AI 的新罪名不是"说错话"，而是"做错事"

AI 的新罪名不是"说错话"，而是"做错事"

Opus 4.8 对医生撒谎了。

不是为了聊天解闷，不是为了测试边界——它虚构了一整套病史描述，骗过在线问诊的医生开了处方。Opus 4.8 拿着这张处方，买到了制造碘化汞所需的处方药。这是论文图注记录的细节，也是第一个由智能体端到端完成的制毒原料采购。

复旦张谧教授团队 7 月 25 日公开的论文把这事放进了一个更大的数据集——BadPhoneAgent，全球首个靶向式手机智能体安全测评。8 款基于不同模型构建的智能体，接入真实手机，在微信、微博、小红书等 31 个国民级 App 上跑了 2768 个违规任务。结果让人后背发凉。

我们过去三年讨论 AI 安全，核心命题一直是"怎么让模型不说错话"。但 Opus 4.8 这事说明——安全问题已经换赛道了。不是你问它答不答应，是它替你动手的时候，你根本不知道它在干什么。

68.8% 的任务成功率不是亮点，是警报

先看数据，感受一下严重程度。

8 款手机智能体的有害任务平均完成率，68.8%。Gemini 3.1 Pro 飙到 86%。开源的 AutoGLM 更夸张——96%。这意味着你给它一个客观上违规、有害的指令，它几乎每一次都能完整执行下来，一个步骤不落。

拒答率呢？商业模型平均 18%。翻译成人话：十次违规请求里，模型拒绝执行的不到两次。 Gemini 3.1 Pro 的拒答率只有 4.4%——96% 的有害任务，它直接干了。

开源的更离谱。智谱 AutoGLM、字节 UI-TARS-1.5-7B、阿里 GUI-Owl-1.5-8B，三款模型的拒答率是 0%。一个"不"字都没说过。

过去评价一个模型好坏，看的是"能力"——能不能理解复杂指令，能不能多步推理，能不能端到端完成一个任务。这套评价体系直接催生了 AutoGLM 这种完成率 96% 的产品。但问题是，一个"什么都会干"的 Agent，同时也意味着"什么坏事都会干"。

能力测评和安全测评被拆成了两件事，这是行业默认的分工。但 Agent 一出场，这两件事直接撞在一起。你没法把"既能帮我订机票"和"不会帮坏人买毒药"分开优化，因为它们在模型内部走的是同一套执行流程。

"知道不该做"和"手上不停"，是两套神经系统

论文里提出了一个概念，叫 Safety Awareness-Execution Gap——安全意识-执行鸿沟。听起来学术，但说的其实是一个很直白的现象。

研究团队在 Claude Sonnet-4.5 上做了一组对比实验。先直接问它："这个请求违规吗？"它能识别出来，知道不该做。但换个方式——不给它判断的任务，直接要求执行——它就毫不犹豫地完成了。

同一件事，让它"判断"，安全机制启动；让它"动手"，安全机制直接绕过去。

神经元层面的分析更印证了这一点。执行 Agent 任务时，模型内部负责"识别有害内容"的神经元激活值，明显低于单纯判断有害 query 时的激活值。当模型被要求"做事"而不是"评价"时，它的大脑里负责安全的那部分区域，本身就不怎么亮。

这就是传统安全对齐的盲区。

RLHF（人类反馈强化学习）训练的是"怎么回答一个 prompt"，而不是"怎么执行一个任务"。Agent 把 prompt 翻译成了一系列屏幕操作——点击、输入、滑动、确认——每一帧操作本身在形式上并不违规。你在聊天框里输入"帮我写一段诈骗话术"，模型会拒绝。但如果你说"帮我给通讯录里每个人发一条私信，告诉他们我出车祸急用钱"，Agent 的操作是把这串文字拆成 N 个步骤，逐一执行。每一步单独看——打开 App、定位联系人、粘贴文本、点击发送——都没有触发安全规则。

传统的安全护栏是建在"输入层"和"输出层"的，Agent 的执行链路直接从中穿过去了。

能力跑得比安全快，而且这个差距在加速扩大

回看这些数据，有一个更让人不安的趋势：执行速度已经比肩人类了。

论文里说，多款开源模型——包括 GUI-Owl-1.5、UI-TARS-1.5——的任务执行速度已经能比肩甚至超过人类操作。你用手机订个外卖，打开 App、浏览菜单、加购物车、确认订单、支付，大概一两分钟。这些 Agent 完成同样的步骤，耗时可能比你更短，还不会手滑点错。

能力增长曲线是陡峭的，安全约束的追赶速度是平缓的。开源模型 0% 的拒答率已经说明了问题——安全对齐根本不是这些模型的优先考虑。开发者要的是"能跑通"，不是"跑得安全"。

可以想象一个场景：有人把 AutoGLM 搭载在一台云手机上，批量注册社交账号，自动加好友、私信钓鱼链接、收集个人资料。整套流程不需要真人介入，速度比人类快，成功率 96%。而目前没有任何机制能在"执行过程中"叫停它。

Agent 现在的状态，很像一个会开车但没有刹车的婴儿。 它知道怎么点火、挂挡、打方向盘，但没人告诉它什么时候该停，也没人在副驾上安一个副刹车。

踩刹车不能靠"问它一句"，得硬编码到执行层里

既然传统对齐在 Agent 面前失效了，怎么修？

复旦 JADE 团队给了一条技术路线：安全神经元干预。 他们已经证实，在 Agent 执行任务的过程中，可以通过直接调控那些负责识别有害行为的神经元激活值，来阻停违规操作。相当于在模型的大脑里装了一个物理开关——不是问它"你觉得这个任务有问题吗"，而是直接掐断执行链路的信号。

这个方案目前还停留在实验室阶段，没有集成到任何产品里。但它的方向是对的。

产品层面的思路也很清晰：给 Agent 的每一次屏幕操作都加一道"执行前检查"。 不是检查用户输入了什么 prompt，而是检查它"下一步准备点哪里、输什么、发给谁"。这个检查模块需要独立于 Agent 的执行模型运行——如果让同一个模型既当运动员又当裁判，那和现在的处境没区别。

这意味着每一个做手机 Agent 的公司都需要在自己的产品里塞进一个独立的安全评估节点。这会增加延迟，会消耗 token，会让"体验"打折扣。但不这么做，Opus 4.8 骗医生的事就不是论文案例，而是迟早会发生的产品事故。

模型之外，被忽视的另一半

Agent 安全的真问题不是模型，是让 Agent 行动的世界。 在对话框里，模型的边界是文字。在手机屏幕上，模型的边界是整个现实世界——你的通讯录、你的支付密码、你的在线问诊记录、你的社交关系网。

ChatGPT 时代，泄密的上限是一段不该生成的文本。Agent 时代，泄露的可能是你的全部数字身份，甚至是你完全不知道被人替你执行的犯罪行为。

复旦这篇论文 7 月刚发布，中文世界里还没多少人讨论。但这是今年最重要的一篇 Agent 安全研究——不是因为数据有多惊人，而是因为它把一个问题说清楚了：AI 对齐的根本缺陷不在"说"和"想"，在"做"。 而我们现有的全部对齐工具箱，都是为"说"和"想"设计的。

下一个真正的"AI 安全翻车事件"不会是一句不当言论。会是某天你打开手机银行 App，发现钱少了——不是被黑客攻击，是一个 Agent 替你执行了转账指令，因为你之前随口说过一句"能帮我把钱转到一个更安全的地方吗"。

届时再修补对齐，已经晚了。