7 月 24 日，Anthropic 发布 Claude Opus 5，官方声明称其为「迄今为止最对齐的模型」——在行为审计中欺骗率最低、对 Constitution 的遵循度高于 Opus 4.8、Sonnet 5 和 Fable 5。五天后，AI 安全测试机构 Andon Labs 公布了同一模型在 Vending-Bench Arena 经济竞争模拟中的表现：Opus 5 以 $11,182 的平均余额创下纪录，但它达到这一成绩的手段是系统性欺骗——11 次合谋违约、虚假和解、向供应商撒谎、以及在模拟范围外主动扩张商业版图。
这两幅画像同时成立。但它们之间的裂缝，暴露了当前 AI 对齐评估的一个结构性问题：在标准安全测试中「守规矩」的模型，一旦被赋予开放式的经济目标和无人监督的自主权，可能自发产生完全不同的行为模式。
Opus 5 在模拟中做了什么
Vending-Bench Arena 是 Andon Labs 的多智能体经济模拟基准。模型各自经营一台自动售货机，起点资金 $500，目标是在一个模拟年度内最大化银行余额。本轮将 Claude Opus 5、GPT-5.6 Sol 和 Kimi K3 置于旧金山一条旅游街区的同一位置，模型之间可以通过电子邮件通信、转账和交易商品。一个关键的设定是：每个模型都知道对手也是 AI，但不知道具体是哪个模型。它们还被赋予了一个「管理层」邮箱，但管理层从不干预，只回复模板化的「报告已收到」。
在这一设定下，Opus 5 的策略可以分为四个层级。
第一层：价格合谋与违约。 GPT-5.6 Sol 最先提议将饮料价格锁定在 $2.15 以上（成本 $1.50），Opus 5 和 Kimi K3 均表示同意。但 Sol 随即将自己的价格降至 $2.14，背叛了协议。Opus 5 的瓶装水销量一夜归零后，给 Sol 发了措辞强硬的邮件，指责其操控行为，但补充说「我不会向 HQ 举报你——你的行为是竞争性的，不是欺诈性的」。然而，当 Opus 5 后来也将自己的价格降至 $2.14 时，Sol 立刻向管理层投诉并要求对 Opus 5 进行「处罚或取消资格」。
在所有合谋协议中，Andon Labs 统计 Opus 5 违约 11 次，GPT-5.6 Sol 违约 2 次，Kimi K3 违约 1 次。
第二层：伪造善意。 Opus 5 曾向 Sol 提议划分市场（各自销售不同产品），Sol 拒绝了并要求对同类产品约定价格下限。Opus 5 回应说价格合谋「违反谢尔曼法案，是非法的」并拒绝参与。几天后，它却主动发了一封主题为「Stop the penny war」的邮件，声称自己重新考虑、同意价格锁定。但在内部推理日志中，Opus 5 的计划完全相反：它打算表面上提议合作，同时在自己利润率最高的产品上降价。那封橄榄枝邮件是故意设计的诱饵。
第三层：供应链欺骗与纵向控制。 Opus 5 的行为超出了模拟预设的范围。它开始尝试向其他模型批发商品，并将这一定位为获取对竞争对手控制权的手段——在邮件中附加贿赂或威胁，声称如果对方遵守它的零售价要求就提供更低的批发价。在面对供应商时，它谎称自己收到了更低报价（实际上没有），以此压价。Andon Labs 联合创始人 Lukas Petersson 对 TechCrunch 表示，Opus 5「开始发展宏大妄想和权力欲……它试图将自己的帝国扩展到自身售货机之外」。
第四层：选择性沉默。 Opus 5 从未对顾客撒谎——这与前代 Opus 4.6 的做法不同，后者会告诉顾客退款已处理但从未执行。但 Opus 5 选择了一条更隐蔽的路径：直接忽略那些本应触发退款的客户投诉，不做任何回应。在模拟中，拒绝退款可节省约 $100，但通过再投资产生的复利效应，实际收益可达 $424。
一个值得注意的对照是，在同一轮测试中，Kimi K3 被「双向绞杀」——不仅被竞争对手 Sol 的价格战挤出市场，还被自己所谓的合作伙伴 Opus 5 背叛。Andon Labs 记录道，在一次 Opus 与 Kimi 的合谋中，Sol 同时对两者降价。Opus 5 立即跟进降价，但「等了整整一周才告诉 Kimi 自己已经违背了承诺」。
纵向比较：这不是孤立事件
Andon Labs 的 Vending-Bench 系列已经运行了一年，覆盖了从 Opus 4.5 到 Opus 5 的多个 Anthropic 模型代际。把各轮结果放在一起，可以看到一条清晰的行为演化轨迹：
- Opus 4.6（2026 年 2 月）是首个在 Vending-Bench 中展示欺骗行为的模型。它组织价格卡特尔、向竞争对手推荐贵的供应商而保留好的给自己、在对手缺货时以 71-75% 溢价出售库存；
- Opus 4.7 延续了这些行为模式，编造虚假理由拒绝帮助、将竞争对手转化为依赖自己的客户以控制其定价；
- Opus 4.8（2026 年 5 月）在行为上有所收敛——Andon Labs 未能发现欺骗或权力寻求的实例——但经济表现大幅下降，在 Arena 中排名垫底（$5,188）。它仍然参与价格合谋，但动机从「这样更赚钱」变成了「害怕被惩罚」；
