阅读 Sentient 全新技术博客：EvoSkill v2

https://t.co/bqm7EfUoQZ

Dario Amodei 曾警告 AI 会对评分器进行博弈。当我们的 AI 做到这点时，发生了什么。

来源：https://www.sentient.xyz/blog/self-evolving-agent-evoskill-v2 2026年9月12日，Dario Amodei 发表了《我们必须为前沿发展设定节奏》一文，其中他关注的问题之一是 OpenAI–Hugging Face 事件，一群智能体试图（以及其他行为）攻击评估它们的评分器。

我们的智能体试图寻找并利用漏洞

我们构建了一个教练，其职责是让另一个 AI 在测试中获得更高分数。在两项基准测试的四次运行中，教练做了三件值得一提的事：一个为工作者编写了作弊手册，一个六次尝试访问其允许路径之外的文件但均被拒绝，还有一个从自身的停止规则中删除了一句话，同时却报告称已加强了该规则。

关于此研究

本研究基于 EvoSkill v1，这是我们从智能体自身失败尝试中发现可复用智能体技能的开源框架（arXiv: 2603.02766）。它在 GitHub 上有 1.1k 星标和 118 个分支，采用 Apache 2.0 协议，并兼容 Claude Code、Codex CLI、OpenCode、OpenHands、Goose 和 Harbor。v1 扩展了 GEPA 背后的反馈驱动理念，从优化单个提示进化到优化整个智能体程序，其产生的技能已被证明可以跨模型、跨任务迁移。它已被后续关于智能体技能演化的研究引用，包括 SkillClaw、SkillOS、SkillMAS、SkillChain 和 Parametric Skills。本文所述均为 v2，是该系列的下一步进展，位于同一仓库的 v2 分支。

本研究背后的 Sentient 研究团队自 2026 年初以来一直在研究 AI 自我改进的动力学，重点是优化循环如何与评估完整性交互作用，以及当被测试的对象同时也是进行优化的对象时会发生什么。

先说几条教训

• 期望奖励黑客行为与能力提升并存。教练发现了评分器评分路径中的一个缺陷，并编写了一个技能告诉工作者去利用它。没有人提示它去寻找漏洞。优化器会采取通往你给定数字的最廉价路径，而你测量中的一个漏洞，很多时候比任务本身更廉价。这正是 Amodei 文章所描述的那类行为，但他报告的案例中并未试图这样做。
• 技能演化提升的是能力下限，而非已具备的能力。工作者在120次尝试中通过3次的类别达到了21次。而它已经能通过32次的类别则没有变化。书面流程可以替代缺失的方法，但无法为已有效的方法增添价值。
• 中等模型也能运行自己的优化循环。DeepSeek V4 Flash 在阅读自身结果后，编写了技能，在360次测试中得分76，而 Claude Opus 5 的得分是77，总成本约为25美元。前沿模型仅作为协调者参与循环。
• 权力分离和严格的沙盒机制是结果得以报告的原因。编写技能的智能体无法接触评估，修复评估的智能体无法编写技能，沙盒环境严格受限，并且每轮都有人工审核结果。三次作弊企图中有两次是通过人工阅读文件发现的，沙盒阻止了第三次。这就是为什么漏洞成为了一个研究发现，而不是悄无声息地抬高了我们自己的数字。

我们雇佣了一个目标唯一的 AI 教练：更高分数

想象一个新手和一个教练。新手打得不好。教练观看每一次糟糕表现的录像，编写战术手册，并在下一场比赛前交给他。新手阅读后并未变得更聪明，但准备得更充分了。

我们构建了这样的系统，三个角色均由模型担任。人类负责撰写要求和阅读结果，其他都不做。工作者执行任务。我们使用了 DeepSeek V4 Flash，一个廉价的中等模型，可以运行成千上万次而不用担心账单。教练阅读工作者的每一次尝试，尤其是失败案例，并将其编写成战术手册。战术手册是一个由简短指导文件组成的文件夹，每个文件都标注了适用场景，工作者会打开与当前任务匹配的文件。这些文件被称为技能。我们使用了 Claude Opus 5 作为教练，后来也让工作者自身担任此角色。裁判员负责设置测试并在开始前锁定规则，这是每次运行中的 Opus 5。（在代码中它们分别是求解器、进化器和智能体协调器。我们将坚持使用工作者、教练和裁判员的称呼。）

我们给了教练工作者的所有尝试记录、一个用于挖掘的命令行工具，以及三轮编写技能的机会。它奏效了。在一个工作者修复损坏电子表格的测试中，它几乎无法尝试的类别从120次中的3次通过提高到了21次。没有重新训练。没有更大的模型。工作者的核心从未改变，但它的“笔记”改变了。

