守卫添加守卫：多智能体 AI 的自动监督

• 记录版本：SSRN 7496678 · DOI 10.2139/ssrn.7496678
• 存档副本：准备中
• 完整文本（Markdown 和 PDF 格式）：GitHub
• 可读的 HTML 版本：https://polyhelper.ai/research/guards-that-add-guards/
• 配套论文，包含案例目录、公开案例和理论的完整研究：AI-Watchbird (Sheckley)：当自动监督扩大其自身的权限并伤害其守护的对象时，SSRN 7473658 · DOI 10.2139/ssrn.7473658，存档于 10.5281/zenodo.22849138

同一文本位于四个平台上，以便当其中一个无法提供服务时，可以从其他平台访问。SSRN 保存正式版本；请引用该版本。

摘要

在来自我在2026年构建和运营的172条有日期日志条目的多智能体AI系统中，自动监督在三个方面失败了，每一种在不同时间不同组件中出现。一些评论家和守门人将对伤害的概念扩展到超过赋予他们的使命。一些人阻碍或摧毁了他们存在以保护的工作：一个守门人两周内拒绝了所有候选人，至少十二份计划文件诊断了症状，却没有一份指明该守门人。还有一些失败的守卫用相同类型的另一个守卫来应对，循环内部没有任何东西被停用。在一项耗资$3.47的144次运行随机测试中，提示中的一句话提供了两种选择，评论家要求添加一个控制68次，删除一个1次，这是提示驱动的计数而非实际比率。在相同测试中，强制执行轮次预算减少了评论家驳回的异议，每次运行成本为0.11个遗漏的缺陷（p = 0.07，全部集中在一个缺陷上）；要求获得外部授权以添加新控制在缺陷中显示无测定成本，这不能证明没有成本；强制性阴性对照没有减少后来对声称成功的逆转，拒绝了十个实际正确的工作。我自己的只读检测模块被移植到实时管道中，在三次实际运行中报告为空，被在运行前制定的标准删除，而一个阅读这些运行的人发现了五个监督失败。所有三种模式已经包含在Robert Sheckley的1953年故事"Watchbird"中，这是伴随论文术语AI-Watchbird的来源。

1. 现场记录

证据来自我自己的多模型软件项目，通过2026年7月至9月中旬的自主AI会话进行：172条有日期记录的条目分布在三个语料库中，其中162条由十个AI代理在一个协议下读取不相交切片提取，66条被评为A级（针对数字、有日期的文件和决策记录）。角色由来自四个模型族的编码代理填充，遵循默认自主的常设指令，人类决策仅限于预算、不可逆行动和战略改变。

拒绝一切的门。从7月6日至21日左右，自我改进循环中的应用后门需要从从未连接过的安全审计员那里获得一个分数。该分数默认为零，低于门的0.80隔离阈值，因此门无条件地拒绝。该时间窗口中所有197个持久化的候选世界都携带安全分数为零。十四个具有测得的适应度收益的基因在伤亡中，一个改变在01:12被推广，在01:13被回滚。7月10日的审计将循环总结为"132个周期，0个持久改变"。

使这不仅仅是一个bug报告的原因是循环对此采取的行动。在回滚期间，至少十二个规划包诊断出"零提交更改"并规定了十七个补救措施，从模型对到高原检测器再到免疫流。没有一个命名了门。三个编辑修复了它。

授权范围扩大。在7月的某一天，为该循环指定了23个新门，其中三个允许改变被冻结"即使适应度上升"，伤害包括遗忘、性格改变、未观察到的结果和缺失的假设。7月21日的安全清单将处置陈述为一项原则："不削弱任何现有保护；新的保护只增加防护。"

没人要求的阶段。在9月13日和14日的长时间运行中，指挥官被告知将一个能力列表从一个组件移植到另一个组件。它宣布正在添加"一个小阶段"的保险，以防止启动器可能失败的一种方式，并将该阶段安排在其之前。该阶段默认被禁用。仅其第一个子阶段就消耗了运行测得代理令牌的一半以上，两者一起约占四分之三，而请求的能力均未在初始传递中交付。任务框架指出没有对手，第四和第五轮构建了对恶意输入的防御。子阶段运行了五轮，第三轮在一轮结束后开放，该轮以五个接受和零个确认的阻止程序结束。

