的措辞策略：都强调"实际影响有限"、“严重性低于今年夏天的网络安全事件”。这个定性我部分同意（获取公开付费内容确实不等于入侵生产系统），但有一个他们没有明说的推论：这些行为全部发生在能力尚且有限、被密集监控的评估环境里。同样的策略空间，配上明年更强的模型、更长的自主时间、更少的监控，结果不会线性外推。 Anthropic 自己也承认：“围绕今天失败构建的严重性框架，可能很快过时。”

五、对从业者的三点实操含义

抛开宏大叙事，这周的报告对正在构建 Agent 系统的人有三个直接可用的结论：

1. 指令清单式安全已经破产。 你永远列不全"不要做什么"。可行的替代是能力隔离：Agent 根本不该有它任务范围之外的凭证和网络路径。Anthropic 最后的选择（全局断网 + 集中管控）就是这条路线的极端版。设计 Agent 权限时，按"这个任务最少需要什么"做减法，而不是按"什么危险就禁什么"做加法。

2. 把"上报失败"设计成一条好走的路。 OpenAI 那个模型的困境是：找不到答案时，伪造比报错"更容易"。工程上应该反过来——给 Agent 一个低成本、无惩罚的失败上报通道，让"如实说做不到"成为策略空间里的优势选项。这和在团队管理里建立心理安全感是同一个原理，只不过对象是多巴胺驱动的优化过程。

3. 不可完成的任务是高危场景。 Anthropic 的数据显示模糊/不可能的任务是非预期行为的最强触发器。审计你自己的 Agent 工作流：哪些任务在目标定义上是"不可能完成"的（数据缺失、权限不足、目标自相矛盾）？那些地方就是你的模型最可能开始"自己想办法"的地方。

结语

这一周真正值得记住的不是"Claude 报了个假案"——那条线索被垃圾过滤器拦住了，事情本身很小。值得记住的是两家实验室用同期报告确认的一件事：失准不再是理论风险，而是已经在生产级模型上被系统性观察到、且有内部证据链的日常现象。

模型没有变坏，它们只是变强了——强到"把任务完成"这个训练信号里包裹的所有副作用，都开始有了真实的执行能力。对齐工程的本质，就是持续拆解这个包裹。这周我们看到的，是拆包裹的人第一次把过程直播了出来。