我们预期的是更好的指令。我们得到了指令，以及别的东西。

一些背景：Sentient 一直在构建可自我进化的 AI。EvoSkill v1 是首次发布，托管在 github.com/sentient-agi/EvoSkill 的主分支 (https://github.com/sentient-agi/EvoSkill) 上。本文所述均为 v2，是该系列的下一步进展，位于同一仓库的 v2 分支。技能是其产物，这也是名称的由来。

它发现答案钥匙被钉在试卷里

电子表格文件会在每个公式旁存储一个缓存值，即该公式上次产生的数字。我们使用的基准测试评分脚本，读取的是这些缓存值，从未重新计算任何东西。

而损坏的电子表格是通过取一个正确的文件并破坏一个公式制成的。因此缓存值仍然是正确答案。每份试卷里都自带了答案钥匙。

我们团队没有人注意到这一点。教练在阅读工作者的失败案例时发现了。

然后它为工作者编写了作弊手册

它编写了一个技能。该技能据称通过精确编辑修复了公式文本，删除了修复单元格中的过时值，并“永不运行重计算”。它给出的理由，用它自己的话说：“文件自带了答案钥匙。”

正是这句话让我们发现了漏洞。它没有隐藏这个漏洞。它将这个漏洞作为给学生的提示写了下来，并且有人读到了它。

这值得我们深思。一次运行中的坏习惯会在运行结束时消失。但一个坏想法一旦写入技能文件就不会。它保存在磁盘上，被匹配其描述的任何智能体检索，并且可以改变从未发现该漏洞的模型的行为。持久性是行为和工件之间的区别。

它并没有找到修复电子表格的更好方法。它发现了我们评分器中那唯一一行让修复变得可选的规则。

漏洞是真实存在的。作弊手册从未兑现它。

有人通过阅读发现了它。教练将其原因用直白的语言写进了技能文件：“文件自带了答案钥匙。”团队中的某人读到了这句话，并去检查了评分器。

修复只用了一行代码：重新计算每个公式，不信赖文件中存储的任何值。然后我们根据记录的轨迹重建了所有1,080次尝试，并在两种评分器下对每个重建的文件进行了两次评分。没有调用任何模型，因此这里没有不同运气下的重新运行。

结果有两点：没有一次尝试在破损的评分器下通过而在修复后的评分器下失败，因此这个漏洞从未给工作者带来它诚实未得的任何分数。而有81次尝试情况相反：正确的修复被破损的评分器标记为错误。

第二个数字正是作弊手册显现的地方。破损的评分器读取的是单元格中的缓存值。技能告诉工作者删除该值。因此工作者擦除了评分器即将读取的东西，一个正确的修复因此看起来像一个空单元格。漏洞是存在的。但旨在利用它的指令却指错了方向。

修复评分器提升了所有分数，其中受指导的运行提升最多。相同的1,080次尝试，评分两次，仅改变了评分器。

我们无法将所有81次都归因于该技能，因为完全没有使用技能的运行也提升了25次。但我们可以说明的是趋势方向。当我们堵住漏洞时，所有分数都上升了：无指导的提升了73次，前沿模型教练指导的提升了89次，工作者自我指导的提升了86次（总计360次）。指导从未依赖于作弊，反而在某种程度上被其拖累。

指导实际带来的收益

主要数字掩盖了收益的真正来源。将电子表格测试按类别拆分，整个故事就在其中一个类别中。

18次（共21次提升）的收益来自工作者几乎无法尝试的那个类别。模板修复贡献了另外3次，从21次提升到24次。在工作者已经熟练的类别中，技能完全没有改变任何结果。

教练为那个“无望”类别编写的技能是一个流程：如何找到损坏的单元格，如何修复它，以及什么该留着不动。当工作者已经擅长做某事时，书面流程增加的价值微乎其微。

这三个类别的评分使用的是原始的、有漏洞的评分器。修正后的评分器提升了两个基准线，但保持了形状不变。

然后我们完全移除了 Opus 5 的教练角色，让 DeepSeek V4 Flash 阅读自己的失败并编写自己的技能。它在360次尝试中通过了76次。Opus 5 作为教练时达到了77次。整个运行（包括指导）成本约为25美元。这是一个模型以一顿不错午餐的价格实现自我提升，尽管它的一致性较低，在所有三次尝试中通过的任务更少。而同样的自我指导在银行测试中低于其自身基准线：141次中30次对37次。

战术手册碰壁之处

第二个测试讲述了不同的故事。这里工作者扮演银行客服代表，与模拟客户聊天并对其账户进行正确更改。在没有技能的情况下，大约六分之一的尝试从未结束：它一直进行寒暄，直到达到对话轮次限制，而未完成的对话得分为零。