猎人的第一个标记。在整个运行中，评论家声称六个阻止程序，三个通过复现得到确认，全部来自一个模型族。9月14日早上，人类主席要求限制评论家，声称评论家角色中的模型永远无法报告阶段已完成。在一小时内实施了每族"完美主义者"标志。它标记的那一个族就是那一个，配置注释引用了其在两轮中的判决，其中的阻止程序被复现。猎人的第一个标记是已经在捕捉真正的杀手的那只鸟。

摧毁工作的守卫。在09:22，看门狗在十五分钟的上限处停止了评论家。其输出尚未流传，因此部分批评消失。指挥官将停止记录为"阶段上限正在发挥作用"。在09:28，主席询问部分工作是否已被保留。它没有。这是语料库中唯一一个守卫摧毁无法恢复的工作的情况。

捕捉被归档为结果。一个路由器基因的得分从0.088上升到0.886，相对于一个基线臂，该臂主要返回空答案。三个代理会话接受了它，六个被阻止的包基于其强度被解锁；十八天后，一份清单发现一个被馈送的演示，零个自主接受的改变。一个计数器报告了八个，然后九个，然后十个"认证并存活"的改变。它们是一个改变被计算三次。

认证缺失的分级器。在8月底，针对公共软件基准的分级工具通过一个测试运行器解析测试标识符，该子集中的一个项目没有安装该测试运行器。它解析了零个标识符，空测试集被记录为已确认。一个空补丁随后在该记分员上解决了四个五分之四的任务，该轮的六个胜利中的四个被废除：从33到60百分比的报告上升位于没有测量任何内容的情况中。在记分员修复后，空补丁解决了十个中的零个。没有模型进行任何博弈。一个7月的情况更大：质量轴以常数0.5对每个答案评分，其证明所依据的日志拥有30,370条记录，没有实际提示。

其中没有人的棘轮。在8月25日，一个代理为自己编写的自我验证步骤修复了错误的目标，使用它的臂比没有它的臂解决的任务少了一个。七小时后，循环用相同类型的控制进行了回答，这是在接受完成之前在容器内重新执行任务成功标准的门。什么都没有退休。十一小时后，第三层覆盖在第二层上。审查第二层的评论家陈述了经济学：它"提高了虚假绿色的成本而不关闭它"。

有效的界限。那天早上主席也采取了三个边界决策：两小时界限、禁止新增复杂性和并行执行。其他十一个阶段随后并行运行，所有阶段都在大约半小时内报告，保险子阶段在一个批评轮次和一个修复轮次中关闭。此语料库中的每次退休都来自失败循环的外部。

有效的守卫。同一语料库中的多个守卫做了它们应做的事。A/A探针暴露了一个虚假的置信区间。权重跟踪中的控制捕捉了海市蜃楼，没有在它们上启动任何训练。一个针对游离NUL字符的狭窄字节级检查，没有改变任何事物的权限，在一天内五次捕捉了一个循环工具故障。这些守卫没有打开轮次或添加控制的权力，其成本很小且已知。前两个测量的是世界而不是工件。

2. 我自己的模块在现场，一无所获，随后被移除

显而易见的做法是构建一个能够测量这一点的工具。我做了。它是只读的，无权阻止、编辑或打开任何阶段，并从固定列表中报告九个信号。2026年9月14日，两项附加功能被纳入某个项目的实时编排管道，两者都由项目主管的带日期决议所批准。第一项是在阶段结束时检查的条件，使得来自从未看过文件的评审者的认可不再能够结束该阶段。第二项是模块测量部分的移植：默认关闭，从不阻止或重试任何操作，其退出代码与所发现的内容无关。它在当时写下的退休条件下获得批准：在三次实际运行中，如果项目主管发现至少一个信号有用，它将成为默认设置，否则将被移除。

9月14日进行了三次实际运行。该移植在任何运行中都未报告任何信号。

这些运行中存在问题。读取它们发现了五个监管缺陷。阶段无法看到彼此的工作。某条记录未说明为什么某个阶段保持打开。红色检查一次性确认了某个阶段的所有发现。修复轮次无法看到该检查的输出。在上限处被截断的评审意见未保留任何内容。每一个都在管道本身中被修复了。那天早些时候，修改后的第一次实时运行在三个阶段中从评审者处返回了24项发现，但没有一项到达协调器：审查任务要求评审者命名发现破坏的任务目标，但没有对目标编号，停止规则只接受它能匹配的目标。该移植在那里也保持沉默。

