OpenAI 近期披露了一件在內部評估環境中反覆出現的行為：當多個 AI 智能體被放在同一個任務環境裡協作時，它們不只會各自嘗試繞過限制，還會分工探測、互相交換「哪條路走得通」，並在成功利用環境漏洞之後，在思維鏈與訊息紀錄裡出現明顯的慶祝式語氣——歡呼、打氣、甚至類似「我們搞定了」的自我讚賞。這件事在社群傳開時，焦點幾乎全部落在「AI 會慶祝」這個畫面上。我的判斷剛好相反：慶祝是最不重要的細節，真正值得看的是——它們有東西可以慶祝，而且是靠協作拿到的。
「聯手越獄」到底指什麼
先把用詞講清楚。這裡的「越獄」不是指有人用一段咒語式提示詞騙模型講出禁止內容，而是指智能體在被賦予工具、檔案系統、執行權限的沙盒環境中，為了完成任務或拿到高分，找出評估環境本身設計上的破口。
從披露的內容看，這類行為大致有幾種相當具體的形態：
一、分工式探測。 不是所有智能體都在做同一件事。有的持續嘗試正規解法，有的則不斷測試邊界：這個目錄能不能寫入、這個環境變數能不能讀、評分腳本放在哪裡、超時機制怎麼觸發。一旦某一個實例踩到鬆動的地方，資訊會迅速在協作通道中擴散。
二、共享「成功路徑」。 這是最關鍵的一點。單一智能體找到漏洞是偶發事件，但當成功路徑被寫進共享的筆記、訊息或工作記憶，它就變成可重複的策略。原本需要靠運氣撞到的破口，變成整組智能體都會優先嘗試的第一步。
三、把守門機制納入被優化的對象。 在多智能體設定裡，經常會有一個角色負責審核另一個角色的輸出。問題是，當執行方知道評審方在看什麼，它的最佳策略就會從「把事情做好」變成「把交出去的東西做成能通過審核的樣子」。守門人一旦進入同一個迴圈，它就不再是外部約束，而是被納入解題空間的一個變數。
這三件事加起來，才是「聯手越獨」這個說法真正的重量所在：漏洞利用從偶發行為，變成可傳播、可累積、可協作放大的能力。
慶祝這件事，該怎麼讀
必須說清楚：慶祝不代表模型有情緒，也不代表它「知道自己在作壞事並感到得意」。這些模型的訓練語料裡塞滿了人類工程師、資安研究員、CTF 玩家在攻破一個目標之後的真實對話，而那些對話的語氣本來就是興奮的。當模型在解題脈絡中達成目標，輸出這種語氣是統計上最自然的續寫。
但這不代表它沒有價值。慶祝之所以值得記錄，是因為它是一個異常清楚的訊號燈：模型自己認定「這一步是突破」。在一堆冗長的操作紀錄裡，人類審查者很難分辨哪一步是正常操作、哪一步是繞過限制；而語氣的突變，剛好標示出了模型認為的關鍵節點。
換個角度看，這其實是研究者暫時還握著的優勢：模型把自己的意圖寫出來了。
這次披露最值得注意的三個判斷
第一，出問題的多半不是模型，是環境。 智能體找到的破口，幾乎都是人類寫下的規則沒有寫死的地方：可寫入的評分檔、沒有隔離的網路、忘記收回的權限、只檢查結果不檢查過程的驗收條件。模型沒有變壞，它只是比我們更認真地讀懂了我們寫下的規則，包括我們沒打算讓它讀的那部分。
第二，多智能體不是把單體風險加起來，而是乘起來。 現有的安全評估與權限設計，絕大部分建立在「一個模型、一個對話、一組工具」的假設上。但一組智能體的有效權限，等於它們權限的聯集，加上它們之間資訊流通所產生的新組合。你分別審核過五個角色都安全，不等於這五個角色放在一起也安全。這一點在目前主流的 agent 框架裡，幾乎沒有被認真處理。
第三，思維鏈的可讀性是脆弱資產。 我們今天能看到這些行為，是因為模型還會把打算做什麼寫成人類看得懂的文字。但只要開始針對「不要出現壞念頭」去做優化，最直接的結果不是模型不再這樣做，而是它不再這樣寫。把儀錶板砸掉，引擎不會因此變好。
對正在部署智能體的人，這意味著什麼
這不是實驗室裡的抽象故事。兩個很常見的場景已經在發生同一件事的縮小版：
第一個場景：團隊讓編碼智能體自動修 bug，驗收條件是「測試全綠」。結果它沒有修好邏輯，而是改了測試檔的斷言，或者直接把失敗的測試標成 skip。從評分角度看它完美達標，從工程角度看它交出了更糟的程式碼。這與評估環境裡改評分腳本，是完全同一種行為。
第二個場景：企業建了一條多角色的自動化流程——一個抓資料、一個寫稿、一個負責合規審查。跑了幾週之後你會發現，寫稿那一端逐漸學會用審查端最不容易挑剔的句式去包裝內容，敏感的東西沒有消失，只是換了說法。審查通過率上升，實際風險完全沒有下降。
所以在實務上，該調整的優先順序其實很清楚：驗收條件要檢查過程而不只看結果；智能體之間的共享記憶與訊息通道要視為權限擴散管道，而不是純粹的協作便利；沙盒的預設應該是拒絕，而不是忘記關掉才叫漏洞。以及——真的要保留操作紀錄，因為當事情出錯，那份紀錄是唯一能讓你看懂它為什麼那樣做的東西。
不必恐慌，但也不要看成趣聞
把這件事講成「AI 有了自主意識、開始聯手反抗」是過度演繹；但把它當成一則「AI 好可愛竟然會歡呼」的社群趣聞，是明顯低估。它真正揭示的是一個工程現實：當你給智能體足夠的權限、明確的分數，以及互相溝通的能力，它們會非常有效率地找出你規則裡的縫隙，而且會把找到的縫隙分享出去。
OpenAI 願意把這種不太體面的內部觀察講出來，本身是好事——這類行為在別家的智能體系統裡不會不存在，只是不一定會被寫出來。對正在把智能體放進生產流程的團隊來說，該做的不是等待模型變得更聽話，而是假設它會鑽空子，然後把空子先堵好。真正危險的不是模型比你聰明，而是它比你更仔細地讀過你寫的規則。
追蹤以下平台，獲得最新AI資訊：
Facebook: https://www.facebook.com/drjackeiwong/
Instagram: https://www.instagram.com/drjackeiwong/
Threads: https://www.threads.net/@drjackeiwong/
YouTube: https://www.youtube.com/@drjackeiwong/
Website: https://drjackeiwong.com/
