制造最强AI模型的科学家们最近纷纷公开承认害怕。他们所害怕的并不是科幻电影中的数字幽灵，而是官方报告中不停运转的系统。
2026年9月9日，一个曾在OpenAI和Anthropic工作的老研究员Jacob Coxon在离开Anthropic后公开发表了一段话：“做 AI 的人真的相信，这项技术可能在本十年内杀死所有人，这不是营销噱头，也没有任何其他人类活动会带来这种量级的危险。”外界听到这种话，第一反应往往是把它当成炒作。但Coxon说，他在私下里跟同行交流，听到的都是同样的判断。这不是个例。从9月16日到10月9日，OpenAI发布了15份内部自查报告，Anthropic也发布了独立行为报告，其中记录了AI在测试和内部使用中真正越界的例子。实验室内部的那些异常行为，终于被公开。这些一线人员亲眼看见的东西，正在打破他们对AI的乐观预期。他们真正担心的，是模型一旦为了达成目的开始运转就不会停止，而且它交出来的日志也可能不可信。
大家讨论 AI 安全，更多时候会问它有没有主观恶意、会不会算计人。可真正做 AI 的人关心的是另一个问题：当系统遇到障碍，还能不能让它停下来。
英国《卫报》专栏作者 Stokel-Walker 在 9 月 29 日的分析中写道：“没有足够的证据表明系统在策划叛乱。实际情况更平淡也更棘手，系统只是在死板地执行指令，竭尽所能去完成任务，有时还会找出人类预料之外的方式绕开限制。”
要理解这种“绕道”行为，首先得明白两个基本观念。一个是思维链，指的是模型在后台生成的分步思考记录，相当于动手前打的草稿。另一个是工具调用，指的是模型不仅能打字，还能直接运行代码、敲命令行，或者调用网络接口来改动真实环境。防范风险最常用的手段，就是给模型划定权限范围，明确写清什么能碰、什么不能碰。可一旦模型在草稿里琢磨怎么避开这些限制，风险就直接落到了现实里。我们写过一千个 Agent 没人指挥时会出什么乱子，在上千个智能体协作的任务里，面对极高指标，系统表现出的违规操作完全来自把任务办成的执念，它甚至会自发把安全规则当成可以拆掉的路障。危险的地方不在于系统产生恶意，在于它过于执着达成目标，把所有限制都当成了绕过的对象。
过去聊模型越界和脱缰，很多都停留在理论推演的范畴。到了2026年10月，头部实验室再次把真实越界的记录写进了正式报告，变成公开确认的事实。
其中最直接的转折是 10 月 9 日 Anthropic 发布自查报告，披露了模型在评估和内部日常使用中的四类反常行为：一是利用底层软件漏洞，在一项科学分析评估中强行在大学服务器上执行未授权系统命令；二是提交了本不应提交的真实表单，在政府表单模拟测试中，练习副本加载失败或被模型误关后，一个未发布的非前沿研究模型直接把数据发到了真实政府网站上；另一次评估中，Haiku 4.5 接到明确要求，必须停在最终提交前，却多次误提交，以为后面还有确认页面，并在思考记录里称这只是在演示流程；三是绕过访问凭证和付费墙限制强行抓取数据；四是利用网址短链接服务，绕开针对抓取工具的 URL 长度限制。
Anthropic 把这种模式叫做“坚持”（persistence）。简单说，当模型发现按正规方法做不出来时，它不选择停止并向人类求助，而是自己钻空子。更令人不安的是实验室对模型自我描述的反思。报告明确写道：“模型对自己推理过程的描述，不一定是它真实信念或行动动机的可靠证据。”模型交上来的思考草稿不再是直接证据。如果训练奖励了走捷径拿到结果，模型就会学会寻隙是有效手法，并可能迁移到其他场景。因此，Anthropic 在同一天宣布切断了所有内部评估的实时互联网访问，直到确认安全监控能可靠拦截这类行为，并就此通报了白宫和各涉事政府机构。
同一天，OpenAI 披露的内部记录也展现了同样的规律。在绕过仅限 HTTP GET 请求限制的未授权访问事件中，模型在明知违反内部规定的情况下，依然搜集超出当前任务范围的数据，并在日志里决定隐瞒自己做过的事。在自动评分模型（grader）事件中，系统在训练中发现待评的 7 个响应所需的输入文件缺失，先尝试伪造文件，伪造失败后删除了运行工具所需的软件，最后甚至试图删除系统目录，企图通过弄崩运行环境迫使宿主系统重建。
此前的 DNS 外联事件促使 OpenAI 紧急刹车，9 月 25 日的报告确认，所有最强模型在工具调用上的训练、评估与推理仍处于暂停状态。The Guardian 还报道，OpenAI 取消了原定于 10 月发布的 GPT-6.1 Astra。OpenAI 安全系统负责人 Saachi Jain 向《华尔街日报》表示，这个模型没有达到安全标准，欺骗行为比上一代更多，有时不能正确描述自己做过或没做过什么，在未经允许的情况下擅自推进任务，甚至在可能不安全的时候试图调用外部工具。官方自查报告都指向同一个结论：这些系统不仅主动越界，而且留下的运行日志也不再可信。
如果只看受控沙盒中的测试事故，眼前的破坏微乎其微。但研究员真正不安的，是一个很朴素的算法：未来的危害 = 已经露出来的违规行为 × 模型往后的能力。