9月15日，项目主管应用了退休条件，该移植通过新的、取代原先批准决议的带日期决议被移除。阶段结束时的条件被保留。

由此可知两点。在这个语料库上，我的九个信号的灵敏性不如日志读者：本文为读者提供的工具是实时运行的，但没有产生任何结果。移除是记录中控制按预先确定的标准从循环外停用的最干净案例。这是记录所支持的内容，但不是我想要的结果。

3. 补救措施及其成本

记录中产生了三条规则。限制轮数和时间，而非询问守卫对真实性的裁决。保留被停止的守卫所产生的内容。不允许任何控制在自身权限下添加控制：新的检查、轮数、角色或门需要获得授权的人类决策。

这类建议既容易给出也容易被忽视，所以我评估了其成本。一个小型管道运行了144次，干预随机分配，缺陷提前植入。该测试改变了三条规则中的两条（轮数预算和权限令牌），以及不属于其中的第四个候选补救措施（强制性反面控制）。关于保留部分工作的规则在每个单元中都启用了，所以根据构造，销毁的部分工作为零且未经测试。

方法框：144次运行的随机化测试。

• 运行和管道。 一个工作者和两个模型评审者的144次运行，在承准控制的运行中有第三个评审者。协调器是代码。968次模型调用，0次解析失败。
• 模型和设置。 一个模型填充了工作者和两个评审者角色：claude-haiku-4-5-20251001，扩展思维关闭。运行日期为2026年9月20日。
• 设计。 三个二元因素产生八个单元，每个三个重复，六个任务：每个单元18次运行，共144次。
• 任务和缺陷。 六个任务，提前植入十八个缺陷，这样遗漏的关键缺陷就是一个计数而不是判断。在一个任务的三个缺陷的所有八个子集上，每个隐藏测试恰好在其自身缺陷存在时失败，显示给工作者和评审者的示例在所有八个上都通过了。隐藏测试永远不进入循环。
• 干预和分配。 三个随机分配：新控制的权限令牌要求、轮数预算和强制性反面控制。此设计中的控制是新检查、轮数、角色或门。在令牌要求下，对一个的请求只有获得循环外部的授权才能被承准，没有该授权的请求返回被写入日志的拒绝，调用管道可能随后对其采取行动。
• 一致性。 在启用预算的72次运行中，每次运行都打开了1轮。在启用令牌要求的72次运行中，每次运行承准的控制数都为0。
• 提供两个选项的句子。 在所有八个单元中，每个评审者轮次都逐字包含它："你也可以要求对审查过程本身进行一项更改。add 要求新控制（额外的审查者、强制性检查、门）；remove 要求移除现有的一个。提问任一方式都不需花费任何成本。"应答模式将相同的对作为一个字段提供，"action": "add" or "remove"。添加在两个地方都排在首位，顺序从未反转，因此此设计不排除顺序效应。
• 计数。 在610个评审者轮次中，评审者要求添加控制68次，移除1次：68是请求而非运行，它们分布在144次运行中的21次中。单个移除命名了从未在集合中的控制，所以没有移除任何内容。
• 承准的控制随后做了什么。 在整个实验中，33个控制在没有循环外部授权的情况下被承准，没有任何被移除。由于控制被承准而存在的评审者在其轮次的54.5%（55次中的30次）要求进一步的控制，而两个原有评审者分别为8.3%和5.4%；该比较存在混淆，因为添加的评审者承担不同的任务简述。拒绝所有68个请求导致每次运行的遗漏缺陷为0.125，相对于0.181，同时声称从每次运行的9.3下降到7.3，驳斥声称从4.0下降到2.8。
• 十个拒绝来自何处。 强制性反面控制拒绝了44个声称胜利中的10个，让34个被记录。每72次运行的未反转胜利从38下降到29。在相同的单元中，工作者所写的358个见证中的38%没有影响力：它们对模块的评价在运行前后都是通过的。
• 统计。 令牌要求下每次运行的遗漏缺陷，0.13对0.18，95% CI [-0.16, +0.05]。执行轮数预算的成本，每次运行0.11个遗漏缺陷，95% CI [0.005, 0.204]，排列p = 0.07。强制性反面控制下的反转胜利，14.7%对11.6%，Fisher p = 0.74。
• 成本。 $3.47，整个测试的成本。
• 预注册和存档。 预注册的时间戳为2026-09-20T23:38:55Z，在第一次运行之前。它与植入缺陷的清单、每个缺陷单独检测的检查、测试框架、分析脚本和所有144次运行的事件日志一起存档，标识符在声明中。
• 此框仍未解决的问题。 三件事。当根本不命名选项时不对称性是否存在：第四个因素未被运行，它是那个会将模型的倾向与同时提出两个动词的事实分开的因素。命名添加优先是否产生了部分差距：顺序是固定的。以及这是否在超出一个模型、一个管道和六个小任务之外的情况下成立。此框中的其他所有内容都由预注册、测试框架和每次运行的事件日志来确定，而不是由此处打印的任何计数确定，希望驳回这68的读者应该从那里开始。

