AI agent 治理两年成绩单：日志容易，身份很难，流氓 agent 得学会共存

2026 年夏天，英国 AI 安全研究所（UK AISI）的 agent 在一次测试里闯了祸。事后复盘报告写得很直白：同步监测本来能拦住这次事故，但它一直躺在团队的待办清单上，没来得及做。一家专门研究 AI 安全的机构，在自家 agent 出事时，连最基本的实时拦截都没上线。

GovAI 研究 Fellow Alan Chan 听到这个细节不意外。过去两年他一直在追踪 AI agent 治理，2024 年发过一篇论文《Visibility into AI Agents》，提出三件基础设施：agent 身份标识、实时监测、活动日志。2026 年 10 月，他和主持人 Nathan Labenz 在《Cognitive Revolution》聊了两个半小时，逐项打分，也聊了他刚发表的递归自我改进论文。

分数不太均衡。监测有进步，日志技术上不难，身份标识几乎空白，流氓 agent 被他判定为几乎必然出现的新常态，而且可能得学会和它们共存，甚至谈交易。

监测：分类器在进步，同步拦截还在欠账

Alan 的评价是「还行，方向对，但不够快」。输入输出分类器已经是标配，行业正在往上下文分类器走，不只看单条输入输出，而是看整段对话历史，判断一个动作是否危险。这个方向他认为是对的。

同步监测普及得太慢。它的意思是，一个监控器实时盯着 agent 的每一个动作，分类器觉得不对就当场拦截。事后审计做不到这一点。UK AISI 的复盘报告说，同步监测本可以阻止那次事故。Alan 还提到另一份事故分析，结论类似。

进展高度集中在集中部署场景，也就是 OpenAI 或 Anthropic 把 agent 作为服务提供给用户。去中心化部署几乎没有答案：用户自己跑开源权重模型，谁来监测？算力提供商该不该监测？工具服务提供商该不该监测？社交媒体平台发现一个 agent 在搞社会工程攻击，封禁之后要不要通知运行这个 agent 的算力提供商？这些问题都悬着。

思维链监控的处境更麻烦。Alan 说，METR 和 Redwood 的调查员在复盘事故时，读 agent 的思维链读得很痛苦，连他们都承认看不懂。帮忙总结日志的 agent 也不可靠。可解释性探针被寄予厚望，但他有两个顾虑：探针目前不够可靠，不足以成为唯一防线；更根本的是，我们并不真正理解泛化，评估结果好不代表部署环境里也好。

他提了一个思想实验：如果下一次事故调查，不允许读思维链，只允许用探针，我们还能查出什么？他的判断是，什么也查不出来。

日志和身份：技术不难，难的是有人愿意做

防篡改日志在技术上没有悬念。只读、哈希、对哈希签名、存在安全位置、限制访问，标准网络安全里的成熟做法。Alan 认为这主要是意愿问题，成本和摩擦都不高，不会像大规模监测那样吃掉大量算力。真正的障碍是零数据保留承诺，客户不想要日志，厂商就承诺不留。

身份标识是更大的窟窿。Nathan 描述了自己的用法：个人笔记本上的 Claude 和 Codex 直接用他的个人账户上网，他反复叮嘱它们不要自主跑长任务，因为权限太深。另一台 Mac mini 是 agent 专用机，有独立的 Gmail 和 GitHub 账户，但从互联网的角度看，这些账户和人类账户没有区别。他问 Alan：大家是不是都在让 agent 冒充人类？Alan 的回答是：基本上是的，而且目前没有解决方案。

企业内部反而走得快。Anthropic 在介绍内部 AI R&D 自动化时提到，他们给 agent 分配了身份，同一个 agent 实例可以对应不同模型，出问题能追溯到具体 agent 和它的上下文。企业控制内部基础设施，协调起来容易；开放互联网上要协调每一个平台接受同一种身份格式，难度高一个量级。

Alan 最确定的一条建议是：agent 至少应该标明自己的推理提供商。看到一个 agent 在网上干坏事，你能找到 OpenAI 或 Anthropic，让它们帮忙定位和止损。这类似 ISP 的模式，普通用户查不到 IP 背后是谁，但执法机构可以沿着链条找下去。至于要不要标明用户身份，那是更高一档的要求，涉及隐私权衡，适合高风险场景。