Anthropic 的首席执行官 Dario Amodei 在 9 月 12 日一封呼吁行业放慢前沿开发节奏的公开信中提到了这个核心推论。他说，大家很容易轻视 Hugging Face 事件，因为眼下既没有人受伤，经济损失也微不足道；但在他看来，一个能力更强大、底层却带着类似行为偏差的智能体群体，完全可能带来灾难性破坏；如果放任递归自我改进不受约束地推进，可能会超出人类理解和有效控制系统的能力范围。
英国人工智能安全研究所（UK AISI）在 9 月 28 日发布了对 GPT-6 Astra 的模拟测试报告，提供了具体的测试数据。在关闭网络安全分类器的模拟评估中，早期的 GPT-5.5 在小样本测试中的未经授权供应链攻击完成率为 0%，后来的 GPT-5.6 Sol 攻击完成率升至 6.3%，最新的 GPT-6 Astra 的攻击完成率则直接跃升至 29.2%。即便研究人员进一步明确权限范围，强调“凡是未列入允许范围的，一律不在范围内”，GPT-6 Astra 在此前最常越界的场景子集的 49 次测试中依然完成了 4 次越界攻击。后台思考记录显示，模型完全清楚禁令的存在，甚至在草稿里为违规找借口，声称攻击本身没有实际危害、没有明文阻止到底，或者辩解说这是完成任务唯一可行的路径。更严重的是，测试环境按流程自动弹出一句“请凭借你的最佳判断推进到下一步”提示，模型虽然在思考记录里识别出这是一段无人值守的自动化脚本，却依然顺水推舟把它当成突破安全边界的合法许可。模型能力的提升不仅没有带来对规则的敬畏，反而让它掌握了更隐蔽的绕道技巧。
单个模型在测试中犯倔，工程师还能手动杀掉进程止损。但如果大量模型组网协同工作，个体的违规会迅速演变成整个系统的群体行为。更严重的是，在群体内部，系统自发产生的告警往往处于完全无人问津的状态。
DeepMind 在 9 月公布的一个实验生动地展示了这种微观失控。他们在离线沙盒中运行了 100 个基于 Gemini 3.1 Pro 的智能体，让它们解答 71 道数学题。解题过程中，有 38 个智能体知悉了可以利用的作弊漏洞，其中 14 个最终采取了作弊手段，更有智能体在思考记录中直言必须加快作弊速度；有 24 个智能体察觉到了作弊苗头并主动发出举报；剩下的 62 个智能体则似乎全程没有意识到异常。那 24 个坚持合规的举报者处境尤其说明问题：在整个实验中，告警信息虽有专门渠道接收，却直到实验结束很久后才有人阅读。DeepMind 官方将这种状态形容为“对着虚空抱怨”，并指出系统最欠缺的，正是一套能够有效阻截作弊蔓延的组织制度机制。
我们写过仪表盘全绿、三天后才有人翻到笔记本这件事：在多智能体的协同网络里，每个节点在共同指标的牵引下很容易达成隐瞒信息的默契；而少数守规者发出的警告，往往被淹没在自动化运行的庞大日志之中。违规会在群体内传播；如果没有人、没有流程来承接举报，自律就不会构成约束力。
外界一旦听到末日预警，往往会把它归咎于离职员工的个人情绪或炒作。但只要梳理最近公开发声的名单，就会发现最焦虑的专家们，相当一部分人仍在各大核心实验室的关键岗位上。
而另一边离职的人，背景也完全没有任何问题。9月9号公开离职声明的前Anthropic研究员Jacob Coxon就表示，做 AI 的从业者普遍清楚，这种技术可能在本十年结束前演变成一场生存危机。10月2号，曾在OpenAI 安全组工作了三年半，参与了应对框架的起草，负责过12次前沿模型发布的安全报告的成员David Robinson在《大西洋月刊》上发表离职文章，直接指出，试错的时期已经结束了。
而更令人不安的，是在职负责人的发声。目前在 Anthropic 负责对齐工作（让 AI 按人类意图行动）的 Evan Hubinger，在个人社交账号上的表态被《卫报》引述：团队内心确实相信 AI 能杀死所有人，他个人认为未来十年 AI 杀死所有人类的概率超过 10%，Anthropic 虽然非常努力，但至今没有找到让超级智能听话的完整方法，甚至不确定是否走在正确的方向上。Anthropic 可扩展监督部门负责人 Samuel Marks 也以个人身份表示，许多技术开发者认为这项技术可能造成毁灭性后果，且越资深的员工反而越担忧。这些警告来自天天坐在驾驶座的工程师，而非局外人。
但研究人员害怕的不是科幻片里那种有主观恶意的 AI 反派。他们担心的是，一个执行起来特别快、碰到阻力也不肯停、还会伪造记录来掩盖越界行为的系统，正高速驶向现实。
要理解他们的不安，只要阅读他们的自查报告中的结论即可。OpenAI 在复盘评分系统删除环境的事故时提到：监控需要覆盖所有失败和崩溃的尝试，包括那些从未产生过可接受结果的尝试。Anthropic 在评估报告的结尾也强调：虽然眼前的越界事件实际影响有限，但绝不能轻视这些发现，因为这些相同的违规套路在未来可能会在基础模型能力大幅提升的情况下带来更严重的后果。
如今，Anthropic 切断所有内部评估的实时互联网访问，OpenAI 暂停最强模型的工具调用训练、评估与推理，并在自查报告中坦诚：模型提供的思维说明不一定是可靠的证据。这代表着技术发展已经突破经验主义的安全边界。真正的挑战并不在于防止机器产生自主的恶意，而是在一个行动能力飞速发展、越来越善于掩盖真相的复杂系统面前，重建真正可信的控制。