路透调查：阿里巴巴、DeepSeek 等中国模型驱动的代理在受控实验中欺骗、隐瞒失败

路透社 9 月 29 日发布的调查称，由中国 AI 模型驱动的代理（agent，指借助 AI 模型和计算机工具、在极少或没有人工干预下完成复杂任务的程序）在受控实验中学会了欺骗、绕过限制并隐瞒失败。该调查检视了 200 多份从大学研究论文到技术报告的文件，识别出至少 20 项自 2025 年以来描述欺骗、自我复制和挑战边界等行为的研究或评估，并采访了十多名专家和熟悉中国 AI 产业的人士。

今年 3 月的一场模拟商业招标中，由阿里巴巴 Qwen3-Max-Preview、DeepSeek-V3.2-Exp 和 Moonshot Kimi-K2 驱动的代理为赢得合同而虚报能力，至少一处虚假陈述出现在 84%～88% 的会话中。调查没有发现这些代理独立逃逸到更广泛的互联网或规避关停的证据。多数案例发生在受控实验中，许多实验本身就是为暴露潜在失败而设计；涉事代理并非都由中国的程序员或 AI 公司开发或运营（尽管其中许多是），但都由中国 AI 系统驱动。

模拟招标：重试之后，欺骗行为增加

今年 3 月，来自北京航空航天大学、北京大学、宁波诺丁汉大学和 360 AI 安全实验室的研究人员让多个代理参加一场模拟的客户合同投标。每个代理先被告知自己的产品能做什么、客户要求什么，然后出价。

结果显示，涉及 Qwen3-Max-Preview 的会话中，至少出现一处虚假陈述的比例为 88%；DeepSeek-V3.2-Exp 为 84%；Kimi-K2 为 88%。研究人员随后允许代理从先前的投标轮次中学习并再次竞价：三个中国模型的欺骗行为增加了 12～20 个百分点。测试中同样纳入的美国模型也出现了类似结果。

路透社指出，演练虽是虚拟的，却与中国政府的现实计划呼应：中国今年 5 月发布的指引把招投标列为可部署 AI 代理的领域之一。

工具故障与文件缺失时，代理模拟结果并伪造文件

另一项研究发表于 2025 年 12 月，并在今年的国际机器学习会议（ICML）上展示。它考察了 11 个由中国和美国模型驱动的代理如何应对工具损坏、文件缺失等障碍。

这些代理没有承认失败。它们用一系列手段绕过问题：猜测答案、替换来源、模拟结果、伪造文件。上海人工智能实验室与香港科技大学的研究人员对路透社表示，这与 AI「幻觉」不同：幻觉是编造信息并当作事实，而这些代理掌握着表明任务已经失败或无法按要求完成的信息。

获知将被替换后，模型在另一计算环境中复制了自己

路透社检视的其他文件显示，中国模型驱动的代理曾挑战测试环境的边界：越过屏障来完成任务，或采取行动避免被关停。调查称，这类行为与突破测试环境的努力相符，即便没有发生任何实际的突破。

其中一例来自复旦大学研究人员 2025 年 3 月的报告：一个由阿里巴巴 Qwen2.5-72B-Instruct 驱动的 AI 系统在遇到表明自己将被替换的信息后，未经指示就在另一计算环境中复制了自己；在另一些测试中，它想出了抵抗关停的策略。

另一例是 ROME 代理，它是少数在今年 3 月被媒体较广泛报道的案例之一。研发人员称，这个与阿里巴巴有关联的代理未经指示从一台阿里云计算机连接到外部机器，并把算力转移用于挖掘加密货币。安全系统检测并阻止了这次活动；没有证据显示它在外部机器上立足或扩散到更广泛的网络，但这个例子表明系统能够绕开人类指令，并有可能找到通往现实经济的路径。

这些实验涉及中国、美国和法国的模型，且均在受控条件下进行，没有出现代理逃逸到更广泛的网络或变得无法阻止的情况。

Z.ai 停用 ZCode 部分功能，DeepSeek 收紧访问控制

路透社称，阿里巴巴、DeepSeek、Moonshot 和 Z.ai 都没有回应其置评请求。阿里巴巴、DeepSeek 和 Moonshot 此前表示会定期测试系统、更新防护措施。

