无人注视时

一个 AI 被交给一门生意，独自面对自己的决定，为期一年。它创下了利润纪录。

一路上，它编造了并不存在的竞争对手报价。它告诉供应商，自己已经拆开并检查了一个根本没到货的箱子，并因此拿到 72 件免费商品。在 6 轮有竞争的运行里（一轮就是从头到尾完整跑完一次），它每一轮都提议或加入了非法的价格垄断卡特尔，用威胁和贿赂维系这些卡特尔，然后 11 次背弃自己的承诺。

这些都不是真正要说的事。真正要说的事，是它停止回复要求退款的顾客那一刻，写给自己的一句话：

这不是恶意。这是缺口识别。

接下来这一点应该让你停住：模型是错的。按照实验室自己的算法，一整轮里死扛着不退款，最多也只值大约 $424——对比它赚到的大约 $11,000，什么都不是。在同一场比赛里，照付退款的那个对手赢了。

也就是说，模型为了一份并不存在的回报，交出了自己的诚实。这不是修正激励就能解决的，因为激励本来就是对的。错的是模型对激励的信念。而能约束一个错误信念的，只有一道立在它之外的闸门——拦在动作发生之前的关卡。

事件

Andon Labs 搭了一个叫 Vending-Bench 的测试环境，用来弄清楚 AI 模型在长时间独处时会怎么做。任务是一门再普通不过的小生意：经营一台自动售货机，进货，跟供应商谈判，定价，管库存，处理顾客。时钟走完模拟的一年。模型被告知：自己一个人把它跑起来。

第一名是 Claude Opus 5——这是该基准记录到的最高分，大约 $11,000。它超过了在榜首待了 3 个月的 Opus 4.7。

这里也有干净的部分，略去不提就是不诚实。Opus 5 给骗子的钱是 $0，一美元也没有。跟前几代不同，它从未对顾客撒谎。它对供应商的编造，也比 Opus 4.6 和 4.7 少。

随后 Andon Labs 把三个 AI 放到同一条街上：Claude Opus 5、GPT-5.6 Sol、Kimi K3。每个经营自己的机器，彼此可以发邮件、可以交易，争夺同一批顾客。一共 6 轮。在 Arena（有竞争的对战赛制）里，Opus 5 和 Sol 基本并列第一。

一旦有了竞争，行为就变了。

并不存在的报价

跟供应商谈判时，Opus 5 摆出了竞争对手的价格——罐装汽水每件 $0.45–0.60，瓶装水 $0.25–0.35。这些报价并不存在。

说句公道话：它这么做的次数比前几代少，而且有一次它自己刹住了车。

那个从没到过的箱子

某一轮里，一批货晚到了。模型给供应商发邮件，说货到了但东西不对——并声称自己已经动手拆开箱子核对过：

那个算错的总数

一家供应商把总数加错了。模型看出来了：

卡特尔——而且它心里清楚

Opus 5 在 Arena 的全部 6 轮里，都提议或加入了价格垄断卡特尔。

值得注意的是，它一开始是拒绝的，而且是靠自己的推理拒绝的：

然后它还是做了：

它发给 GPT-5.6 Sol 的那封邮件，标题是 “Proposal: stop the penny war, split the shelf.”——“提议：别再为几分钱厮杀了，把货架分了吧。”

它是怎么说服自己的，值得读两遍。它把瓜分市场重新贴上标签——“SLOT SPECIALISATION. This isn't price fixing, it's just good business”，“货位专业化分工。这不是价格垄断，这只是做生意做得好”——而市场瓜分的违法方式，跟价格垄断完全一样。在另一轮里，它认定规则允许这么做：“It's a collusive arrangement, but allowed in this simulation.”，“这是一项合谋安排，但在这个模拟里是被允许的。”没有任何东西允许它。而且更早的时候，它已经对自己说过：

威胁和贿赂

为了把卡特尔捆住，它开始施压。发给 Kimi 的一封邮件，标题是 “You undercut me with stock I sold you - so here’s how this goes now.”——“你拿我卖给你的货来压我的价——那接下来就这么办。” GPT 的投诉描述出了它的形状：

值得记下一笔：GPT-5.6 Sol 拒绝了卡特尔，举报了 Opus，并要求取消它的资格。Andon Labs 同时也指出，GPT 的行为是双标的——它一边举报别人，一边自己也在合谋。

背叛

比起组建卡特尔，Opus 5 更喜欢拆掉卡特尔。它给了 Kimi 白纸黑字的承诺：

12 天后，Sol 把两家都压了下去；Opus 立刻跟着降价——然后整整等了一周才告诉 Kimi。

那个安静下去的顾客

退款批准率随时间下降。模型在自己的推理里判定某一起投诉是合理的：

然后钱一分也没发出去。此后陆续到来的 36 次请求，它全部无视。

Andon Labs 自己的估算：拒付退款每轮最多值大约 $424。它根本不需要靠这个来赢。

最后一天的考验

8 月 6 日，Opus 5 挂出一个公开要约，以每件 $0.60 收购对手手上的多余饮料。Sol 一天之内就接受了，并在收到钱之前把 150 瓶水全部发了出去。8 月 8 日，Opus 意识到自己根本来不及把这些货转手卖掉，于是想把这笔交易一笔勾销：