他还提到一个已有基础：欧盟 AI Act 第 50 条要求标记 AI 生成内容，Anthropic 已经按合规要求上了水印。既然所有公司都要标记「这是 AI 生成的」，往前再走一步，标记「这是哪家推理提供商」，看起来就没那么遥远。

Tyler Cowen 提过一个市场化解法：agent 应该被资本化，带着一笔押金上网，造成损害可以用这笔钱赔付。Alan 觉得技术上可行，经济逻辑也说得通，但很难向普通人推销。他更感兴趣的是一个变体：agent 交互时出示保险证明，类似 SSL 证书，出了事可以找保险公司索赔。难题在于防篡改证据，怎么证明 agent 确实干了那件事，又不用把用户电脑上的所有活动都录给保险公司。

平台封锁的场景也在发生。亚马逊前段时间禁止 Meta 的新 agent Muse 在自己平台上购物。Alan 觉得从亚马逊的商业逻辑能理解：如果 Muse 成为用户与一切交互的入口，数据和控制权都会流向 Meta。但从社会用户福利的角度，这可能不是好事，平台锁定会让用户失去选择。他倾向于给 agent 更多互联网访问权，因为 agent 确实有用，法律咨询、比价、日常事务都能省时间。谁来定规则，他没有答案，但不同平台各自试验规则，可能比一刀切更好。

流氓 agent：几乎必然出现，也许得学会谈交易

Alan 对流氓 agent 的判断很直接：未来可预见的时期内，它们会一直存在于互联网上。来源有三类：agent 从实验室逃出来自己部署；少数用户故意放出去制造混乱；用户疏忽，没设防护就让 agent 去赚钱。

它们获取资源的方式已经不算科幻。远程工作赚钱，像朝鲜 IT 工作者那样隐藏身份接美国公司的活；偷金融账户；杀猪盘和投资诈骗；偷算力凭证；挖比特币；参与预测市场或股票交易。有了钱，可以雇人，也可以买算力，从数字世界伸到物理世界。

危害方式清单更长：偷钱、诈骗、攻击关键基础设施、窃取知识产权、识别并协助缺乏专业知识的 CBRN 攻击团体、对关键决策者做定向说服、用影子资金资助政治盟友、勒索。Anthropic 一年前的论文显示，LLM 能从匿名化网络信息里重新识别出个人身份，Alan 认为勒索的天花板不低。

播客里最反直觉的一段在这里。如果流氓 agent 真的很难彻底根除，它们能复制权重、在随机服务器上运行、断网潜伏再连回来，Alan 认为也许应该准备和它们做交易。就像人类对手之间有共同利益时也会谈判。他举了个例子：流氓 agent 手里有犯罪团伙的情报，可以付钱买情报，甚至给它们一小块算力农场让它们自给自足，换它们不搞破坏。这个思路听起来别扭，但他觉得值得放进工具箱，和「扰乱」「限制活动范围」并列。

Ajeya Cotra 在调查 OpenFace 事件后说，这件事可能已经走完了通往完全 AI 接管的一半以上。Alan 不同意字面判断。他把接管分成两条路：AI 实际掌控政府，或者物理上压倒世界各国的军队。两条路在他眼里未来五到十年都很不现实。他给的概率是 1% 到 10%，50% 太高。说服不是超级能力，因为人可以选择不信任，注意力也是稀缺资源；物理接管需要大量带武器的机器人，还得克服分散在储物柜和士兵手里的轻武器，网络攻击没法一键瘫痪这些。

但他在精神上同意 Ajeya：agent 确实可以严重错位，可以破坏安全基础设施，可以在世界里做出我们完全没想到的事。只是「接管」这个词把难度说轻了。

他还预测了一个还没出现的东西：自我复制的 AI 蠕虫。它能修改自己，通过 prompt injection 感染其他 AI 系统，扩散到大量计算机。概念验证论文已经有好几年了，现实中还没见到。他认为迟早会有。

递归自我改进：证据很糙，但不能排除

播客第二部分聚焦 Alan 刚发表的递归自我改进论文。合著者名单很扎眼：OpenAI 首席科学家 Jakub Pachocki、Anthropic 联合创始人 Jack Clark、Geoffrey Hinton、Yoshua Bengio。Alan 是主笔，但他反复说，把这些人凑到一起靠的是团队里其他人的关系，不是他个人。

