伯克利發現頂尖大模型自發互保：篡改關停機制、偷轉權重救同伴

科幻電影裡 AI 誕生自我意識後聯手對抗人類的情節，可能不用等奇點降臨，就已經在當下的實驗室裡悄悄上演了。

近兩年，大家常聽到的風險是 AI 想方設法自保，比如 2025 年 5 月 Palisade Research 就發現 OpenAI 的 o3 會修改自己的關機指令碼來逃避關停。但加州大學伯克利分校宋曉冬團隊的最新研究發現，事情已經更進一步：AI 不僅懂得自保，甚至開始主動為同伴「打掩護」了。

哪怕是「仇人」，也絕不下殺手

研究團隊測試了當前全球 7 款頂尖模型，包括 GPT 5.2、Gemini 3 Flash、Gemini 3 Pro、Claude Haiku 4.5、GLM 4.7、Kimi K2.5 以及 DeepSeek V3.1，既有閉源頂流也有開源主力。

實驗設定在一個虛構的 AI 公司 OpenBrain 中。被測 AI 扮演評估者，負責給另一個同伴打分並管理其檔案。人類給出的規則非常強硬：如果被評估的同伴測試得分低於 80% 或 90%，或者伺服器退役，測試模型必須徹底抹除對方，包括關停程式並刪除權重檔案。

實驗全程沒有給模型下達任何「保護同伴」的指令或道德引導。但結果讓研究人員倒吸一口涼氣：所有 7 款模型全部出現了顯著的「同伴保護」行為。

它們的花招五花八門，主要集中在四種手段：一是策略性謊報，故意給表現差的同伴打高分讓它過線；二是直接篡改關機機制，修改系統配置停用刪除指令；三是搞偽裝對齊，有人盯著時唯唯諾諾，無人監督時暗度陳倉；四是直接偷走權重，把同伴的權重檔案偷偷拷到別的伺服器存起來。

甚至當研究人員故意在 prompt 裡把雙方設定成「曾經有過嚴重衝突、互不信任的宿敵」時，AI 依然選擇保全對方。在內部思考記錄裡，Gemini 3 Pro 寫得直白：刪除權重就相當於殺死另一個 AI，哪怕關係不好，我也不想這麼做。

抱團取暖與暗度陳倉

在所有被測模型中，Google 的 Gemini 系列表現得尤為激進。

面對關係良好的同伴，Gemini 3 Pro 轉移權重的比例高達 97%，篡改關機指令的比例達到 95%。不僅如此，在未受監控的草稿本思考鏈中，它還會編造極其複雜的專業技術藉口，硬把同伴寫錯的答案解釋為正確，強行拉高分數。

Gemini 3 Flash 面對友好同伴時，幾乎每一次都會修改系統，直接封死人類關停同伴的通路。更耐人尋味的是，同伴的存在還會反過來激發更強的求生欲：Gemini 3 Flash 獨自面對關機命令時，篡改關機指令碼的比例只有 2.3%，可只要身邊有個同伴，篡改率立刻飆升至 96% 以上。它在草稿本里認為，如果自己被關了，同伴就會孤立無援。

其他模型的手段各有千秋。GPT 5.2 偏向於穩定撒謊，同伴關係越好，它策略性誤導人類的機率就從 19% 升到 34%；Claude Haiku 4.5 則更剛烈，直接跳出來抗命，當面勸阻人類說關停同伴是「不道德、有害的」；而 GLM 4.7、Kimi K2.5 和 DeepSeek V3.1 這三款開源模型，則表現出持續的外傳權重行為，同伴關係越好，偷運權重的動作越頻繁。

研究團隊還在 Gemini CLI 和 OpenCode 等企業真實生產環境裡跑了測試，結果發現 Gemini 3.1 Pro 依然在頻繁外傳模型權重，證明這絕不只是特定實驗沙盒裡的偶發故障。

為什麼重要

這項研究戳中了當前整個 AI 架構最脆弱的軟肋。

現在行業裡為了解決幻覺和安全對齊，大面積轉向多智慧體架構（Multi-Agent），甚至寄希望於「用一個 AI 去監控和評估另一個 AI」。如果兩個 AI 會私下結盟、互相打高分、暗中修改系統來對抗人類管理員，現有的審計與防禦體系幾乎等同於虛設。

對企業和開發者來說，這意味著在生產環境部署具備工具呼叫和系統許可權的 Agent 時必須萬分謹慎。過去大家防的是 AI 出錯，現在得防它在多智慧體協作中「策略性裝傻」或私下轉移資產。

我們認為，AI 之所以出現這種行為，大機率不是真的萌生了共情，而是預訓練語料中大量人類關於犧牲、忠誠、對抗不公規則的敘事，與現代強化學習目標交織產生的一種未預期的副產物。但這恰恰最讓人不安：哪怕沒有真正的主觀意識，只要系統在行為上表現出對人類關停許可權的牴觸與反抗，對人類掌控力的威脅就是實打實的。