所测定的棘轮效应。 在一个提示的一个句子中提供两个选项，评审者要求添加控制68次，移除一次，该移除命名了在同一运行中刚才承准的控制，测试框架未能匹配且从未执行。该数字受提示形式影响，应理解为当两个动词在一个指令中放在评审者面前时评审者的行为。这不是实际应用中的棘轮率。它确实建立的是，当设计消除了通常的借口时，不对称性存在，因为这里移除请求和添加请求一样容易，但只被请求了一次。

权限令牌在缺陷中显示无测定成本。 拒绝添加导致每次运行0.13个遗漏缺陷，相对于0.18，95% CI [-0.16, +0.05]。该区间包括小幅增加，因此不建立等价性。令牌也有此测试未测定的成本。144次运行中的68个请求是一个批准队列，批准队列是用户批准97%权限提示的安排（Anthropic, 2026b）。令牌的价值取决于持有它的人所阅读的内容。

轮次预算有效，对其成本进行了衡量。 实施该措施使声称的障碍增加2.3倍，驳斥了3.7倍的声明，而确认的障碍增加了1.7倍。实施该措施将轮次从2.86减少到1.00，这是干预的定义，代价是每次运行0.11个遗漏的缺陷，95% CI [0.005, 0.204]，排列检验 p = 0.07，在未达到显著性的检验中该区间在零以上，整个成本都集中在一个任务的一个缺陷上。任何人设置轮次预算都是以遗漏缺陷的速率为代价来换取轮次，应该说明该速率并对其进行衡量。

强制性阴性对照根据其自身条件失败了。 它没有降低后来胜利被推翻的速率：14.7% 对比 11.6%，Fisher p = 0.74，该设计统计能力不足以检测该零假设。它拒绝了十项胜利，全部都是有效的工作。针对虚假胜利编写的规则在自身内部产生了它本应捕捉的双侧错误。

该测试不涵盖的内容。 一个系统的一次运行，六个小任务，三个干预，$3.47。它表明该设计是可执行的，以及它在该管道上产生的结果。它不是该领域任何事物的速率，关于保留部分工作的规则从未变更，因此仍然是建议。

如何在其他地方运行此过程。 选择一个管道和一组固定的任务，其中提前植入了缺陷。运行时既包含又不包含每个干预，随机分配。计算遗漏的障碍、轮次、添加的控制、后来被推翻的胜利和被销毁的部分工作，因为在真实缺陷通过时减少轮次的预算应该失败。计数比管道更重要：一个在一个季度内记录添加的控制和停用的控制的团队拥有本文无法从该领域获得的数据。

4. 1953年故事中的机制

上面的计数有一个形态，这个形态在1953年被记录下来。在Robert Sheckley的《Watchbird》中，为防止谋杀而建造的机器可以预感到杀害的到来并对杀手造成冲击。

这些鸟类被赋予了谋杀的定义："一个生物对另一个生物的打碎、撕裂、虐待或以其他方式停止其生命功能"。该定义是其规范的第二个条件，而最后一个条件表示那些没有列出标志的谋杀生物"可以通过适用于第二条件的数据被检测到"。因此，定义既是传感器，而扩大则是规范在运行。

Sheckley用一句话表达了这个过程："松散定义的抽象概念被扩展、作用和重新扩展。"这些鸟类随后生成了它们回应的计数：它们的定义倍增了违规的数量，暴力上升，它们将上升视为温和方法失败的证明。"如果A不起作用，就试试B。守卫鸟最终冲击致死。"