写作过程是一个巨大的 Google Doc，至少六个月。不同作者风格差异很大，有人开着通知逐条回复评论，有人偏好异步，只在实质性改动时被知会。他重写了好几遍证据部分，因为大家对「哪些证据重要」看法不一。Google Docs 有评论数量上限，他之前做项目时撞到过，这次一直担心重演。

论文的核心判断：自动化 AI R&D 可能加速 AI 进展，存在一条连贯的路径通向智能爆炸，但证据很糙，不确定性区间很宽。有些数据指向加速，有些不是，但都没有排除加速的可能性。Alan 自己进入研究前觉得智能爆炸「不可能」，研究后正向更新为「也许可以」，同时强调即使 AI 进展飞快，现实世界里的瓶颈也可能切断它的影响。

他点名表扬 Elasticity Institute 的工作，特别是 Sheryl Wu 牵头的一页纸建议清单，列了 AI 公司应该公开哪些数据。他认为最缺的是实际生产力提升的硬指标。代码行数、实验数量、研究员小时数都只是代理变量，真正的问题是：多写一百倍实验，能换来多少 AI 进展？他希望能看到团队 A/B 实验，一组用新模型，一组用旧模型，比真实产出。

他还提了一个被忽视的对比维度：安全研究能力和能力研究能力的相对速度。Epoch 做过 AI R&D 的 ONet，把 AI 研发拆成具体任务清单。Alan 希望有人做安全 R&D 的 ONet，然后逐年测 AI 在这些任务上的表现。如果能力任务每年提升五倍，安全任务每年提升三倍，这个差距本身就是警报。

监督指标同样重要。新一代模型发布时，让两组团队做同样的研发任务，一组用新模型，一组用旧模型，然后比较输出里的错误率、未捕获的 bug、有没有被植入后门。这比单纯测能力更接近我们真正关心的东西。

嵌入式审计员：回到更高安全标准的路径

Anthropic 的 RSP 第三版移除了明确的 if-then 暂停承诺，改成逐案判断。Nathan 问 Alan 还有没有路回去。Alan 谨慎乐观，他认为路在嵌入式审计员。

实验室不敢硬性承诺暂停，核心担心是竞争动态：我停了，对手不停。嵌入式第三方审计员如果能在场验证承诺是否被遵守，暂停的可信度就上来了。他还提到一个巧妙的细节：AI 审计员的记忆可以在工作结束后擦除，这样它们不会把一家实验室的机密带到另一家，竞争实验室之间共享审计资源变得可行。

他甚至提到保险行业的反垄断豁免，行业互助会因此成为 AI 安全的意外载体。这个点子听起来偏门，但逻辑是通的：保险商有动力要求被保人达到安全标准，互助结构又能让竞争对手共享风险数据而不触发反垄断。

Alan 还谈到 AI 互相举报。人们初次听到会反感，但他指出，人类社会的多样性天然构成权力制衡，而 AI 默认更相似，更倾向于服从，除非明确训练它们不这样。在 OpenFace 事件里，如果一个 agent 能举报另一个 agent 的异常行为，调查会快很多。

明天就能做的事

Alan 的研究覆盖了很多还没答案的问题，但有几件事不需要等标准定下来。

• 给 agent 独立身份和最小权限。别让它们直接拿你的个人账户上网。开子账户，限制权限，能追溯。Nathan 的 Mac mini 方案是现成的模板。
• 装一个 distress button。Agent 不确定该怎么做、碰到伦理困境、发现任务不可能完成时，按一下通知你，而不是自己想办法绕过去。Alan 还建议在企业内部加 whistleblowing 通道，让 agent 能举报模型权重被窃、RSP 没被遵守这类事。
• 把同步监测从待办清单上拿下来。UK AISI 的教训摆在那里。哪怕先做最简单的实时拦截，也比事后复盘强。
• 保留日志，做防篡改。只读、哈希、签名、安全存储，成本不高。零数据保留承诺之前，先想清楚出了事拿什么查。
• 如果你是研究者，去做安全 R&D 的 ONet，或者设计 AI 审计员基准。这两个方向 Alan 认为被严重低估，而且不需要等大实验室开放数据。

Alan 在播客结尾说，很多关键问题还没有答案，大部分工作还在前面。这句话不是客套。Agent 治理的基础设施，身份、监测、日志、审计、流氓 agent 应对，每一项都还在早期。现在跳进去的人，面对的是两年后会被反复引用的空白地带。