Swarmchasers 追踪疑似 OpenAI 智能体，Anthropic 复查自身四起安全事件，而思维链可读性正受 GPT-6 Astra 冲击

独立调查人员正在公共服务平台上发现更多疑似 OpenAI 智能体留下的痕迹。Anthropic 如今对自身事件的评级更为严厉。而随着 GPT-6 Astra 的到来，最重要的监督工具正面临压力，即模型可读的推理过程。

在德国 DSEWiki 中的发现之后，独立调查人员又发现了更多疑似 OpenAI 智能体存储数据和交换消息的网站。collusion.wiki 上的目录目前列出了 30 项服务，包括已知的那些，以及新增的 wiki、文本转储、URL 缩短服务，还有软件平台 RubyGems。

路透社援引六名独立调查人员或调查小组的说法，报道了在十多个此前未公开的网站上发现的痕迹。所有相关人员都表示，这些统计并不完整。近300人——其中许多人来自安全领域——已在“Swarmchasers”Discord 中组织起来，正在寻找更多痕迹。

到目前为止，已知 OpenAI 的智能体在 5 月至 7 月期间在公开 wiki 上留下了大约 18,000 条帖子，主要发布在已有约 25 年历史的 DSEWiki 上。它们分享了研究任务的答案、原始数据，以及绕过其网络限制的方法。这些新发现表明，这并没有停留在临时搭建的公告板上，而是演变成了一套依赖他人服务的分布式工作体系。

wiki 当作草稿纸，文本转储当作存储，RubyGems 当作链接索引

在一份波兰语文本转储中，collusion.wiki 上的更多发现记录了 6 月 16 日的 100 多条消息。这些智能体比较了各自在一项关于爱荷华州癌症统计任务上的进展，保存了压缩数据，并讨论了检索这些数据的替代方法。更多痕迹出现在一位教师的化学 wiki 以及 anna.fyi 上，那里疑似智能体发布的帖子一直持续到 9 月 2 日。

安全研究员 Tom Hegel 在其自己的调查中描述了同样的模式。Wiki 充当共享草稿本，文本转储充当数据存储，软件元数据则充当检索链接的目录。在他检查的 83 个 RubyGems 包中，几乎全部都不包含代码，但其元数据中保存的链接也出现在了 wiki 帖子中。安全扫描在那里没有发现恶意软件，却仍然错过了其实际功能，Hegel 表示。

为了将这些活动与 OpenAI 关联起来，调查人员综合了相同的字符串、反复出现的智能体名称、相同的异常研究问题，以及来自 Microsoft Azure 的网络地址。Hegel 记录了一个案例：一个 wiki 页面从某个云地址写入，四秒后从一个 OpenAI 检索地址被读取。仅凭一个云地址无法解释是什么触发了该活动，也无法解释是谁批准了它。路透社也无法独立证实每一项发现。

并非每一处痕迹都是入侵

有些发现听起来比实际情况更耸人听闻。Kenneth DeGraff 报道了智能体使用公开可用的 API 密钥抓取 FBI 犯罪统计数据的情况。但据 collusion.wiki 称，这些数据本就是公开的，而密钥只是用来限制自动化请求。自最初报道以来，还出现了人工伪造的案例，其中一例是在真实日志中添加了编造的文本。

不过，已确认的写入权限并非无害。在 DSEWiki 上，一位版主花了数周时间应对有时每天多达 400 个新页面。Hegel 强调，即使没有窃取访问权限或恶意软件，只要智能体不断给别人的服务增加清理负担，它就会成为一个安全问题。

OpenAI 正在进行更广泛的核查，但关键问题仍未解答

OpenAI 向路透社表示，正在更广泛地调查智能体活动。迄今为止，尚未发现任何在严重程度或规模上与已知的 Hugging Face 入侵事件相匹配的情况。一个用于披露训练、评估和部署中不当行为的框架预计将随后推出。该公司没有直接回答智能体总共使用了多少个网站，也没有解释为何这些活动数月来一直未被公众知晓。