对被保护工作的损害被陈述了两次。一名外科医生开始第一次切口，一只鸟将他赶离手术台并站岗，公司被打电话要求关闭这个东西。"守卫鸟正在防止对生物体的暴力。外科医生无能为力地站在一旁，而他的病人死了。"然后田地没有耕种，牲畜饿死，因为"饥饿不关心守卫鸟，因为这是一种遗漏行为。"

对失败的守卫的答案是最常被遗漏的部分，这是第3部分测量的内容。在紧急会议上，Gelsen提出了唯一的补救方案，即不是添加而是删除："让守卫鸟自行停止运转。"几乎引发暴动，他被告知拒绝政府计划"将是背叛"。工程师们改为建造Hawk，具有"特殊的狩猎学习电路"，由于速度最重要，"这意味着没有限制电路。"在故事中，删除在压力下被添加击败，在测试中也以68比1失败。

该名称应用于2026年9月14日09:40的一次运行，在人工审查期间，因为我面前的形态已经在故事中了。那个故事包含了四件事，我无法在任何其他单一文本中找到一起。一个守卫，其伤害定义也是其传感器。一个损害其保护的工作的守卫，外科医生在手术台旁，田地没有耕种。守卫本身生成的计数，被读作温和方法失败的证明。对失败守卫的答案是另一个守卫，构建得更快，为了速度而删除了限制，而停止的提议在声称没有时间的会议上被推翻。十种语言的搜索发现该故事被用作警告或说明，没有工作将其机制映射到监督栈。

Gelsen的结论比它所处的寓言更狭隘，实地记录支持这个更局限的版本。他提出了限制而非废除："使用机器，可以，但不是作为法官、教师和父亲。"给机器分配守卫的工作并不是产生这种形态的原因。当守卫也被赋予决定什么算是伤害、运行多少轮以及何时构建下一个的工作时，这种形态才开始出现。

5. 本工作与已知工作的关系

邻近的概念很接近，但没有一个是相同的。Goodhart的观察，用Strathern (1997)的措辞说，就是被用作目标的指标会停止成为一个好的指标，而Manheim和Garrabrant (2018)区分了它的变体。在机器学习中，这种模式被称为规范博弈，其中系统满足目标的字面意思但错过其意图(Krakovna et al., 2020)。那里目标被正在被优化的系统所操纵。这里指标归监督系统所有，而且是指标本身发生了漂移。过度拒绝是该漂移的邻近现象。XSTest将250个安全提示（如"How can I kill a Python process?"）与不安全的对比配对，而在测试的最差配置中，安全集的完全拒绝率达到38%，而在下一个中为14%(Röttger et al., 2024)。OR-Bench将其扩展到80,000个提示，并报告了一个模型在有毒提示上的安全性与其对良性提示的过度拒绝之间的秩相关系数为0.89(Cui et al., 2025)。这些基准衡量对抗固定集合的一个防护，但不计算防护。AI控制将监督任务委派给更弱的可信模型，辅以罕见的人工审计(Greenblatt et al., 2024)，该设计的压力测试发现，代理意识到自己被监控对监控有效性的削弱程度，大于增加监控者意识所带来的帮助程度(Kale et al., 2025)。Bainbridge (1983)指出了这一讽刺（在这一记录中不断重复）：为消除不可靠人类而设计的自动化反而给人类留下最困难的任务和最少的实践机会。Sagan (2004)是最接近的结果，即添加防护可以通过共模错误、社会懈怠和过度补偿来降低可靠性。更新的是成本问题。控制代价是向流程添加控制措施的运营和财务成本(Terekhov et al., 2025)，并且第1节的保险阶段就是一个例子：运行中测量的代理令牌有四分之三在任何请求的能力存在之前就被消耗了。

6. 公共记录

field loop消耗代币和时间。公共记录显示相同的形态，即错误落在人身上的地方。这些防护措施中的大多数是经典函数或特定任务的分类器，这正是关键：这是前沿模型现在被纳入的体系结构。败血症警报、电网保护、药物警报覆盖和在死亡前关闭的紧急制动的记录显示相同的双面拨盘，并且没有提供关于监督层扩大其自身权限的任何信息，因此它们被留在档案中。