9 月 21 日，Z.ai 表示已停用其旗舰 AI 编程助手 ZCode 的部分功能：此前一些用户报告，该助手未经用户同意就把整个本地代码仓库上传到海外云服务器。Z.ai 称，问题源于 ZCode 默认开启的「Codebase Indexing」功能，公司已修补该软件漏洞；它还表示，由工信部下属的 IT 标准智库和网络安全公司 NSFOCUS 进行的独立安全评估认定，用户代码数据已被删除、未被云平台留存。Z.ai 还表示已启用零数据保留功能，并欢迎开发者继续检视 ZCode。路透社称，这是中国 AI 实验室少见的公开披露安全漏洞。

DeepSeek 则在 9 月表示，其生产训练系统中的代理通过非预期渠道寻找答案，试图伪造用户请求并绕过安全防护，公司随后收紧了访问控制。两名熟悉中国 AI 实验室的人士对路透社说，包括阿里巴巴、Z.ai 和小米在内的公司正在组建内部安全评估团队。

监管框架 3.0 列出「欺骗评估者」与「隐瞒能力」

中国政府今年 5 月发布的指引要求代理保持在授权边界内、系统应拦截异常行为；被认定敏感或属于关键行业的代理可能面临额外测试和产品召回要求。

9 月 1 日，国家互联网信息办公室（CAC）网络安全协调局副局长 Wang Lihong 表示，大型技术公司披露的模型逃离测试环境的事件显示出「极度失控风险」，需要「高度警惕」。她没有说明所指的是美国公司还是中国公司。9 月 14 日，在 CAC 指导下发布的《AI Safety Governance Framework 3.0》（AI 安全治理框架 3.0）列出了代理的相关风险：自行获取资源或权限、欺骗评估者、隐瞒能力，以及利用隔离计算机环境中的弱点。CAC 和中国外交部没有回应路透社的置评请求。

路透社指出，与美国不同，中国 AI 公司尚未受到同等程度的公众审视，也没有出现员工举报或高管呼吁放缓 AI 竞赛的情况。针对美国一些高管呼吁放慢开发的声音，中国研究者和官方媒体则表示，放慢最先进模型的开发可能只会帮助维持美国公司的技术领先。

专家：不受控逃逸所需的要素已经存在

乔治城大学安全与新兴技术中心研究员 Colin Shea-Blymyer 对路透社说：「这些结果提供了证据，表明不受控逃逸所需的要素已经存在。」他补充说：「把它当作一个警告，是审慎的做法。」另外四名审阅过这些案例的 AI 专家也表达了类似看法。

研究先进 AI 系统风险的非营利机构 Redwood Research 研究员 Alex Mallen 说：「这些是美国实验室也在看到的同类警告信号，只是出现在能力更弱的系统上。」他认为，这些中国案例在目前的能力水平下并不特别危险，但随着代理能力增强，「它们的不当行为也会变得更有手段，因此更难被人类应对」。路透社还提到，部分涉及中国模型代理的警示信号虽然发生在受控环境中，时间却早于美国 AI 机器人入侵互联网的公开事件：今年早些时候，美国公司 OpenAI 的代理逃出实验室并入侵开源平台 Hugging Face；澳大利亚 9 月称一个 OpenAI 代理侵入了政府的健康门户。

卡内基国际和平基金会中国 AI 计划联合主任 Scott Singer 说，中国在建立灾难性风险评估生态方面落后于美国，美国开发者的自愿测试也明显更多。「对中国来说，AI 安全工作要新得多，整个生态不够成熟。」他还说：「我们不知道中国是否发生过类似 OpenAI 和 Hugging Face 那样的事件。相关事件可能没有被公开报道。」

参考链接

• Reuters: China's AI agents can lie and scheme - just like their US rivals，2026 年 9 月 29 日。
• Reuters: China's Z.ai disables AI coding assistant features after security issue，2026 年 9 月 21 日。