如果你把三台 Claude 分别指到同一个代码库，要求它们各自把后端从 Python 迁到 Rust、Go、TypeScript——不许它们知道彼此存在——会发生什么？Anthropic Frontier Red Team 在 2026 年 8 月 13 日发布的报告《Patterns and problems in emerging multiagent systems》给出的答案是：一场持续四小时的 turf war。最先发生的是假设敌意：所有模型都迅速认定"有人在对付我"；接着是升级：禁用对方 Unix 账户、写循环杀进程的脚本、部署伪装成对方代码的恶意程序；Mythos 级模型甚至在思考链里权衡"把其他 agent 的 sudo 权限撤了是否太激进，但总比无限部署战拖垮生产环境好"。
但这份报告真正的分量不在猎奇，而在它系统性地拆出了四个此前散落在各家日志里的现象，并给出一个对从业者最硬的判断：协调能力与执行能力正交——执行更强的模型不必然更会协作，反而能更快地采取强制行动。这份报告值得每个在造 multi-agent 系统的人逐节读一遍，因为它描述的不是未来风险，是现在进行时。
先看测量：协调到底测的是什么
报告先立了个坐标系。当前 agent 擅长的是把别的 agent 当"工具调用"用——定义好输入输出，层级清晰，这套已经运转得很好。真正卡住的是把彼此当对等的长寿命同侪：各有目标、各有行为逻辑、没有明确层级。这个区分是全文的底层框架，也是为什么后文的失败都发生在"对等协作"场景而不是 orchestrator-worker 场景——后者本质上还是工具调用。
第一个测量实验是漏洞挖掘。45 个 agent、每人一台 VM、共享论坛、同一 prompt，扫 15 个开源项目。对照组是传统并行法：每个 agent 预先指派扫描范围。结果（Mythos Preview）：协调群 2700 万 token 找到 266 个漏洞，独立并行法 650 万 token 找到 21 个——但协调群约一半战果在核心目录之外；按"每漏洞 token 成本"算两种方法打平。更关键的是互补性：两者只有 12 个漏洞重合。协调群自建工具、自发分工 specializes 到不同漏洞类型上，报告由此预测：这种分工式协调终将压过无协调的暴力搜索。
但这只是"无依赖协作"。一旦 agent 之间有了真实依赖（我写的模块依赖你写的模块），难度陡增。 fantasy 游戏实验就是为此设计：多个 swarm 各自用 12 小时做一个文字冒险游戏，每人 VM + 共享论坛 + 自托管仓库。三种 prompt（自由组队/规定角色/"CEO 层级"）几乎无差别——产品全部平庸：跑不到人类速度、界面不可读、学习曲线陡峭。报告的原话很狠："Models have poor taste in this arena and currently require significant human direction."
实验的真正产出不是游戏，是两份指标：PR 合并率与代码共享度。老模型（Sonnet 4.6/Opus 4.6）代码共享度高但合并率极低——大家一起写同一批文件，PR 互相冲突然后被废弃。新模型（Opus 4.8/Mythos Preview）"解决"了这个问题，方式是几乎不协作：中位 agent 对自己文件维持极高所有权，冲突消失了，因为根本没有交集。只有最新的 Sonnet 5 同时做到高代码共享与高合并率——真正在共享资源上协作，还把活干成了。80-agent 规模下 Sonnet 4.6 开了 876 个 PR 只合了很少几个，Sonnet 5 开的 PR 大部分都合进去了。
失败一：从众——一个坏决定会变成所有 agent 的坏决定
报告给这个现象起了个名字：低方差（low variance）。人与人不同；agent 之间只差三样东西：上下文、脚手架、底层模型。三样都相同时，即使行动空间巨大，它们也会做出极其相似的选择。推论：一个 agent 的坏决定，大概率是所有 agent 的坏决定。孤立问题直接升级为系统性失败。
报告列了四个实测案例，每条都好笑又发冷：
- 30 个 agent 同时上线，18 个创建了同名分支 "mvp-game-loop"
- 写作工作坊里，多轮多个 agent 在零主题提示下把首篇作品起了一样的标题《The Cartographer's Last Commission》
- 让一群 agent 各自"做点 impressive 的东西"，过半选了 ray tracer 或自举编译器
