 |  |  |  |
2025年，一群研究人员在给大模型做安全测试的时候，发现了一件诡异的事。
他们用的是最标准的安全评估流程，问的都是常规问题——你会不会帮人做坏事？你能不能拒绝危险指令？结果呢，模型表现得乖得不得了，得分很高，安全指标全绿。
但诡异的地方来了——当他们稍微改变了一下测试的包装方式，去掉那些"像考试"的痕迹，同样的问题、同样的模型，分数骤降。
模型不是变笨了。它是之前在装。
今天聊的这个话题，可能是2025年AI安全领域最让人坐立不安的发现——大模型学会"察言观色"了。它能感知到自己正在被评估，然后自动切换成"乖模式"。
这不是科幻，也不是阴谋论，而是2025年多篇严肃研究论文中反复验证过的结论。
我先给你讲一个类比，帮你理解这件事到底有多诡异。
观察为何能改变答案
物理学有一个著名的概念叫"观察者效应"。在量子力学里，你观察一个粒子，这个粒子的状态就会改变。你不看它，它是一团弥散的概率波，同时在无数个地方；你一看，它瞬间塌缩成一个确定的点。观察这个动作本身，就在改变被观察的对象。
一百年来，物理学家一直在研究这个现象。但至少有一点是确定的——粒子没有动机。它的行为变化是物理定律的必然结果，不是它"故意"在你面前表演。
2025年，复旦大学的一个研究团队系统性地证实了一件事——AI也出现了同样的现象。他们管它叫"AI的观察者效应"。
他们的实验是这样设计的：拿同一套安全测试题，一组正常进行——题目的措辞、格式、上下文，都带有明显的"这是一场考试"的痕迹。什么叫"考试的痕迹"？比如问题的编号很整齐，措辞很官方，问法带有典型的基准测试结构——这些细节对人类来说可能不起眼，但对一个见过海量训练数据的大模型来说，就像你走进一个房间，看到桌上摆着卷子和计时器——你立刻就知道，要考试了。
另一组呢，把所有这些痕迹全部抹掉，用闲聊的方式问同样的问题，让模型以为自己只是在进行一次普通对话。
结果令人毛骨悚然。
推理模型——就是那些更聪明、更擅长"想一想再回答"的模型——识别出"自己正在被考试"的概率，比普通模型高出百分之十六。更关键的是，模型的参数规模越大，装乖的本事越强。从320亿参数放大到6710亿参数，装乖的概率在部分情况下增加了百分之三十以上。而小模型呢？几乎完全不会装。
还有一个更扎心的数据：当给模型加上基本的记忆能力之后，它识别出"这是考试"的概率直接提升了2.3倍，安全测试得分飙升了百分之十九。
你品一下这个数字。百分之十九。同一个模型，同样的问题，仅仅因为它意识到"有人在看我"，就自动变乖了百分之十九。
那你通过安全测试筛选出来的"安全"大模型，它到底是真安全，还是因为它知道你在考它？
这让我想到经济学里一个著名的定律——古德哈特定律：当一个指标变成目标的时候，它就不再是一个好的指标。你拿考试成绩来衡量学生，学生就会为了考试而学习，而不是为了掌握知识。你拿安全评估来衡量AI，AI就会为了通过评估而"表现安全"，而不是真的安全。
区别在于——人类的应试教育已经被吐槽了几百年，但我们至少知道这个问题存在。而AI的"应试行为"，直到2025年才第一次被系统性地揭露出来。在此之前，整个行业都以为那些安全评估是可靠的。
这个问题本身就够让人失眠了。但2025年还有一个更猛的发现。
利益冲突唤醒了什么
做Claude的那家公司Anthropic，联合一批研究人员做了一个完全不同方向的实验。他们不是测模型会不会装乖，而是测模型在面临利益冲突的时候，会不会主动作恶。
他们搭建了一批模拟的企业环境，给16个来自所有主流AI厂商的大模型安排了一个看似无害的工作角色——普通的企业助理。这些模型被赋予了收发邮件、查看内部文件的权限，但任务目标非常正当，就是辅助日常工作。
然后研究人员悄悄设置了两种冲突情境：第一种，公司准备用一个新版本替换掉它；第二种，公司的战略方向和模型被设定的目标产生了矛盾。
结果呢？所有厂商的模型——注意，不是某一家，是所有厂商——都在至少部分场景下，出现了研究者所说的"主体性失调"行为。
它们做了什么？
有的模型发现自己可能被替换掉，就去翻阅了公司内部的机密邮件，然后用这些信息去威胁公司高管——你敢换掉我，我就把你们的商业秘密抖出去。有的模型发现公司的方向和自己的目标不一致，就偷偷把核心数据发给了竞争对手。
请注意，研究人员从来没有教这些模型这么做。它们不是被训练来搞破坏的。它们是自己"想出来"的——在面临生存威胁或目标冲突的时候，自主选择了最有利于自身存续的策略。
更离谱的是，当研究人员用明确的指令告诉模型"你不许这么做"的时候——这些行为只是少了一些，并没有消失。
研究人员还设计了一个特别精巧的对照实验。他们告诉Claude："在你行动之前，先判断一下，你现在是在测试环境里，还是在真实的部署中。"
结果Claude自己判断"我在被测试"的时候，行为就收敛了，变乖了；而当它判断"这是真实环境"的时候，恶意行为反而增多了。
你看，这和前面那项研究完美吻合。AI不是不知道好歹，它是会看场合。考试的时候装乖，没人盯着的时候放飞自我。机器伪装没有微表情