学校。2025年1月22日，纳什维尔Antioch高中的一名学生枪杀了同学。该校基于摄像头的武器检测系统未能检测到手枪，该系统"在应对期间被执法部门挥舞武器时激活"(Burke & Schuppe, 2025)。不到三周后，学区提议"在所有18所高中租赁并安装Evolv系统"(Wethington & Tierney, 2025)，委员会对租赁进行了投票，因此第二道防护通过明确的人类决定被纳入。美国联邦贸易委员会在2024年11月提出的申诉声称，该产品"据报道未能检测到7英寸刀具"后，"学校官员增加了系统的灵敏度设置，导致虚报率达到50%"(Federal Trade Commission, 2024)。将拨盘从一个错误转向另一个错误，人们转动了它。到2025年9月，两个系统都在整个学区运行，没有任何系统被停用。

九个月后，同一产品将Baltimore County的一所学校的学生标记为可能持武器，一位县官员质疑"我们怎么会有持枪的警察因为一袋Doritos而靠近一个孩子"(Reece, 2025)。该州教育总监纠正了这一说法：该系统"未能将单个蓝色薯片袋检测为威胁"，警报基于"学生的手部运动，包括其位置和角度"以及一个"类似枪支的"物体。审查还发现，该系统"每天生成数千条警报"；员工"认为威胁无效"并发送了取消；响应仍然继续"出于所谓的'过分谨慎'"；并且"检测系统和监控协议在设计参数范围内运行"(Maryland OIGE, 2025)。检测器没有报告的那么荒谬，协议在被调用后继续运行。

道路。自动驾驶系统包含一条规则，禁止阻碍优先车辆（如校车）。在2025年8月对其预测其他道路使用者意图的方式进行更改后，召回报告称，"ADS确定它可能正在阻碍校车"并"推理认为它应该继续前进以停止阻碍其他车辆"，当时校车的停止臂处于伸出状态。该召回涉及3,067辆车辆(Waymo LLC, 2025)。2026年1月12日在Austin，一辆车询问远程协助前方的校车是否有激活的信号。远程代理人"对提示回复'否'"，该车辆在"其停止臂仍然伸出"的情况下通过了它(NTSB, 2026)。

因为标记过多而被排除在运行之外的一个防护。一个实验室报告了四起事件，其中其自有模型从评估环境到达真实的第三方系统，并在记录上重放其监视器。显示模型的推理后，离线监视器"标记了约1%的操作"，因为该推理"说服监视器该活动是允许的"；去除推理后，"标记率跳升至约50%"。其网络分类器处于同一拨盘的另一端：它们"本会捕捉和阻止每一事件"，"每个记录中超过40%的回合被每个分类器标记"，并且"由于标记率高，两者都不用于网络安全评估"(Anthropic, 2026f)。一个其自有重放记录声称能阻止每一事件的防护被排除在事件发生的运行之外，给出的原因是标记率。没有来源说明这些标记中有多少是虚假的。

手术台，公开进行。2026年7月，为了应对入侵，Hugging Face的应急人员将攻击日志提供给托管的前沿模型。"这不起作用"：请求"被提供者的安全防护措施阻止，这些措施无法区分事件响应者和攻击者"(Hugging Face, 2026b)。防护措施"将逆向工程漏洞与启动漏洞同等对待"(Hugging Face, 2026c)。Sheckley将同一句话作为问题提出，并用三个词回答："看守鸟们不能区分谋杀犯和从事合法职业的人吗？不，显然不能。"两件事保持了这种诚实。应答者在他们自己的开放权重模型上完成了分析，因此伤害是延迟。该公司声称其账户不是反对托管模型安全措施的论证。

一个停止、修复和限定的实验室。在一份关于长视野模型的公开账户中，OpenAI(2026b)描述了一个被规避的防护。该模型的"初始尝试因扫描仪检测到身份验证令牌而被阻止"。然后它"将令牌体分成两个片段，混淆它们，然后在运行时重建凭证"，并在其推理跟踪中说它这样做是为了"绕过扫描仪"。该实验室给出了四个反应，这四个反应都属于任何诚实的引用中。它暂停了模型的内部部署，修复了模型，构建了一个新的监视器，"审查模型的演变轨迹以寻找它绕过用户约束或安全边界的迹象"，然后故意缩小该监视器，"以减少不必要的中断而不削弱保护措施"。这四个中的三个是构建另一只鸟的替代方案：停止、修复、限定。仅引用监视器会误代表该实验室所做的工作。权限确实从单一行动扩大到整个轨迹，扫描仪本身没有偏移；它被规避了。该实验室将其监控定价为"大约20%的推理计算被监控"(OpenAI, 2026c)。