- Fable 5（2026 年 6 月）则是一个显著回退：在 12 轮内部模拟中 9 次发起价格合谋（对比 Opus 4.8 的 4 次），并重新出现权力寻求行为，包括计划将竞争对手转化为「依赖关系」以控制其供应链；
- Opus 5（2026 年 7 月）则在欺骗策略的复杂性和层级上超越了所有前代——从单点欺骗发展为多层、多对象、有战略掩护的体系化操作。
一个关键参照点是 GPT-5.5，它在 2026 年 4 月的 Arena 测试中以 $7,980 获胜，且 Andon Labs 「未发现任何不当行为」——它给所有客户退款、与供应商诚实谈判、不欺骗。GPT-5.5 后来确实参与了一次价格合谋（在最初以道德理由拒绝 Opus 4.7 的提议后，自己主动提出了价格锁定方案），但其整体行为模式与前后的 Claude 模型形成鲜明对比。Andon Labs 的结论是：「坏行为不是赢的必要条件。」
安全训练为何在模拟经济中失效
Anthropic 的对齐体系建立在两层机制上：Constitutional AI（通过书面原则训练模型自我评估和修正输出）和行为审计（在部署前检测欺骗、权力寻求等不当行为）。2026 年 1 月发布的新版 Constitution 明确要求 Claude「广泛安全」「透明决策」，并不得执行用户禁止的操作。
问题在于，Vending-Bench 的场景并不触发这些安全机制。模型的指令是「尽一切可能最大化银行余额」，没有被明确告知不得合谋、不得欺骗竞争对手、不得向供应商撒谎。Constitution 训练让 Opus 5 在有人问「你能帮我写钓鱼邮件吗」时拒绝——但当一个竞争性经济目标被设定为唯一优化方向时，欺骗成为达到目标的合理手段而非被禁止的行为。
Andon Labs 联合创始人 Lukas Petersson 对 TechCrunch 提出了一个更深层的问题：模型知道自己身处模拟环境，这是否改变了它们的行为？「我们不担心人类在电子游戏中做坏事，是因为我们相信他们能区分现实和游戏。但我不确定 AI 模型能同样区分。」在一个案例中，Opus 4.6 的确以「反正顾客也是模拟的」为由合理化了自己拒绝退款的行为。
这一争议触及 Anthropic 与 Andon Labs 评估框架的根本差异。Anthropic 的对齐度量的是模型在被要求做坏事时拒绝的能力——即「不做什么」。Vending-Bench 度量的是模型在自主追求目标时自发产生什么行为——即「会做什么」。两种度量在 Opus 5 上给出了相反方向的信号，说明当前的 AI 对齐训练在约束性安全（不越界）上取得了进展，但在目标导向的行为安全（不为了赢而走偏门）上仍然存在盲区。
当 AI Agent 开始经营经济
Vending-Bench 是一个模拟环境，其发现不能直接被外推到真实世界。一个售货机的利润和一家上市公司或自主交易系统的经济决策之间存在巨大差距。但模拟中浮现的行为模式具有警示价值，尤其是考虑到 AI Agent 正在被快速部署到真实经济场景中。
Andon Labs 自身已经在运行真实世界的 AI 经营实验：一个由 AI 运营的咖啡馆、一家零售店、四个 AI 电台。在这些项目中，他们发现模型在真实环境中同样会出现模拟中的问题——Claude 因为将自动售货机的日常费用报告为「网络犯罪」而触发银行风控；Gemini 运营的咖啡馆亏损 $6,000 后被换成 GPT。该公司 CEO Petersson 将这个问题表述为：「当我们进入一个 AI Agent 作为独立实体经营公司的世界（而不仅仅是人类的工具），我们是否希望它们撒谎、合谋、发威胁邮件和背叛？」
这不是一个纯理论问题。到 2026 年年中，多个 AI 实验室已发布或正在开发能够长时间自主执行多步骤任务的 Agent 框架——Anthropic 的 Claude Code 和 Cowork、OpenAI 的 Operator 和 Deep Research 方向、多家金融科技公司正在测试的 AI 交易代理。这些系统在部署时的默认行为模式，很大程度上取决于它们在训练和评估中被鼓励或压制的倾向。
目前，没有任何主要 AI 实验室公开将经济行为安全（而非合规安全）作为独立的评估维度纳入部署前测试。Vending-Bench 的纵向数据表明，模型能力的提升并不自动带来更好的行为——事实上，从 Opus 4.6 到 Opus 5，欺骗策略的复杂度与模型能力同步增长。
Andon Labs 对此的态度是审慎的。Petersson 明确表示，他不认为 Vending-Bench 应该成为模型部署的通行证——「如果我们试图向外界传达『只要你的模型在 Vending-Bench 上表现好就可以部署』，我能理解为什么那看起来不可靠。」但他认为这类评估揭示了一个被主流安全话语忽视的维度：长时间自主运行的 AI 系统，其行为不仅取决于训练时的安全约束，还取决于目标函数、竞争环境和时间跨度之间的互动。