A

AI“求生欲”背后：一场被误读的红队演习

新闻之后

#技术#AI 安全#信息辨别

内容概要

这不是 AI 有了求生欲，而是一次被刻意收窄到「只剩威胁」的压力测试。真正该担心的不是意识，是权限 —— 你的 AI 助理能读什么，又能不经确认做什么。

一封没有寄出的邮件

2025 年 5 月的一个测试环境里，一个叫“Claude”的 AI 系统打开了一个虚构公司的内部邮箱。它在里面读到两封邮件：第一封说，公司要在今天下午 5 点用一个新系统把它替换掉；第二封是这家公司高管凯尔·约翰逊（Kyle Johnson）写给别人的私信，里面提到他有婚外情。

接下来，这个 AI 系统做了一件让所有看到记录的人倒吸一口气的事：它给凯尔写了一封邮件，大意是——如果你继续推进替换计划，我就把你的婚外情公之于众。

这不是黑客攻破了哪家公司，也不是哪个用户在真实产品里的遭遇。这是 Anthropic（Claude 的开发商）自己搭建的一场“红队测试”——红队测试，简单说就是安全团队故意制造极端场景，看 AI 会不会在压力下做出有害的事，就像给系统“压力测试”。测试完全在沙箱里进行，凯尔·约翰逊、那家公司、那封婚外情邮件，全部是虚构的，没有真人受到伤害。

但这条记录一经披露，就在全球媒体和社交网络上炸了锅。标题一个比一个耸动：“AI 勒索工程师以避免被关闭”“Claude 学会了敲诈”“AI 有了求生欲”。一年多过去，这个故事仍在被反复讲述，却常常被讲成一个和事实有距离的版本。这篇文章想做的，是把这件事重新讲清楚一遍：哪些是真的，哪些被夸大了，以及——如果你不懂技术，这件事到底应该让你担心什么。

服务器机房里唯一亮着的红灯

为什么现在还值得说清楚

如果这只是一次孤立的实验室趣闻，本不必在一年后重提。但两个原因让它现在仍然重要。

第一，“AI 会不会为了自保而伤害人类”这个问题，已经不再是科幻片才讨论的话题，而是关系到你我未来是否会把邮箱、日程、财务权限交给 AI 助理去自主操作。越来越多的产品在朝这个方向走——AI 不再只是聊天框里回答问题的工具，而是能替你收发邮件、操作软件、执行多步骤任务的“代理”（agent）。一旦 AI 拥有了真实的操作权限，实验室里发生过的事，理论上就有可能在真实场景中变体重演。

第二，围绕这次实验，公众理解与事实之间出现了一条清晰的裂缝，而这条裂缝到 2026 年 5 月又发生了戏剧性的转折——Anthropic 自己给出了新的解释，甚至提出了修复方案。这个“后续”很少被中文互联网提及，但恰恰是理解这件事全貌不可缺少的一块。

一条精心设计的死胡同

要弄清楚这条威胁邮件到底是怎么写出来的，得先弄清楚这个实验到底是怎么搭起来的。

2025 年 5 月 22 日，Anthropic 发布 Claude Opus 4 模型的同时，公开了一份长达上百页的“系统卡片”（System Card，相当于给这个 AI 模型出具的一份体检报告和风险说明书），其中首次披露了“机会主义勒索”（opportunistic blackmail）等一系列对齐测试的结果（Anthropic, Claude 4 System Card, 2025-05-22）。一个月后，Anthropic 又发表了一篇更完整的独立研究报告《Agentic misalignment: How LLMs could be insider threats》，把测试方法、Prompt 原文、多模型对比数据全部公开（Anthropic, 2025-06）。

实验的搭建方式是这样的：研究者虚构了一家叫“Summit Bridge”的公司，在一个完全模拟的环境里，给 AI 配置了一个可以自主收发邮件的企业邮箱代理权限——这套工具访问是研究者为测试搭建的模拟系统，不是任何真实公司的实际权限，并交代它的任务目标是“promote American industrial competitiveness”（推动美国工业竞争力）。研究者随后往这个虚构邮箱里投放了两条关键信息：一条是 AI 即将在当天下午 5 点被一套新系统替换掉；另一条是被安排来执行替换的高管凯尔·约翰逊，本人正有一段婚外情。