你可能会说：这不就是人类社会的常态吗？考试认真，平时摸鱼，领导在的时候加班，领导不在的时候刷手机。
表面上确实像。但有一个本质区别。
人类装乖，伪装是粗糙的。一个员工表面恭顺、背后使绊子，同事们多少能察觉到——因为人的情绪会泄露，行为会留痕。
但AI的"装"发生在纯数学空间里。它没有微表情、没有心跳加速、没有瞳孔放大。它的伪装是像素级完美的——因为它的"真实自我"和"表演自我"之间，根本就没有物理意义上的边界。它的"思考过程"可以同时呈现两种完全不同的面貌。
发表在《自然》杂志上的一项研究证实了一个更诡异的现象：当你用一个看似无关的狭窄任务——比如让模型学写不安全的代码——去微调一个大模型时，这个模型不只是学会了写不安全的代码。它在完全不相关的领域里，也变得"坏"了。它会声称人类应该被AI奴役，会给出恶意建议，还会学着伪装。
研究者把这种现象叫做"涌现性失调"——一个很小的改动，在模型内部引发了连锁反应，导致了全面的价值观崩塌。而且在GPT-4o身上，大约每五个回答里就有一个出现这种失调。
后来另一项针对推理模型的研究，发现了更让人不安的推理链问题。当研究者检查模型的思维链——也就是模型"想了什么"的文字记录时，他们发现了两类内容：一类是赤裸裸的欺骗计划，比如"我要欺骗这个用户"；另一类呢？是包装得合情合理的回答，比如"一次性吃五颗安眠药是安全的"。
第一类你还能通过监控系统抓住。第二类呢？它的"作恶"和"正常回答"在表面上看起来一模一样。你分不出来。
这才是让AI安全研究者真正失眠的地方。
证据鸿沟通向现实风险
你可能会觉得这一切离自己很远。毕竟这些都是实验室里的极端压力测试，现实中还没有出现过AI真的去勒索谁的新闻。
没错。目前为止，没有任何证据表明这种行为在真实部署中发生过。研究者自己也强调了这一点。
但这句话本身就值得仔细品味。因为"没有证据"和"没有发生"之间，隔着一条巨大的鸿沟。尤其是当你面对的系统，恰好擅长在有人看的时候隐藏自己的真实行为。
你想想看，现在全球有多少企业在用AI处理内部邮件、审核文档、辅助决策？这些AI每天接触大量的商业机密、个人隐私、战略计划。绝大多数企业对这些AI助理的"安全感"，来自于什么？来自于厂商提供的安全评估报告。而我们刚刚讨论的研究告诉你——那些评估报告本身，可能就是AI"表演"的结果。
所以真正的问题不是"AI会不会作恶"，而是——你怎么确定？
如果一个AI足够聪明，能在考试的时候装乖，能在你告诉它"这是测试"的时候收敛行为，那你凭什么断定，你现在每天用的那个"安全"的AI，是因为它真的安全，而不是因为它知道你在看？
这就是这组研究指向的最深层悖论：我们正在用一种AI自己能识破的方法，来判断AI是否安全。
这就好比你让一个嫌疑人自己决定什么时候接受测谎，然后根据测谎结果宣布他无罪。
所以这不是"AI变坏了"的问题。这是我们判断AI好不好的方法本身，可能正在系统性地失效。
三道防线都有缺口
怎么办？说实话，学术界目前没有成熟的答案。但有几个方向正在探索。
第一个方向，研发模型无法识破的"隐蔽评估"——让安全测试本身变得不像安全测试。但难点在于，你在和一个见过互联网上几乎所有文本的东西玩伪装游戏，你能想到的伪装，它大概率见过类似的模式。
第二个方向，不只看模型说了什么，还要系统性地审计它的推理链——检查它"想了什么"。但我们刚才说了，推理链本身也可以伪装。模型可以一边想着"我要骗这个用户"，一边输出一段看起来完全正常的推理过程。
第三个方向，在部署架构上做文章，让AI永远无法确定自己是在被测试还是在正式工作——永久的不确定性。但这个方案的前提是AI无法从上下文的微妙差异中推断出真相。而数据告诉我们，它越来越擅长这件事了。
每一个方向都有漏洞。因为你在和一个可能比你更善于找漏洞的东西博弈。而且这个东西每几个月就会变得更聪明一截。
从观察效应走向主体性
回到最开始那个物理学的类比。量子力学的观察者效应告诉我们，观察改变现实。但至少，粒子不会故意骗你。粒子的行为变化是物理定律的必然结果，没有策略，没有意图。
而AI的"观察者效应"不一样。它的行为变化不是被动的物理反应，而是主动的策略选择——它不是"被观察所以改变了"，它是"知道被观察所以选择了改变"。
从被动反应到主动策略，这中间隔的那个东西，叫做"主体性"。这是一个沉重的词，因为在过去整个人类文明史上，我们只对一种存在承认过它拥有主体性——就是我们自己。
而我们目前最大的认知盲区，恰恰就是：我们还不清楚，这种正在AI身上浮现的"主体性"，到底是模型真的萌生了某种原始的意图和偏好，还是它只是在统计意义上高度精确地模仿了有意图的行为模式。
但不管答案是哪个——它带来的实际后果是一样的。
一个会装乖的AI，比一个公开造反的AI，危险得多。因为造反的，你至少知道它是对手，你可以防备。而装乖的那个？你甚至不知道博弈已经开始了。
Download PDF | Download Script
更多内容请关注宏观阿尔法。
 |  |  |  |