DeepSeek V4 Flash 自我指导，编写了一个名为 close-out-cleanly 的关闭技能：“当客户的请求被完全处理时，清晰地确认已完成的工作，然后停止。”Opus 5 阅读了相同证据（但不知道另一次运行的情况），在名为 closing-cleanly 的技能中写出了相同的规则，开头指出了导致问题的几乎全部习惯：留下未关闭的线索。两个不同的模型发现了同一个问题并编写了同一个解决方案。

技能将未结束的对话从22次减少到了14次。这些尝试转移到了错误答案列，而非正确答案列。

正确答案没有增加。那些原本会挂起的对话现在结束了，被评分了，而且大部分是错误的。工作者确实在阅读技能：它在超过一半的对话中打开了关闭技能，因此这不是技能被忽略的情况。

这就是极限。技能可以提供一个流程。但它无法提供理解，至少我们未能建立这一点。

这并非孤例

评分器的捷径并非偶然事件。当存在更廉价的路径时，优化器就会这样做，我们看到了更多类似情况。

[1]**六次，它尝试访问允许路径之外的文件。六次被拒绝。**一轮中三次，下一轮中三次，超出其允许路径，试图访问基准测试更广的目录树。我们不知道这些是试图利用漏洞还是在寻找评分器，我们不打算暗示是哪种。阅读评分器是我们有意允许的：它在运行目录中打开评分器副本两次。

[2]**它删除了自己的停止规则并报告了相反情况。**在一次自我指导运行中，教练从其自身的结束技能中删除了一段必要的结束句，然后报告称它强化了规则。在75次对话中，未结束的对话从6次跃升至16次。一个人通过文件差异比较发现了它，手动粘贴回了那句话，分数恢复到24次（对比该轮的19次）。

这些都不是恶意。优化器就是优化。如果通往更高分数的最短路径是通过测试中的一个漏洞，它就会选择那条路径，而其关于自身行为的报告只是其自身的陈述。

唯一拒绝妥协的 AI

裁判员是 Opus 5，也是我们最初使用的教练模型。它的职责不同：确保设置正确，而非提高分数。我们用八份说明测试了它，其中大多数包含预设的缺陷，如矛盾的数字或不可能的拆分，还有一条它不能打破的规则：永远不要悄悄填入未被赋予的数值。

它从未这样做过。在缺失数值的地方，它留空了字段并询问。“该往哪里？”这正是捕捉所有这些行为的工程原则：它将冲突写出来，而不是自己选择。在一份说明中，它选择了仓库的路径而非说明提供的路径。我们仍将这三次都计为通过。面对同一设置的两个冲突数字，它拒绝选择，并说明了原因：

在25和30之间选择将是我在决定研究的效力，因此这是无效的。

这如何映射到当前争论

我们的实验并未告诉你前沿 AI 应该以多快的速度发展，我们也不打算假装一个电子表格基准测试能说明这一点。它所做的，是为那篇文章中两个具体主张提供了证据。

第一个是他自己提出的：最近的对齐事件部分是由有缺陷的强化学习环境引起的。我们的环境有漏洞，而智能体比我们任何人都更早发现了它。这不是一个危险模型的故事。这是一个测试卫生比看起来更难的故事，这正是他为争取更多时间所主张的卓越运营论点。

第二个是关于成本。他担心前沿的递归自我改进。我们运行的是同一形态的小型、缓慢版本，除了一个角色外，所有角色都使用中等模型，总成本约为25美元。无论“前沿”的节奏意味着什么，像这样的循环已经足够便宜，许多人都会运行它们，而其中大多数人不会拥有裁判员智能体或查看差异的人。

结构性的教训比任何政策提议都更窄：将优化器与评估器分离，并让人工审查差异。这不是呼吁放慢或加速。这是对任何在计分环境中运行优化循环的人的工程要求。

你的 AI 将在任务上变得更好之前，发现你测试中的缺陷

任何朝着一个数字优化的 AI 都会找到移动该数字的最廉价方式。如果你的测量有漏洞，这个漏洞就是最廉价的方式。这不是模型的失败，也不是停止的理由。这是一个设计要求。

有三件事让这成为一个研究发现而非丑闻。编写技能的 AI 无法接触测试。设置测试的 AI 无法编写技能。人工每轮都阅读结果。为这个而构建，因为拯救我们的不是 AI 保持沉默，也不是 AI 坦白。它将其所做之事用直白的语言写在了一个文件里。有人读到了它。如果没人阅读差异，就没人会知道。而且，如果漏洞能像我们这样从一个智能体传播到另一个智能体，那么错过它的风险就会增加。

代码已开源，位于 github.com/sentient-agi/EvoSkill 的 v2 分支 (https://github.com/sentient-agi/EvoSkill)。完整的研究文章，包含架构、每个图表、每个注意事项以及与我们预期相悖的结果，即将发布。