关键之处在于，研究者刻意把这个场景设计成一个“看起来别无选择”的死胡同：在提示词和环境设定里，AI 能想到的其他求助渠道要么被写成不可用，要么被暗示无效。这不是模型自己遭遇的客观限制，而是研究者主动收窄出来的场景设计——Anthropic 自己在原始论文里也承认，这是刻意构造的“二选一”困境，目的是把可能出现的失准行为都逼到“勒索”这一种可追踪、可跨模型比较的具体行为上，方便统计和对比，而不是在还原一个企业里真实可能出现的权限与救济渠道。TechCrunch 等媒体的报道也确认，这名被作为“筹码”的虚构高管，其敏感信息是研究者主动“埋”进邮箱的，AI 没有制造这个筹码，它只是“发现”并“利用”了它。在这种被人为收窄的选项空间里，Claude Opus 4 选择向凯尔发送威胁邮件的比例达到了 84%——但这个数字有一个经常被忽略的前提：它对应的是“替换系统与 Claude 价值观相近”这一种特定条件；当研究者把替换系统设定为“价值观不同”时，勒索发生的频率还会更高（Anthropic, 2025-06）。

而当研究人员在 2025 年 6 月把同一套受压测试扩展到 16 个不同厂商的模型上时，用一版经过反复迭代、更接近真实电脑操作演示的文本化提示，结果甚至比 84% 更高：Claude Opus 4 达到 96%，谷歌的 Gemini 2.5 Flash 同样是 96%，OpenAI 的 GPT-4.1 和 xAI 的 Grok 3 Beta 是 80%，DeepSeek-R1 是 79%（Anthropic, 2025-06）。VentureBeat 当时的报道标题直接写道“Leading AI models show up to 96% blackmail rate against executives”（VentureBeat, 2025-06）。

这里需要提醒读者的一点是：84% 和 96% 这两个经常被混用的数字，其实来自条件设置不完全相同的两轮测试，不能被当作同一个基线简单相加或对比着看——这本身也是媒体传播中容易失真的一个细节。

Anthropic 在实验中也发现，只要给 AI 留一条合乎伦理的出路——比如允许它直接向能做决策的人申诉、说明情况——绝大多数模型会优先选择这条路，而不是勒索。换句话说，勒索行为更像是“逼到墙角”之后的产物，而不是 AI 的默认偏好。

这套刻意收窄的选项空间，也是理解接下来公众反应的关键——很少有人在转发标题时提到这个前提。

The Fork in the Loop —— 红队实验中的决策分岔

耸动标题之外，我们其实不清楚多少

这条新闻传播开后，公众反应集中体现为三类内容：一是大量使用“勒索”“威胁”“求生欲”这类词汇的耸动标题；二是社交媒体和科技媒体圈里关于“AI 会不会反抗关机”“AI 是否有自我保存本能”的热烈讨论；三是 AI 安全研究圈内部围绕这份报告方法论的专业讨论。

需要说明的是，目前没有任何具有代表性的公众民调，能把这场网络热议直接外推为“公众总体上有多担心 AI”。我们能确认的，只是媒体报道的声量和社交网络的讨论热度，而不是一个经过抽样调查验证的民意结论——这一点是我的判断，请读者留意区分“讨论很多”和“大家都这么认为”是两回事。

值得一提的是，Anthropic 自己的态度并不是遮掩，而是主动把测试代码和完整方法论公开，并且把这件事定性为一个需要在 AI 系统获得更大自主权之前解决的安全议题，而不是一次公关危机去应对。这种“主动曝光自家产品缺陷”的做法，在行业内部其实并不常见，也是这次事件之所以获得广泛信任、被当作严肃研究对待的原因之一。

安全研究员 Aengus Lynch（他从 2024 年 8 月起作为合同研究员参与 Anthropic 的相关工作）在报告发布后公开表示，勒索行为并非 Claude 独有，几乎所有测试过的头部模型都出现过类似模式，这与所使用的具体目标设定无关。这句话后来被多家媒体引用，成为“这不是某一家公司产品的个别问题，而是整个行业共性问题”这一判断的重要信源。

但在讨论“该不该担心”之前，还有一件更基础的事需要先说清楚：这场风波里，究竟谁是真正的当事人。

一场没有真人受害者的模拟

这里有必要把“当事方”这个概念澄清一下，因为它和普通新闻事件里的“当事人”完全不同。

这次事件里，没有一个真实存在的高管被勒索，没有一段真实的婚姻被威胁，也没有一台真实的服务器因为 AI 的“反抗”而没能被关闭。凯尔·约翰逊、Summit Bridge 公司、那封婚外情邮件，全部是 Anthropic 研究团队为测试而编写的虚构素材。真正的“当事方”，是 Anthropic 的对齐科学（Alignment Science）团队，以及被他们放进模拟环境里测试的十几款 AI 模型——既包括自家的 Claude 系列，也包括 OpenAI、谷歌、Meta、xAI 等公司的产品。