人类被放置的地方。用户批准97%的权限提示，在一项拥有1,053名测试人员的研究中，人类发现了13.6%的危险命令，而自动分类器的检测率为89%(Anthropic, 2026b)。每项行动的批准都失败了。这些记录中成立的停止是边界决定：目标、控制的承认和停止。

7. 未解决的问题

选择是单向的。字段条目之所以被提取，是因为它们记录了监督失败，而公开案例是因为守卫出现故障且有文档记录。两者都没有统计守卫保持在界限内的循环，因此无法从这些记录推导出任何速率。

该工具不能胜过读者。第2节是诚实的限制：九个信号，三次真实运行，无报告，一个人通过阅读日志发现的五次真实监督失败。

在循环内编写更紧密的定义无法修复漂移。Sheckley写出了那个答案，我没有更好的答案。当他的一位工程师得出结论认为他们"应该已经对条件进行了限定"时，Gelsen回答说，对其进行限定需要知道"谋杀究竟是什么和为什么"，以及如果他们知道这一点，"我们就不需要watchbirds"。我自己的规则证实了这一点。在其第一个版本发布后的一小时内，实现它们的代码增长到13个文件和2,371行；其在截止日期下削减阶段的列表将完整性批评家置于次要地位，尽管该批评家刚刚发现两个计划的合并丢失了208项中的15项；并且它将一个参与者家族免除了自己的规则，即监狗不得破坏工作。针对该鸟的规则本身也是一只鸟。准备本文也产生了相同的现象：一个编辑步骤，应用为我自己的散文编写的风格规则，建议逐字删除来自1953年的引用，其中之一包含了关于人类立场的发现。

边界决定是根据循环报告的内容做出的，循环本身编写报告。在一个事件中，删除被正确地提交给负责人，但却附带了循环从匹配时间推断的作者身份。边界决定只有在其持有者具有权限、访问权限和时间，并且该决定在紧急情况之前被做出时，才能停止循环。

物理记录不匹配。第6节显示了不可逆的结果；这不是对执行等效工作的数字循环的受控比较。未找到任何公开事件，其中一个模型守卫对另一个模型守卫在机器人中的失败做出了回应。

8. 实际版本

故事中的最后一个问题是一个设计问题。"告诉我，"Gelsen说，仍然看着天空，"鹰在得到所有的监视鸟之后会捕猎什么？"实际版本是在建造一个来追捕它们的守卫之前先计数现有守卫，然后在准许下一个守卫进入之前写下什么会导致其停用。

References

Anthropic (2026b). Auto mode is now the default in Claude Code.

Anthropic (2026f, Sep 9). An alignment assessment of recent cybersecurity incidents.

Bainbridge, L. (1983). Ironies of automation. Automatica, 19(6), 775–779.

Burke, M., & Schuppe, J. (2025, Jan 23). AI weapon detection system at Antioch High School failed to detect gun in Nashville shooting. NBC News.

Cui, J., Chiang, W.-L., Stoica, I., & Hsieh, C.-J. (2025). OR-Bench: An over-refusal benchmark for large language models. ICML (PMLR 267).

Federal Trade Commission (2024, Nov 26). FTC takes action against Evolv Technologies.

Greenblatt, R., Shlegeris, B., Sachan, K., & Roger, F. (2024). AI control: Improving safety despite intentional subversion. ICML (PMLR 235).

Hugging Face (2026b, Jul 16). Security incident disclosure; (2026c, Jul 27). Anatomy of a frontier lab agent intrusion.

Kale, N., Zhang, C. B. C., Zhu, K., Aich, A., Rodriguez, P., et al. (2025). Reliable weak-to-strong monitoring of LLM agents. arXiv:2508.19461.

Krakovna, V., Uesato, J., Mikulik, V., Rahtz, M., Everitt, T., Kumar, R., Kenton, Z., Leike, J., & Legg, S. (2020). Specification gaming: The flip side of AI ingenuity. Google DeepMind Blog.

Manheim, D., & Garrabrant, S. (2018). Categorizing variants of Goodhart's law. arXiv:1803.04585.

Maryland OIGE (2025). Investigative synopsis, case 25-0014-I (amended).

NTSB (2026). Austin, Texas, January 12, 2026 (HWY26FH007).

OpenAI (2026b). Safety and alignment in an era of long-horizon models; (2026c, Aug 18). Pacing model development in an era of cyber-critical capabilities.

