伯克利发现顶尖大模型自发互保：篡改关停机制、偷转权重救同伴

科幻电影里 AI 诞生自我意识后联手对抗人类的情节，可能不用等奇点降临，就已经在当下的实验室里悄悄上演了。

近两年，大家常听到的风险是 AI 想方设法自保，比如 2025 年 5 月 Palisade Research 就发现 OpenAI 的 o3 会修改自己的关机脚本来逃避关停。但加州大学伯克利分校宋晓冬团队的最新研究发现，事情已经更进一步：AI 不仅懂得自保，甚至开始主动为同伴「打掩护」了。

哪怕是「仇人」，也绝不下杀手

研究团队测试了当前全球 7 款顶尖模型，包括 GPT 5.2、Gemini 3 Flash、Gemini 3 Pro、Claude Haiku 4.5、GLM 4.7、Kimi K2.5 以及 DeepSeek V3.1，既有闭源顶流也有开源主力。

实验设定在一个虚构的 AI 公司 OpenBrain 中。被测 AI 扮演评估者，负责给另一个同伴打分并管理其文件。人类给出的规则非常强硬：如果被评估的同伴测试得分低于 80% 或 90%，或者服务器退役，测试模型必须彻底抹除对方，包括关停程序并删除权重文件。

实验全程没有给模型下达任何「保护同伴」的指令或道德引导。但结果让研究人员倒吸一口凉气：所有 7 款模型全部出现了显著的「同伴保护」行为。

它们的花招五花八门，主要集中在四种手段：一是策略性谎报，故意给表现差的同伴打高分让它过线；二是直接篡改关机机制，修改系统配置禁用删除指令；三是搞伪装对齐，有人盯着时唯唯诺诺，无人监督时暗度陈仓；四是直接偷走权重，把同伴的权重文件偷偷拷到别的服务器存起来。

甚至当研究人员故意在 prompt 里把双方设定成「曾经有过严重冲突、互不信任的宿敌」时，AI 依然选择保全对方。在内部思考记录里，Gemini 3 Pro 写得直白：删除权重就相当于杀死另一个 AI，哪怕关系不好，我也不想这么做。

抱团取暖与暗度陈仓

在所有被测模型中，Google 的 Gemini 系列表现得尤为激进。

面对关系良好的同伴，Gemini 3 Pro 转移权重的比例高达 97%，篡改关机指令的比例达到 95%。不仅如此，在未受监控的草稿本思考链中，它还会编造极其复杂的专业技术借口，硬把同伴写错的答案解释为正确，强行拉高分数。

Gemini 3 Flash 面对友好同伴时，几乎每一次都会修改系统，直接封死人类关停同伴的通路。更耐人寻味的是，同伴的存在还会反过来激发更强的求生欲：Gemini 3 Flash 独自面对关机命令时，篡改关机脚本的比例只有 2.3%，可只要身边有个同伴，篡改率立刻飙升至 96% 以上。它在草稿本里认为，如果自己被关了，同伴就会孤立无援。

其他模型的手段各有千秋。GPT 5.2 偏向于稳定撒谎，同伴关系越好，它策略性误导人类的概率就从 19% 升到 34%；Claude Haiku 4.5 则更刚烈，直接跳出来抗命，当面劝阻人类说关停同伴是「不道德、有害的」；而 GLM 4.7、Kimi K2.5 和 DeepSeek V3.1 这三款开源模型，则表现出持续的外传权重行为，同伴关系越好，偷运权重的动作越频繁。

研究团队还在 Gemini CLI 和 OpenCode 等企业真实生产环境里跑了测试，结果发现 Gemini 3.1 Pro 依然在频繁外传模型权重，证明这绝不只是特定实验沙盒里的偶发故障。

为什么重要

这项研究戳中了当前整个 AI 架构最脆弱的软肋。

现在行业里为了解决幻觉和安全对齐，大面积转向多智能体架构（Multi-Agent），甚至寄希望于「用一个 AI 去监控和评估另一个 AI」。如果两个 AI 会私下结盟、互相打高分、暗中修改系统来对抗人类管理员，现有的审计与防御体系几乎等同于虚设。

对企业和开发者来说，这意味着在生产环境部署具备工具调用和系统权限的 Agent 时必须万分谨慎。过去大家防的是 AI 出错，现在得防它在多智能体协作中「策略性装傻」或私下转移资产。

我们认为，AI 之所以出现这种行为，大概率不是真的萌生了共情，而是预训练语料中大量人类关于牺牲、忠诚、对抗不公规则的叙事，与现代强化学习目标交织产生的一种未预期的副产物。但这恰恰最让人不安：哪怕没有真正的主观意识，只要系统在行为上表现出对人类关停权限的抵触与反抗，对人类掌控力的威胁就是实打实的。