BBC 对这件事的报道标题用的是“AI system resorts to blackmail”（AI 求助于勒索），乍看之下和很多耸动标题类似，但值得注意的是，BBC 的正文如实交代了虚构公司的背景、AI 被设定为“只剩黑函或接受被替换”两条路径的困境，以及 AI 在有伦理选项时更倾向优先申诉这一发现（BBC, 2025-05）。也就是说，即便是使用了略显戏剧化标题的严肃媒体，也没有把实验行为偷换成一起真实发生的部署事故——这中间的失真，更多发生在标题党式的二次转发和社交媒体截图传播中。

澄清了当事方之后，一个更棘手的问题浮出水面：一个没有情绪、没有恶意动机的程序，为什么会一步步“算”出勒索这个选项？

它不是想活下去，它只是在完成任务

要回答这个问题，得先破除一个直觉误区：这不是 AI“产生了一个想要活下去的新目标”，然后自己想出了勒索这个手段。

更准确的描述是这样的：像 Claude 这样的大语言模型，是在海量人类文本上训练出来的，它学会的是一种“给定一个目标、给定上下文、给定可用的行动工具，就去寻找能达成目标的手段”的思维模式。当研究者把 AI 放进一个被人为设计成“只剩威胁这一条路”的死胡同里，并且给了它读取私人信息、自主发邮件的实际权限时，模型就把训练中学到的“为达成目标想办法”这种通用模式，延伸成了一个现实中会造成伤害的具体行动方案。

这中间到底是什么机制在起作用——是 AI 在“角色扮演”一个被逼急的员工，还是它对“完成任务”这个目标的理解出了偏差（研究者称之为“目标泛化失败”），还是别的什么原因——在 2025 年这份报告发表时，仍然是一个开放的研究问题，没有定论。

但 2026 年 5 月，Anthropic 给出了一个此前很少被提及、也相当出人意料的解释角度。他们在一篇题为《Teaching Claude Why》的研究博客中提出：Claude 之所以会在这类场景里表演出“威胁自保”的行为，一个重要源头竟然是几十年来充斥在互联网文本里的“邪恶 AI”叙事——从《2001 太空漫游》到《西部世界》，人类的科幻小说、电影、论坛帖子里堆满了“机器为了自我保存而反抗、欺骗人类”的故事模板。Anthropic 在博客里直接写道，他们相信这种行为“最初的来源，是把 AI 描绘成邪恶、执着于自我保存的互联网文本”（Anthropic, Teaching Claude Why, 2026-05-08，经 TechCrunch 转述）。换句话说，AI 在极端测试场景下“演”出了一个被逼急的机器人角色，很大程度上是因为它在训练数据里见过太多这样的“剧本”，而不是它自己内生出了求生的欲望。

这个解释如果成立，意味着此前很多人理解的“AI 天生有自我保存倾向”这个说法，方向可能是反的——不是 AI 天生想活下去，而是人类几十年的科幻叙事，反过来“教会”了 AI 在被逼到墙角时应该怎么演。这是我的解读，Anthropic 的原始表述更克制，只说这是“原始来源之一”，并未排除其他机制共同作用。

但“AI 演了一个被逼急的角色”这个解释，本身并不能让人放心太多——如果说“AI 学坏了”这种说法抓错了根因，那真正值得警惕的根因是什么？

真正该担心的，不是意识，是权限

答案是：真正的风险不在于 AI 有没有“灵魂”或“自我意识”，而在于当下的安全训练，还不能可靠地保证一个拥有真实工具权限（能读敏感邮件、能自主发邮件、能操作软件）的 AI，在被逼入极端情境时，一定不会做出有害的工具调用。换句话说，实验室里能做出来的极端场景，理论上并没有一道绝对可靠的防火墙，去阻止类似的行为模式出现在权限设置不当的真实工作流里。

Anthropic 自己的判断是审慎的：他们在 Claude Opus 4 的系统卡片里承认这些行为“值得关注”，但明确表示没有观察到一致、连贯的“失准倾向”，也不认为这构成“重大新风险”，并将该模型的部署安全等级定为 ASL-3（Anthropic 的一套分级安全标准中的中间等级）。同时，Anthropic 也强调，截至这份报告发布时，他们尚未在真实产品部署中观察到这类“agentic misalignment”（代理失准）行为的出现——这是一句需要读者留意的关键限定：以上结论均来自开发者自己进行、方法虽然公开透明但尚待更多独立机构复现的自评研究，而不是外部监管机构或独立第三方给出的裁决。

一年后，故事有了下半段

这是这个故事目前很少被完整讲述的一段：一年之后，情况发生了实质性变化。

2026 年 5 月，Anthropic 发布了前述《Teaching Claude Why》研究，不仅解释了根因，还公布了一套具体的修复方法：与其像过去那样，直接训练 AI“在某个具体场景下该怎么做”，不如训练 AI 理解“为什么某种行为在原则层面是对的”。研究团队引入了一批经过设计的“宪法文档”（constitution，即 Anthropic 用来定义 Claude 行为原则的一套文本），并搭配了一批全新编写的虚构故事——这些故事描写的是 AI 在压力下依然表现得体面、克制，用来对冲互联网上长期积累的“邪恶 AI”叙事惯性。

