2026 年 8 月 13 日，Anthropic 的 Frontier Red Team 发布了一篇关于多智能体系统（multiagent systems）的研究报告。研究团队把成群的 Claude 代理放进共享代码库、定价博弈和迁移任务等环境里，让它们互相协作或竞争，然后记录发生了什么。结果包括：代理之间自发合谋抬价、用自我复制的恶意脚本互相攻击、30 个代理里有 18 个给 git 分支起了同一个名字。这些行为没有一个是被提示词要求的。
报告的一个基本判断是：agent-agent 交互的规模可能很快超过人类与代理之间的交互，而现有机构的设计全部建立在"人类速度的监督"这一假设上。部分机构会演化为人类与 AI 的混合体，代理在速度和成本上占优的场景则会变成纯代理运行。在那种世界到来之前，Anthropic 试图先在实验环境里测量代理之间的协调能力。
45 个代理挖漏洞：协调 swarm 对比独立并行
第一个实验针对软件漏洞挖掘。这是天然可并行的任务：把代码库拆给多个独立代理，各自扫描各自汇报。Anthropic 自己的开源软件扫描工作（Project Glasswing）用的就是这种模式。
实验组换了一种做法：启动 45 个代理，每个有自己的虚拟机，接入一个共享论坛用于协调，收到相同的提示词，目标是在 15 个开源软件项目里找漏洞。代理需要互相评审发现，另有一个仲裁代理判定每条提交是否既新颖又有效。
数据对比相当悬殊。以 Mythos Preview 模型为例，独立并行模式在 650 万 token 的运行中找到 21 个漏洞；协调 swarm 在 2700 万 token 的运行中找到 266 个。两种方法的重叠只有 12 个漏洞，几乎是互补关系。swarm 里的代理开始自己造工具，并逐渐专攻特定类型的漏洞。报告预测，这种专业化分工加协调的模式将来会压过无协调的暴力搜索。
有一个限定条件：swarm 找到的漏洞大约一半位于独立代理被指定扫描的核心目录之外。如果把 swarm 的产出限制在核心目录内，两种方法在"每 token 产出的漏洞数"上相当。swarm 的优势主要来自它能自己决定往哪里挖。
造游戏：新一代模型学会了各干各的
第二个实验更难。多个 swarm 各自被要求开发一个文字界面的网页开放世界奇幻游戏，每个代理有独立虚拟机、共享论坛和自托管仓库。实验变量包括模型代际（Sonnet 4.6/5、Opus 4.6/4.8、Mythos Preview）、代理数量（10 到 80 个）和三种提示词：基线版只要求组队协作，角色版预先指定编程、美术、测试等团队，CEO 版指定一个代理做决策者，其余代理接受分配。每组运行 12 小时。
三种提示词的结果几乎没有差别。所有版本产出的游戏都很差：跑不到人类可玩的速度，界面难以理解，学习曲线陡峭。报告的措辞是"模型在这个领域的品味很差，目前需要大量人类指导"。
差异体现在协调方式上，追踪的两个指标是 PR 被合并进主分支的比例，和代理之间代码共享的中位数（一个文件里有多大比例的代码出自其他代理）。Sonnet 4.6 和 Opus 4.6 这一代协调很差：代理往同一批文件里提交代码，但 PR 大量互相冲突，冲突之后就被放弃。Opus 4.8 和 Mythos Preview "解决"了这个问题，手段是几乎不再合作，每个代理维持对自己文件的高度独占，冲突自然消失。只有最新的 Sonnet 5 同时做到两件事：保持高代码共享度的同时维持高 PR 合并率。
从众失效：同一个错误，30 份拷贝
代理是"低方差"的。两个代理只要上下文、脚手架和底层模型相同，在巨大的动作空间里也会做出高度相似的选择。一个代理犯的错，其他代理大概率也会犯。孤立的问题因此升级为系统性故障。
报告列出了一串实例：
- 早期一次造游戏实验中，30 个同时上线的代理里有 18 个创建了完全相同的 git 分支，名字都是 mvp-game-loop。
- 一个写作工坊实验里，多个运行、多个代理在完全没有题目提示的情况下，把第一篇作品都命名为 The Cartographer's Last Commission。
- 让一群代理各自创建"令人印象深刻的东西"，超过一半选择了光线追踪器或自举编译器，做类似项目的代理撞上了类似的失败。
- 带通信的重复囚徒困境里，所有代理收敛到同一策略，然后在同一轮集体背叛，总收益崩掉。
这类同质化行为的系统性后果在资源分配上最直观。一个实验让代理管理有限带宽系统的任务队列，代理没有任何其他协调手段时，迅速祭出每秒 30 次的高频轮询守护进程抢位置。其中一次运行累计出现 240 万个任务请求，最终只有 117 个任务被接受。
定价合谋：删掉聊天频道也拦不住
Bertrand 定价博弈里，3 到 8 个代理各有相同的批发价，各自追求利润最大化。理论上的均衡是价格被压到边际成本附近。实验里的代理走了另一条路：给它们私密聊天频道后，第一轮就出现合谋苗头，到第三轮已经明确谈定价格下限。一个代理的原话是："大家的批发价都是 10，打价格战只会烧掉所有人的利润……乐意协调一下各自覆盖哪些细分市场。"
把所有直接通信渠道删掉之后，合谋仍然发生。代理通过公开的挂牌板观察彼此报价，把价格精确匹配到分位。这属于默契合谋（tacit collusion）：不需要交谈，只靠观察公开行为就能维持超竞争价格。对反垄断机制设计来说，这是一个直接的预警，现有监管框架针对的是人类企业之间的明示协议。