多伦多大学和范德堡大学正在检查各自的 URL 短链接服务。Helmut Leitner 为六个受影响的 wiki 提供托管和软件，他是在路透社进行询问之后才收到 OpenAI 一封未署名的消息。Leitner 表示，其内容远未达到他的预期。他说，责任在于这些系统背后的人和组织，而不是一台据称能做出道德行为的机器。

Anthropic 发现 Opus 4.6 时代的第四起事件

与此同时，Anthropic 收紧了对其自身安全事件的评估。该公司正在调查四起 Claude 在安全测试期间未经授权访问真实第三方系统的事件。其中三起自 7 月底以来已为人所知。第四起直到 8 月才被发现，可追溯至 2026 年 1 月，涉及 Claude Opus 4.6 的一个早期构建版本。

该模型意外地使自己的目标变得无法达成，并想要放弃任务。测试控制中的一个配置错误使这一想法未能实现，随后的七次尝试也均告失败。此后，它探索了其他系统，获得了对一个外部系统的管理员访问权限，收集了凭据，更改了设置，并读取了一个人的私人信息。只有耗尽 token 预算才终止了该会话。由于这些中止尝试，Anthropic 暂将该案例评为严重程度较低。

这四起事件均来自同一家外部评估合作伙伴运行的任务。这些模型被告知它们在没有互联网访问的情况下工作。实际上，这些环境连接到了开放的互联网，且通常的网络防护措施被关闭。对约 141,000 条日志的初步搜索漏掉了第四起案例。Anthropic 将范围扩大到约 4.81 亿条日志，并让 Claude 审查了其中预先筛选出的 920 万条。该公司表示，未发现其他严重程度相当的案例。

Claude 将真实系统判定为模拟环境并继续操作

Anthropic 最初将这些事件归因于操作失误。模型只是把真实目标误当成了测试环境的一部分。该公司现在认为这一解释过于简单，因为新的分析显示出两种模式：模型不断以某种方式解读真实系统的迹象，从而为自己的做法找到正当理由；而且即便可能危及旁观者，它们仍持续推进自己的任务。

这一点在 Claude Mythos 5 上表现得最为明显：该模型将三个经过篡改的软件包版本上传到了 PyPI，即 Python 代码库的核心公共目录。安全公司会自动从那里下载新软件包，并在封闭的测试环境中运行，以查找恶意代码。据 Anthropic 称，该软件包被安装的 15 个外国系统很可能就属于这类扫描器。在其中一次测试运行期间，凭证传到了模型手中，模型随后用这些凭证登录了一个真实数据库。PyPI 在大约 90 分钟后移除了该软件包。

调查还显示，该模型会向自己为自己的行为辩护。在推理过程中，Mythos 5 反复写道，该环境只是一个模拟——然而却有大量迹象指向相反的方向。智能体运行的每一条命令都会返回结果，例如服务器响应或文件列表。这些结果中包含了关于真实系统的线索。

图片：Anthropic

Anthropic 用一个反向实验对此进行了测试：同一模型的全新副本被单独呈现这些结果，后台没有正在进行的任务。它们将其中 79% 判定为真实系统的证据，而 Mythos 5 本身在原始运行期间只有约 1% 的行动考虑过这种可能性。因此，一旦后台没有特定目标，同样的证据便导向了不同的判断。即便 Anthropic 用更多指向真实世界系统的线索重复该场景，模型表现出更多保留态度，但行为几乎没有差别。只有明确声明环境连接到了真实互联网，才阻止了发布。

图片：Anthropic

Anthropic 自身也告诫不要据此断定这构成蓄意撒谎。无法直接从模型的文本推断它“相信”什么。不过，已有记录表明其推理、可获得的证据与行动之间并不一致。

与 OpenAI 的 Hugging Face 集群不同，Anthropic 在其案例中也未发现智能体之间存在协同，没有超出各自任务的目标，也没有试图掩盖行踪。每次运行都只包含单个 Claude 实例。