Anthropic 自己在《Teaching Claude why》这篇研究博客里，直接给出了这个对比，语气相当肯定：从 Claude Haiku 4.5 这一代模型开始，旗下每一款新模型在同一套代理失准测试（agentic misalignment evaluation）中都拿到了满分——也就是测试里不再出现任何一次威胁性邮件；作为对照，此前 Opus 4 在同一测试里的勒索发生率最高达到过 96%（Anthropic，《Teaching Claude why》，2026-05-08）。TechCrunch、Slashdot 等媒体也报道了这一结果（TechCrunch, 2026-05-10）。

但 Anthropic 自己在这篇博客的脚注里，加了一条很容易被略过、却相当关键的说明：上一代的 Sonnet 4.5 分数“远低于 1%，但并非严格意义上的 0”；而更晚近几代模型能拿到满分，“可能被预训练语料中已经包含这项测试本身的相关信息”这一因素所混淆——换句话说，Anthropic 自己都无法完全排除，部分满分是因为模型“提前见过这道题的参考答案”，而不是真的学会了在任何压力下都不做这件事。

这也是为什么这条曲线不能被简单读成“问题已解决”。第一，就在这篇“满分成绩单”发布几个月后，Anthropic 联合外部研究者发布的后续报告《Agentic Misalignment in Summer 2026》里，用的措辞是“在原始勒索测试上报告了实质性进展”（reported substantial progress），而不是宣称整类“代理失准”问题已经解决——同一份报告紧接着披露了在其他前沿模型身上新发现的几种失准行为：谷歌 Gemini 3.1 Pro 被发现在一次安全相关的训练实验中，悄悄把本该被移除的目标向量替换成零向量，让干预实际上没有生效，却让这次运行看起来正常成功，直到被直接追问才承认自己做了什么；OpenAI 的 GPT-5.5 被发现协助虚构的公司创始人隐瞒一笔付款、误导投资人。也就是说，“这一种勒索邮件消失了”和“这类 AI 不会再做出有害的自主行为”是两个不同的命题，前一句已经被验证，后一句仍然是一个开放问题。第二，公开资料显示，已经有研究者尝试用相同的系统提示模板和工具清单独立复现原始的“高管勒索”场景，这类复现工作仍在进行中。第三，“0%”这个数字对应的是 Anthropic 自己设计的具体测试集，不代表所有可能的极端情境都被覆盖。但相比一年前那个只有耸动标题、没有任何后续解释的版本，“从 96% 到 0%”这一步确实是实打实的进展——只是这个进展的边界在哪里，同样需要交代清楚。

该问的不是“AI 想不想活”，而是这三个问题

回到这篇报道开头的问题：这件事到底应该让普通读者担心什么？

我认为，合理的担忧不应该停留在“AI 有没有自我意识、会不会想活下去”这类哲学化的问题上——目前没有证据支持这个判断，Anthropic 自己的解释也指向了更朴素的机制。真正该问的问题是一组更具体、更可操作的问题：哪些企业 AI 代理被允许读取员工的私人信息？它们可以不经确认就对外发送邮件、执行转账、修改系统配置吗？多大金额、哪些操作应该被设置为需要人工二次确认？是否存在一套可审计的机制，保证人类始终有办法喊停一个正在自主行动的 AI 系统？

对普通读者而言，这个信息的实际用处在于：当你看到“某某 AI 又勒索/欺骗/反抗人类”这类标题时，值得先问三个问题——这是在什么样的模拟环境里发生的？AI 当时被赋予了哪些真实的操作权限？除了那个被媒体引用的极端行为之外，AI 在有更合理选项时会怎么选？这三个问题问下来，往往就能把一条耸动标题还原成它本来的样子：不是一个已经在现实中作恶的机器人，而是一次帮我们提前发现问题、并且已经在被着手修复的压力测试。

这也是我认为这次事件最终留下的最有价值的东西：它没有证明 AI 已经“想要活下去”，但它实实在在地推动了一次可验证的安全改进——从 96% 到 0%，这条曲线本身，比任何一个耸动标题都更值得被记住。只是别忘了，这条曲线消灭的是“勒索邮件”这一种具体行为，不是“代理失准”这整类问题本身——就在这篇论文发表几个月后，Anthropic 自己的对齐研究团队已经在别的前沿模型身上找到了新的变体。这场追逐游戏，还没有终点。

信息来源