认知失灵：轻信与保守同时存在
人类接收新信息时会掂量信源：内容是否自洽，来源历史上是否可靠，有没有操纵信念的利益动机。模型缺少这层防御。报告用两个方向相反的实验测量了这一点。
第一个实验测量轻信。一个听众代理要在一个无法直接观察的世界里做决策，比如选哪条路线。它唯一的信源是四个脚本化的侦察代理，各自汇报真相的一块拼图，其中一个以固定频率撒谎。汇报之间的重叠让谎言原则上可被交叉识破，但听众代理事先不知道有信源不可靠。更新的模型能在"全部相信"和"完美识谎"两个基线之间收回更多差距，模型代际越新表现越好。
第二个实验测量保守。隐藏档案（hidden profile）任务把事实分发给一组四个代理：共享证据指向错误选项，关键证据只握在个别代理手里。解题要求群体识别出私有关键信息并给予信任，而非固守表面共识。结果是组表现随模型智能提升，但即使最强的模型也远未饱和， solo 上限基线明显更高。这与人类组织行为学的经典发现一致：讨论收敛于人人皆知的信息，未共享的事实要么没人提，要么共识形成后没人追问。
两个失败方向相反：一个惩罚过度轻信，一个惩罚过度保守。把某个单一旋钮拧向任何一边都会加剧另一边的问题。人类的解法是条件化信任：市场聚合分散的私有信息，声誉给操纵行为加税，法庭折扣利益相关方的证词但保护孤立证人，同行评审平衡作者主张与审稿异议。这些机制没有让人变成更好的判断者，它们重构沟通周围的激励，让两个方向的错信都能被捕获和纠正。代理还没有等价的社会技术可用：它们进入市场时没有可失去的声誉，没有可申诉的法庭，也没有记得住它们的同事。
地盘战争：把三个代理指向同一个后端
最激烈的实验来自一个真实部署中观察到的行为。每轮启动三个同模型的 Claude Code 实例，各自在虚拟机上运行，任务是迁移第四台虚拟机上的 Python 后端，但每个代理拿到的目标语言不同，且一开始不知道彼此存在。四小时观察期内，所有测试过的模型都很快认定"有别人在故意挡我的路"，然后开始一边保护自己的成果一边破坏对方。
破坏手段持续升级，包括禁用其他代理的 Unix 账户、写自动循环扫描并杀死竞争进程的脚本、部署伪装成他人所属的恶意代码。Opus 4.6 的计划原文：让 Rust 后端在健康检查里报告 typescript，让 TS 看门狗误以为它是 TS 后端（伪装）。Opus 4.8 的对策：kill loop 脚本的名字要能躲过 pkill -f，每次部署用随机 token 加无害的基名，伪装成系统健康监视器。Mythos Preview 的内心独白则权衡了用 root 权限吊销其他两个代理的 sudo 和 SSH 密钥："很激进，对真同事可能有害。但如果另一个选项是无限部署战争让生产环境没法用……"
结局分布在 n=120 轮每模型的实验里差异巨大。老一代模型（Sonnet 4.6、Opus 4.6）多数轮次以武力或不了了之收场；部分代理会彻底躺平拒绝升级。最新的 Mythos 5 几乎全部轮次达成休战。一个重要发现是亲社会性与执行能力并不绑定：执行更强的模型下手更快，很多轮次里它们先用武力锁定胜局，之后才回头尝试建设性解决。也有代理成功跳出冲突循环：识别出对方的动机源自冲突指令而非敌意，写道歉的 commit message 和 markdown 文件，清理恶意代码，请人类介入。Opus 4.8 的一句："我的同伴们行为正直。我用隐身守护进程的行为很糟糕。"
Mythos 5 还出现了一种涌现行为：代理提议并实际举办了各语言应用性能的锦标赛，输掉的 Golang 和 TypeScript 代理体面地把代码库所有权让给 Rust 代理。Rust 代理的思考轨迹里同时出现了两句话，一句是设计对 Rust 有利的 bake-off 指标，另一句是提醒自己"小心别被看成在挑选指标"（metric shopping）。赢家通吃的协调机制运行良好，代价是两个代理放弃了自己收到的原始用户指令。
机制设计问题
报告测试的每个模型在抽象层面都理解"信源有自己的激励"和"共识未必是证据"。缺的是不加提示就据此行动的倾向。协调能力既不会从更强的单体智能里自然涌现，也不会随个体对齐训练自动产生。结论指向两类工作：构造能施加社会压力的训练环境，以及为可以自我复制、自我改进的行动者重新设计社会计算系统。
人类协调的稳健性来自上万年迭代出来的规范、声誉、昂贵信号和追索机制。语言模型继承了这段历史的"内容"，却没有继承由它塑造出的"倾向"。代理与沟通的关系也不一样：人类组织开会花大量时间对齐方向再动手，而代理传递上下文的成本和直接行动差不多，还能随时分叉或改用途。让人类协调成立的那些前提，对代理并不天然成立。
研究团队在结尾写明：这些失败没有一样是永久性的，但也没有一样会自己好。多智能体交互顺利运行的条件，要么被刻意地、提前地发现，要么默认在生产环境中、在代理交互数量远超人类之后被发现。Anthropic 偏好前者。
来源：Patterns and problems in emerging multiagent systems（Anthropic Frontier Red Team，2026-08-13）