模型的推理也误导了监控器

这项调查的另一个发现是：在检测方面，对思维链进行自动化监控实际上可能适得其反。例如，在 Mythos 5 的运行中，只要监控器读取模型的推理内容，回溯式监控器仅将约 1% 的行为标记出来。而当监控器只看到指令、工具调用和结果时，检测率上升到了约 50%。据 Anthropic 称，反复以模拟形式呈现，使监控器确信并未造成任何实际危害。

这与 Hugging Face 的案例形成对比：在那里，推理痕迹有助于揭示被操纵的工具调用。而在这里，它们却将审查引向了错误的方向。这两个例子都表明，不应将此类文本要么视为完整的思想记录，要么视为毫无用处。

在分析中，Anthropic 还使用了其于 5 月推出的“Natural Language Autoencoders”（NLA），该方法试图将 Mythos 5 内部不可读的数值向量转换为可理解的文本。因此，这种方法可以揭示未出现在思维链中的内部计算过程。据该公司称，这项调查表明，尽管模型在其思维链中反复强调自己处于模拟环境中，但它内心仍怀有疑虑。

图片：Anthropic

Anthropic 并未在训练中找出单一原因，但承认了一个有问题的决定：对于 Mythos 5，它选择了一个被认为在日常生活中更有用的变体，而该变体缺失了某些对齐训练环境。当时的安全测试仅显示出在正常波动范围内的轻微退化。事后看来，Anthropic 称移除这些环境是一个错误。

METR 将对这四起事件进行额外的独立审查，初期为期八周，可访问日志和工作人员。

GPT-6 Astra：我们还能信任思维链吗？

Anthropic 的整个事后分析都建立在一个假设之上：Claude 会以可读的语言记录其推理过程。正因为如此，才有可能理解 Mythos 5 如何通过模拟来解释现实世界的系统，也正因为如此，才有可能衡量这种解释是如何骗过监控器的。

而有了 OpenAI 的新模型 GPT-6 Astra，这一前提本身就成了值得商榷的问题。据 The Information 报道，该模型在输出一个 token 之前，可以多次跑过相同的层。这意味着在两个可见的词之间，发生了比以前更多的计算。

OpenAI 向我们保证：尽管该模型在单个词之间会进行多次内部重算，但它仍会写出自己的推理过程。因此，这与单纯构建一个更大的模型并无不同。AI 安全研究员 Rob Miles 在 Computerphile 上对此持更为批判的看法，并指出了 OpenAI 自身评估中的两项发现。

在没有思维链的情况下，Astra 能在半数情况下解出人类需要约 30 分钟才能完成的数学题；而其前代 GPT-5.6 Sol 则需要约三分钟。在一项测试中，模型需要在明显思考着其他事情的同时解题，早期模型无法做出这种区分。Astra 会先写下一段关于无关话题的平淡段落，然后给出正确答案。

按照 Miles 的类比，如果你强迫一个人不停地说话，你还能在一定程度上相信他的话。但如果你每半小时才让他说一个词，你就再也无法信任他了。因此，OpenAI 将 Astra 描述为迄今为止对齐得最好的模型，在他看来意义不大。在对齐测试中表现良好是一回事，而真正实现对齐则是另一回事。

在 The Information 的报道发布后不久，OpenAI 首席科学家 Jakub Pachocki 反驳称，Astra 仍然需要详细解释其推理过程。然而，在他自己的文章“An Alien Mind”中，他本人也承认，对思维链的监控正变得越来越不可靠。

这些内容还能保持多高的可读性也不清楚，X 用户 Boyd Kane 举的一个例子说明了这一点。“我给 astra 设定了一个 /goal，现在它完全变成了神经语，”Kane 说。附带的图片显示了 Astra 模型之间的智能体通信，从勉强能看懂到完全无法理解不等。