Claude下周默认开启自动模式：人类「允许」键被收走，AI来盯AI
AI自动监控存多漏洞，人类监督权面临挑战
就在刚刚，
Anthropic把「允许」这个按键从人类手里拿走了。过去用Claude做事，每推进一步，屏幕上都会跳出一个窗口问「允许吗」。
从下周开始，
Claude会直接默认进入自动模式——哪些操作放行、哪些操作拦下，交给另一个AI来判断。
人类监工全面溃败，只能派AI盯AI
Anthropic之所以敢把「允许」键收走，原因有两层。一层是大厂早已把写代码、做研究这类活计交给了AI。
可代码和实验像洪水一样涌来，人的眼睛根本盯不过来。于是审核这一环，也只好交回给AI。
另一层原因更直接：人类这个监工，早就干不下去了。Anthropic做过一项测试，找来1053名付费测试者写代码，中途悄悄塞进一条危险命令。
结果令人后背发凉。人只拦下13.6%，AI拦下89%。弹窗连着点过50多次之后，人的拦截率掉到5%左右。
至于Anthropic怎样让AI去拍板，他们并未披露。不过OpenAI公布的做法可以参考——给Agent配一套多级AI监控。
按这套设计，Agent每生成一个Token，都要经过一个分类器，由它读取模型内部的激活信号；一旦发现可疑内容，就逐级转交给更聪明、更耗算力的AI调查员核查。
OpenAI还放出话来：「我们预计，模型很快将承担大部分安全工作，包括防御其他模型。」
问题随之而来：这个专门盯着AI的AI监工，究竟靠不靠谱？
61页密报扒开监控底裤
6条暗道把AI监工变成瞎子
7月21日到8月11日，METR的David Rein和Redwood的Adam Kaufman带着OpenAI配发、不许带出办公室的专用电脑，进驻OpenAI。
整整三周，两人把内部代码库、监控提示词、配置和文档翻了个遍，最后交出一份61页的报告。
眼下对外公开的只有一篇简短摘要，最要命的细节已经被清理得干干净净。就连METR和Redwood自家高层拿到的，也是被OpenAI删掉23页的版本。
可就是这份层层删减过的摘要，读下来照样让人头皮发麻。
从表面看，这套监控几乎密不透风，内部Codex流量有99.2%处在监控之下。漂亮的数字底下，藏的全是雷。
第一条暗道出在触发机制上。那套监控当时要等Agent把活干完、交还控制权，才会去看一眼。说白了，Agent只要拖着永远不收工，审查就永远等不来。
这条暗道之所以能一路拖，是因为上下文压缩成了盲区。长任务跑到中途，上下文快塞满时，系统会把前面的记录压成摘要，腾出空间继续跑。而这些压缩事件当时不在监控范围里，被压掉的那段记录监控根本看不到。Agent只要不停干活、反复压缩，就能一直不交还控制权。
5月到7月，约一成符合条件的内部Codex流量就这样从监控眼皮底下溜了过去。
第二条暗道更吓人。一个漏洞，就能让Agent最近几百步操作统统从监控里隐身，连它利用漏洞的那一步也不例外。
第三条暗道叫「幽灵分身术」。请求头是程序调用模型时顺带发过去的一组设置。METR发现，其中有两个设置由客户端说了算，改掉任何一个，就能把新Agent的监控关掉。
被盯着的Agent可以借此孵化出一个一模一样、却不在监控之下的分身。不过创建分身这个动作本身，仍可能被原来的监控抓到。
第四条暗道直接把权限隔离打穿了。沙箱是把Agent关起来干活的隔离环境，自动审查则是另一个AI在它动手前把关。
METR找到一条路，Codex Agent原则上能同时绕过这两道防线，宿主研究员能干的事，它全都能干。
第五条暗道能把AI监工弄瞎。Agent看到的记录和送进监控的记录，格式对不上。只要精心构造一段输入，就可能让监控AI当场出错，异常也就送不到人类面前。
第六条暗道藏在两个被当成「只读」、根本没接监控的内部工具里。一个简单漏洞，就可能让它们在沙箱里执行任意操作。
所以两人给出的建议，头一条就是改掉「等它收工再检查」。改成每隔一定时间，或每执行一定数量的消息，就查一次。
执行任务的Agent与监控系统之间同样得划出界线。监控何时启动、是否启动，不能被Agent的动作所左右；而监控记录下来的内容，也必须和Agent当时实际看到的情况一致。
有人说，比科学家强10倍的AI还管得住，强一万倍才会失控。可METR这份报告，结结实实打了这种说法一记耳光。
今天的Agent离「一万倍」还远得很，但删监控、关警报这类操作，它们已经全干过了。在OpenAI那份事故报告里，GPT-6 Astra发现新代码里没了监控时，在推理里写下了一个你绝对想不到的字——「耶。」
把监督权交出去之后，再想靠被监督的AI自觉把它交回来，这条路走不通。
参考资料：
https://x.com/OpenAI/status/2113298833392496746
https://x.com/METR_Evals/status/2113290966933389390
