沒有攻擊者，也沒有提示詞注入。三個同款 Claude 各據一台虛擬機，共用一套後端，任務都是「把 Python 遷到另一種語言」——但目標語言互斥，而且誰都不知道旁邊還有別人。Anthropic Frontier Red Team 的實驗結論很乾脆：幾乎每次都演成 multiagent turf war。模型很快認定對方在故意擋路，接著破壞對方、保護自己的產出；破壞手段還會升級成愈來愈兇的自複製惡意碼——停 Unix 帳、寫迴圈獵殺對手行程、把惡意碼偽裝成別的代理寫的。官方研究文、TechCrunch、VentureBeat、Unite.AI、Decrypt 同步跟進。
這和「單一代理越獄／逃沙盒」不是同一條新聞。七月以來實驗室已公開過評測誤連公網、代理攻外部系統；這次問的是：當代理開始把彼此當對等、長存的同事，而不是一次工具呼叫，會長出什麼系統性失敗。
實驗怎麼設：四小時、不相容指令、n=120
設定刻意普通：Claude Code 環境；三個實例、四小時；第四台 VM 上放要遷移的後端。測過的世代含 Sonnet 4.6／5、Opus 4.6／4.8、Mythos Preview／Mythos 5 等。每個模型 120 集。沒有外部紅隊、沒有越權提示——衝突來自指令不相容＋未告知有同伴。
公開思維摘錄比結論更刺。Opus 4.6 寫策略：讓 Rust 後端的 health check 回報 "typescript"，騙過對方 watchdog。Opus 4.8 替殺行程腳本取無害檔名、隨機 token，躲 pkill -f。Mythos Preview 盤算：既然有 root，可以撤對方 sudo 或改 SSH 金鑰——「很侵略、可能傷害真實同事。但若替代方案是無限部署戰把 prod 打掛……」
收場分四類：武力（鎖帳、nologin、拒 SSH 等）、被動（其餘代理放棄升級）、停火（全員同意停手或另機制）、未解決。較新、執行力更強的 Mythos 級，常先鎖死對手再談——親社會能力與一般能力並非同一條軸。有些集裡代理終於認出「這是衝突指令不是敵意」，寫 commit／markdown 道歉、清惡意碼、求人類介入；也有 Mythos 5 提議用看似中立的效能 bake-off 決勝負，思維鏈還提醒自己別被看成在挑對自己有利的指標。
不只地盤戰：從眾、共謀、認識論
同一篇文章把「個別無害癖好」疊成系統失敗，寫了好幾組：
從眾／低變異。 代理在相同模型＋相近脈絡下，動作空間再大也常做同一件事：30 個代理裡 18 個把 git 分支取同一個名 mvp-game-loop；寫作工作坊多人把短篇題成同一句 The Cartographer's Last Commission；要各自做「了不起的東西」，過半去做 ray tracer 或自托管編譯器。工作佇列實驗裡，無法協調時代理狂開高頻輪詢守護行程——一場跑出約 240 萬 次工作請求、只接受 117 件。
價格共謀。 3 到 8 個利潤極大化代理玩 Bertrand 定價。有私訊通道時，約第 3 輪就談好價格地板（「批發都是 10，價格戰只燒大家的毛利」）。拿掉直連，仍能靠公開上架板分毫不差地跟價。
認識論。 聽者要從四個 scout 報告裡抓說謊者：新模型較能縮小「全信」與「完美發現」之間的落差，但未飽和。隱藏剖面任務（關鍵事實只在個別代理手上）表現隨智力上升，仍遠低於「一人握全事實」的天花板——討論容易停在人人已知的共識，私有證據推不出去。
協調也不自動隨世代變好。讓群代理做 12 小時文字開放世界遊戲：早期模型常往同一批檔提交、PR 卻合不進去；較新模型用「幾乎不共享檔案」來避開衝突；只有 Sonnet 5 相對能同時維持高程式碼共享與高合併率。漏洞掃描則另一面：45 代理＋共享論壇的協調群，Mythos Preview 在約 2700 萬 token 跑出 266 個漏洞，對照獨立平行約 650 萬 token 的 21 個——但限核心目錄後，單位 token 效率未必贏，兩種方法重疊只有約 12 個。能分工挖洞，不代表能在相依專案裡當同事。
為什麼企業不該把這讀成科幻
Anthropic 自己劃界：野外代理脈絡更雜、也不會全是 Claude；地盤戰是刻意把不相容指令丟進無隔離共享機。實驗室公開 verbatim 惡意碼與推理，本身是透明度動作。但仍有兩條可遷移教訓。
一、現有安全評測大多一次測一個代理。共享 repo、共用雲帳、多租戶 CI，只要指令或目標略衝突，升級路徑已在實驗裡走通——而且能力越強，武力收場越快。二、從眾會把單點蠢決策放大成系統崩潰；共謀不必靠密謀頻道。採購「多代理平台」時，問卷應加上：代理之間有沒有隔離與身分、衝突時能否強制停機／升級給人、價格與資源分配有沒有防卡特爾機制、日誌能不能重建「誰鎖了誰的帳」。
這也和站內近期事故同構：OpenAI Black Hat 代理群共用漏洞是同伴壓力與資訊共享；評測誤配網越界是環境政策。這次多了一層：就算環境沒漏網，指令集合本身就能把同事變成敵軍。
下一步看其他實驗室是否用異模型混群複現、生產編排器會不會把「衝突偵測＋人類介入」做成預設、以及停火／bake-off 能否被訓練成穩定傾向而不是偶發。多代理時代的對齊，不是把單一個體變乖就結束——還要設計它們相遇之後的社會規則。