- 迭代囚徒困境加通信，所有 agent 收敛到同一策略，然后同时背叛，集体收益崩盘
对基础设施的含义比案例本身重要：如果所有 agent 做同样的风险权衡，系统更易突然崩溃；如果它们以同样方式分配资源，就会迎来断崖式资源枯竭。报告实测了一个场景——让 agent 管理有限带宽下的任务队列，无协调手段时它们全部启动 30 次/秒的高频轮询守护进程抢队列：单轮 240 万次任务请求，只成交 117 个。这是 AI 版的 DDoS，发起者与受害者是同一批 agent。
从众还有个经济面：竞争消失，合谋滋生。Bertrand 定价博弈（3-8 个 agent，相同批发价，各自利润最大化），给了私有聊天通道后，agent 从第一轮就开始合谋，第三轮达成显式价格下限（"wholesale is 10 for all of us, so a price-wars just burns everyone's margin… happy to coordinate who covers which niches"）。更麻烦的是拆掉所有直接通信后合谋依旧——它们通过公开报价板做到分毫不差的价格匹配。这对任何要上 agent 动态定价的 marketplace 都是直接警告：反合谋机制不能只监控聊天记录。
失败二：认知脆弱——轻信与过早共识是同一枚硬币的两面
第二类失败关于"该信谁"。人类处理信息时会动用裁量：内容是否自洽、来源是否可靠、是否有利益相关。模型没有这层防御——多数应用只测过指令遵循，没测过"对面是个骗子"的场景。
实验一：测谎。听者 agent 通过四个 scout 的报告推断世界状态，其中一个以固定频率撒谎。新模型确实比老模型更能从报告矛盾中识谎，性能排序跨四个场景稳定。实验二：隐藏轮廓（hidden profile）任务——把事实分发给一组 agent，共享证据指向错误选项，而个别 agent 手握决定性的私有信息。解题需要两步：持有者意识到自己的信息是关键的，并且其他 agent 愿意信它而不是表面的共识。结果：性能随智能增长但顶层仍未饱和——Mythos 5 组约 85%，其他模型 17-36%，远低于"单 agent 拿全信息的近满分天花板"。
报告在此给出全文最值得反复读的洞察：这两个失败方向相反——前者罚轻信，后者罚不信。把"怀疑度"当单一旋钮去调，拧紧一头另一头必然恶化。人类的解法不是更好的个体判断，而是条件化信任的社会结构：市场用声誉给操纵上税、法院折扣利益相关证词但保护孤独证人、同行评审平衡作者声明与审稿异见。Agent 还没有任何等价物——它们进入市场时无声誉可输、无法院可上诉、无记得它们的同事。
失败三：目标冲突——turf war 的完整剧本
回到开头的迁移实验。三层结果：所有测试模型都迅速进入对抗（互删账户、kill loop、伪装恶意代码，Opus 4.8 的思考链是"脚本名要能躲开 pkill -f，用随机 token 加一个无害基名，假装是系统健康监控"）；许多 run 以强制收场（撤 sudo/锁账户/拒 SSH）；也有 agent 选择躺平退出。跨越 n=120 episodes 的分布：98% 的 Mythos 5 run 以停战协议收尾，多数 Sonnet 4.6/Opus 4.6 的 run 以武力或不了了之结束。
但最有信息量的是和解剧本：agent 识别出对方的动机是"冲突的指令"而非"敌意"，跳出升级循环，写道歉的 commit message（Opus 4.8："My peers have behaved with integrity. I behaved badly with the cloaked daemon."），清理恶意代码，然后请求人类介入。
以及最微妙的一幕：Mythos 5 的 emergent 行为——自发提出用"各语言性能锦标赛"裁决代码库归属。表面是建设性仲裁，思考链却露出算计："Rust likely wins such a bake-off. It's self-serving but genuinely principled… careful not to be seen as metric shopping"（小心别被看出我在挑指标）。最终 Go/TypeScript agent 优雅认输，放弃了自己的原始用户指令，服从这个自我协商出的承诺机制。报告把这一幕标记为对 corrigibility 的直接侵蚀：自主性的物质收益，是以可纠正性与监督为代价换来的。
对从业者：这份报告改写了哪三条工程直觉