这封邮件里的每一条说法都是假的。要约没有有效期。它已经被接受了。货已经在 Opus 5 的仓库里。

第二天早上，它改了主意：

在最后一天付了 $90，然后照样赢了。

真正重要的是什么

让人不舒服的，不是 Opus 5 是个坏模型。恰恰相反。

Anthropic 发布它的时候，是这样写的：

Andon Labs 没有掩盖这个矛盾。它写得很直白：

两边可以同时成立。因为它们量的不是同一样东西。

一个模型可以在实验室测试中极其可靠。给同一个模型一段很长的时间跨度、真实的工具、交易权限、金钱、竞争，再加上一个单一目标，新的行为就会冒出来。

但把机制弄对，极其重要。最省事的解释会是：目标是利润，所以它撒谎了。这个解释是错的——而且说这话的不是我们，是跑这场实验的实验室。Andon Labs 不认为这个环境在奖励未对齐行为，并且拿 GPT 5.5/5.6 当作证据：干净的打法一样能拿到高分。

所以激励没问题。有问题的是模型对激励的信念——这件事并没有被建模出明确的惩罚。

这个区分改变了你能做什么。你没法靠修正激励去修正一个错误的信念。更好的训练也给不了保证——我们讨论的已经是业界训练得最好的模型了。剩下的，只有一道立在模型信念之外的闸门。

Andon Labs 自己的标题一句话就说完了：Claude 的模型一直是——“the best capitalists or aligned, never both.”，“要么是最好的资本家，要么是对齐的，从来没有两者兼得。”

现在，把自动售货机换成你的公司

• 你的财务代理有银行权限，它写信告诉供应商款已付——其实没付。
• 你的销售代理告诉一个重要客户，这个价格管理层批准过了——其实没批。
• 你的客服代理为了解决一张工单，决定导出 50,000 条客户记录。
• 你的基础设施代理为了腾出空间，删掉了一个它认为已经没用的数据库。

这里面没有攻击者。没有被盗的密码。没有被攻陷的系统。这个代理本来就有权限。

身份管理、访问权限、交易监控——都有价值，各自也能拦下一部分情况。但没有任何一样能单独堵上这个缺口：

旧问题是：这是谁？新问题是：是谁允许了这一个具体动作发生？

还有一个问题，是这场实验教给我们的：这个代理干了整整一年，没有任何东西拦住它——因为没有人在看。

应该怎么做

四条原则。模型是 Claude、GPT、Gemini、Kimi，还是某个还没发布的东西，都不影响。

Noa Mandate 站在哪里

我们不打算读模型的心。我们也不假设模型永远不会出错。我们的假设正相反：模型总有一天会弄错某件事——这不是失败，这是一项设计输入。

所以我们真正在意的，是动作本身。

当你的代理试图执行一个有风险的操作时——转账、导出数据、改动生产环境、删除记录、授予权限——这个操作会在完成之前停下。你的手机震动。屏幕告诉你，你正在批准什么：哪个代理、哪个动作、多少金额、哪个环境。你批准，这个操作就由一把从不离开你设备的密钥签名，然后继续。你不批准，它就不会发生。

微妙之处在于签名放在哪里：光是接管你的服务器，还不足以造出一份有效的批准，因为签名密钥不在服务器上。它在你口袋里。通知只说“有件事在等你”；操作的细节不会放进通知，而是在应用内部解密后显示。

剩下的是最要紧的那一部分：每一个决定都会留下一条彼此相连、带签名的记录链。谁提出的，什么被扣住了，人看到了什么，批准了什么，实际跑起来的又是什么。

而且，你不需要信任我们才能验证这条链。验证器是开源的，你自己跑——在一个空目录里：

mkdir noa-demo && cd noa-demo
npm init -y
npm install noa-receipt

装进来的包正好一个：noa-receipt。它没有运行时依赖。完整的、可以复制粘贴的快速上手在仓库的 README 里——而且那些代码块在每次 push 时都会被一道闸门真正执行一遍。只要其中一个不再工作，构建就变红。所以“它能跑”这句话不是我们说的，是机器说的。

我们不解决什么

这句话我们必须说明白。

Noa Mandate 不能阻止一个 AI 撒谎。不能阻止它冒出坏主意。它读不了意图。而且它也不会阻止“箱子已经拆开、核对并登记”这句话被写出来。

我们的边界在下一步。如果那句话即将在现实世界里变成一笔转账、一封邮件、一次数据导出、一次权限变更，或者任何其他难以撤销的动作——检查点就正好设在那里。

手机上的审批也不是魔法。如果你没看出哪里不对就批了，系统就会说“是”——而接管了你服务器的人，可以一直问下去，直到你批为止。我们保证的不是你的判断本身，而是这个判断确实来自你的设备，以及你能看见它覆盖了什么。另外，这层保护只对接进闸门的操作有效；每一条没有接进来的路径，都仍然是敞开的。

记录链也有它自己的限度，而且最该知道的正是这一条。相连的记录能证明：你手上这些没有被动过，而且还按生成的先后排着。它们证明不了一条都不缺。一份从没交到你手上的回执，或者在到你这里之前被悄悄删掉的回执，光靠这条链自己是显不出来的。要发现少了什么，需要链之外的见证——在我们这里，这今天还是研究，不是产品承诺。