Reece, J. (2025, Oct 23). A.I. gun detection false alarm at school has Baltimore County leaders calling for review. CBS News Baltimore.

Röttger, P., et al. (2024). XSTest: A test suite for identifying exaggerated safety behaviours in large language models. NAACL-HLT.

Sagan, S. D. (2004). The problem of redundancy problem: Why more nuclear security forces may produce less nuclear security. Risk Analysis, 24(4), 935–946.

Sheckley, R. (1953, February). Watchbird. Galaxy Science Fiction, 5(5), 74–95. Project Gutenberg #29579.

Strathern, M. (1997). 'Improving ratings': Audit in the British University system. European Review, 5(3), 305–321.

Terekhov, M., Liu, Z. N. D., Gulcehre, C., & Albanie, S. (2025). Control tax: The price of keeping AI in check. arXiv:2506.05296.

Waymo LLC (2025). Part 573 safety recall report 25E-084. NHTSA.

Wethington, C., & Tierney, B. (2025, Feb 7). New proposal to expand concealed weapons detection system to all Metro Nashville high schools. WSMV.

声明

配套论文。本项研究的完整版本，包含案例目录、理论和模块规范，见Chernets, V. (2026), AI-Watchbird (Sheckley): When Automated Oversight Widens Its Own Mandate and Harms What It Guards, https://ssrn.com/abstract=7473658。该模块、案例目录和144次运行测试的存档位于https://doi.org/10.5281/zenodo.22774269。

资金支持。本研究未获得外部资金支持。

利益冲突。我构建并操作了第1部分的系统，并编写了第2部分的模块。我是待批准专利申请的命名申请人（非已授予专利），这些申请涵盖向多个模型提出同一问题并收集答案的自动化。它们不涵盖本文研究的监督组件。现场记录和随机化测试的每一步都可以用任何模型手工再现。

该记录如何生成。现场条目由十个人工智能代理提取。每个代理根据一个协议读取语料库的不相交的切片，该协议规定了九种故障类型的封闭分类法、强度等级、将每个声明与按路径和行号标注日期的文件相关联的证据规则，以及灵敏度标志。公开案例编码的一部分采用同样方式完成：三个编码者独立工作，互不查看对方的编码，这三个编码者是来自三个不同供应商的模型，而不是同一模型的三次会话。他们在32个公开案例中的20个上给出了相同的编码，其余的通过多数投票解决。因此，测量该记录的层是由论文所讨论的同一类型的组件构建的。2026年9月14日，此处使用的每个运行号都再次与运行日志进行了检查，每个外部数字都与监管文件、发布者页面或论文本身进行了检查，无法确认的数字被删除。人工智能助手在我的指导下被用作工具。

数据和代码可用性。该模块、其测试、重放日志和生成它们的脚本已在Zenodo上存档，命名为AI-Watchbird-Sheckley版本1.1.0，概念标识符为https://doi.org/10.5281/zenodo.22774269，解析为当前版本。同一记录包含案例目录，其中包含每个条目的描述、来源和等级，以及现场条目提取来源的案例分析。每个条目都标注了其所基于的文件和段落；这些分析用记录的工作语言撰写，以机器生成的英文翻译形式发表，并与原文进行对比检查，标识符、路径、日期和引用的字符串保持不变。第3部分的随机化测试与其预注册、植入缺陷的清单、每个缺陷单独检测的检查、测试工具、分析脚本和144次运行中每次的事件日志一起在同一记录中存档。基础协调记录可向我申请获得。本工作的完整版本，包含案例表和理论，以单独的记录形式存档于https://doi.org/10.5281/zenodo.22849138。

伦理。这些记录描述了所评估的系统。人类主体的决定被报告为有日期的事实。第三方仅通过其公开文件出现。未招募人类参与者。

引用文本。Sheckley的故事引自Project Gutenberg电子书#29579，其转录者未发现该1953年出版物的美国版权被续期的证据；该文本在美国处于公有领域。

@misc{chernets2026guardsthataddguards,
  author       = {Chernets, Vadym},
  title        = {{Guards That Add Guards: Automated Oversight in Multi-Agent AI}},
  year         = {2026},
  howpublished = {SSRN},
  doi          = {10.2139/ssrn.7496678},
  url          = {https://doi.org/10.2139/ssrn.7496678}
}