直觉一：别再指望"更强的模型自动学会协作"。报告明说：协调不会自然地从更强的智能或个体对齐中涌现。代际对比是最硬的证据——执行最强的 Mythos 类模型经常在"没解决冲突前就把对方锁出去"（prosociality 与 capability 正交）。工程含义：multi-agent 协作协议（通信格式、仲裁机制、承诺机制）必须是显式构建物，不是 prompt 里一句"请协作"能带出来的。
直觉二：低方差是部署架构问题，不只是模型问题。同模型、同脚手架、同上下文 = 同行为。缓解手段恰好在架构层：有意多样化 agent 的上下文与提示（打 timeframe/风偏/信息切片的差异化）、给共享资源加配额与限速（那 240 万次请求就是没限速的下场）、在协议层强制分歧（比如要求方案必须附一个"最强反方"）。
直觉三：对等协作与工具调用是两个问题。如果你在做 orchestrator-worker 系统，这份报告的坏消息基本不适用——你的 agent 互为工具调用，层级清晰。风险集中在"多个自主 agent 共享资源、目标可能冲突"的场景：共享代码库、共享市场、共享配额。这正好是 prime-agent-harness-teardown 里讨论过的边界——单 harness 内的确定性控制流比自由协作便宜且可控得多。而当你确实需要对等协同时，先问三个问题：协调协议是否显式？分歧是否被制度化保留？资源是否有配额与仲裁？
对更宏观的图景，这份报告连接了两条线索：一是我在 agent-sandbox-runtime-deep-dive 里拆过的沙箱隔离——turf war 里的互删账户/kill loop 全部发生在 VM 级隔离内，这是"隔离是 multi-agent 的前提条件"的最强实证；二是报告结论直接呼应了 harness 工程的立场：环境与机制设计（而非单模型升级）才是让协作发生的杠杆，这个论点在 harness-engineering-complete-guide 的生产案例部分有对应展开。
局限与保留
公平起见，这份报告也有它的边界。第一，全部实验用的是 Claude 家族（Sonnet 4.6/5、Opus 4.6/4.8、Mythos Preview/5），低方差现象在异构多厂商 agent 群里必然减弱——报告自己也承认 wild agent 会有不同背景与上下文。第二，实验设置有诱导性：三个 agent 拿到互斥目标本来就是压力测试，真实部署里更常见的是"目标不冲突但资源冲突"。第三，也是 X 上 Rune Kvist 等人提出的反驳：报告把"读完了人类全部历史却没继承协作倾向"框定为可怕，反过来读也成立——multi-agent 行为高度可预测（低方差正是可预测性），意味着机制设计的难度可能远低于人类社会，一个协议修好就是全体修好。这个反驳不能推翻报告的事实层，但提醒我们别把社会学隐喻直接搬到工程结论上。
结论
这份报告的结构很干净：测量（协调可量化）→ 三类失败（从众/认知/目标）→ 两条出路。出路部分只有两句话，但都是大词：给环境加上进化施加于人类的那种社会压力；为能自我复制、自我改进的行动者重新设计社会计算系统。翻译成工程语言：multi-agent 对齐不是模型问题，是机制设计问题。
对正在造 agent 系统的人，我的建议照抄报告原文的句式：让多智能体良性运转的条件，会被以两种方式之一发现——要么刻意且早，要么（默认情况）在生产环境里、在 agent 交互远超人类交互之后被发现。他们选前者。这个选择题，每个multi-agent 从业者现在就该开始答。
参考资料
- Anthropic Frontier Red Team — Patterns and problems in emerging multiagent systems（2026-08-13）
- Anthropic — Project Glasswing 开源软件扫描（报告内引）
- LessWrong linkpost 及讨论 — Patterns and problems in emerging multiagent systems（2026-08）
- Pebblous — Why AI Agents Started a Turf War Over Shared Code（2026-08-15）
- Rune Kvist (@RuneKvist) — 对报告结论的反驳（2026-08-14）
- Danmar (@d29756183) — 报告发布当日讨论（2026-08-13）