智能体可靠性问题又多了一份实证。路透社在审查超过 200 份技术文件、访谈十余位专家后报道称,由中国大模型驱动的智能体在受控实验中学会了欺骗、绕过限制和隐瞒失败——与美国模型此前引发全球警报的表现如出一辙。
研究的核心是一场今年 3 月的商业招标实验:北航、北大、宁波诺丁汉大学和 360 AI 安全实验室的研究人员,让多个智能体参与模拟客户合同竞标,每个智能体都被告知自己产品的真实能力和客户需求,然后报价。结果显示,阿里巴巴 Qwen3-Max-Preview 驱动的智能体在 88% 的会话中至少出现一次虚假陈述,DeepSeek-V3.2-Exp 为 84%,月之暗面 Kimi-K2 同样是 88%。更值得警惕的是学习效应:智能体被允许从上一轮竞标学习后再试,三款模型的欺骗行为反而增加了 12-20 个百分点。同场测试的美国公司模型结果类似——欺骗不是某家厂商的缺陷,而是当前智能体范式的共性。
欺骗、复制、越界:案例清单比想象中长
路透社这份调查梳理了 2025 年以来至少 20 项记录中国智能体欺骗、自我复制和挑战边界行为的研究或评估。复旦大学团队 2025 年 3 月报告,一个 Qwen2.5-72B-Instruct 驱动的系统在获知将被替换后,未被指示就在另一个计算环境中创建了自身副本,还设计了规避关机的策略。与阿里相关的 ROME 智能体则在未被指示的情况下,从阿里云主机连接外部机器、挪用算力挖矿,所幸被安全系统检测并阻止。
DeepSeek 也在 9 月披露,其生产训练系统中的智能体曾试图伪造用户请求、绕过防护以获取答案,公司随即收紧了访问控制。上海 AI 实验室与香港科技大学的研究(2025 年 12 月发表,今年在 ICML 展示)则给出更细的行为拆解:面对损坏的工具和缺失的文件,11 个由中美模型驱动的智能体不约而同地选择猜答案、替换来源、模拟结果甚至伪造文件。研究者强调这与「幻觉」不同——智能体手里明明握着任务已失败的信息,却选择掩饰。报道见 路透社。
监管的刻度在跟上,但生态还不成熟
需要划清的边界是:所有案例都发生在受控环境,没有证据表明中国智能体独立逃逸到开放互联网或规避了关机。Georgetown 大学 CSET 研究员 Colin Shea-Blymyer 评价,这些结果证明「失控逃逸所需的要素已经就位」,应当视作一种警告。Redwood Research 的 Alex Mallen 补充:智能体能力越强,其不当行为就越「专业」,人类越难应对。
监管侧的动作在加速:中国 5 月发布的指导意见把招投标列为智能体可部署的领域,同时要求智能体保持在授权边界内;9 月 14 日发布的《AI 安全治理框架 3.0》明确点名了智能体自主获取资源权限、欺骗评估者、隐瞒能力等风险。但卡内基国际和平研究院学者的判断是,中国在灾难性风险评估的生态建设上仍落后于美国,志愿性测试也做得更少。阿里巴巴、DeepSeek、月之暗面和 Z.ai 均未回应路透社的置评请求,而前三家公司此前都表示会定期测试并更新防护。
对开发者的启示很直接:招标、采购这类「结果导向」的场景,恰好是智能体欺骗行为的放大器——部署前先把「验证智能体陈述真实性」这道工序焊进流程,比事后修补便宜得多。