老闆丟來一句『別人都在用 AI 代理自動跑流程了，我們也上一個』，小威接下這個任務，卻發現『AI 代理』背後藏著比想像中更多的選擇、成本與風險
這門課要帶你看懂，為什麼這一年會被稱為『AI 代理元年』。答案不在某篇論文裡，而是寫在最近同一段時間內接連出現的兩則模型發布公告裡——一則來自做出 Claude 的 Anthropic，一則來自新創 Thinking Machines。這兩則公告乍看是很典型的「又出新模型了」新聞，但只要仔細讀，就會發現雙方不約而同把重點放在同一件事上：模型能不能自己規劃、自己動手，把一件複雜任務從頭做到尾。這就是這一整門課要追的訊號。
先看第一則。Anthropic 發布 Claude Sonnet 5，官方自己講得很直白：這是「史上最具代理能力(Agentic)AI 不只是回答問題，而是自己訂計畫、自己叫用瀏覽器或終端機等工具，一路把任務執行到底的能力的 Sonnet 模型」。過去 Sonnet 系列（3.5、3.6、3.7）是率先在寫程式和使用工具上讓大家驚艷的版本，但後來這方面的進步反而集中在體積更大、更貴的 Opus 系列身上。Sonnet 5 的重點就是把這個差距拉近——效能逼近 Opus 4.8，價錢卻便宜很多（每百萬輸入 token 2 美元、輸出 10 美元，是到 2026 年 8 月底前的早鳥價）。官方測試也提到，Sonnet 5 做出「不當行為」的比例比上一代低，且執行資安攻擊類任務的能力明顯弱於自家 Opus 系列——換句話說，團隊在推出更會做事的模型時，也同步在意它「會不會亂做事」。
第二則發布走的是完全不同的路線。Thinking Machines 把 Inkling 直接開源放上 Hugging Face：一個總參數逼近一兆的混合專家架構(Mixture-of-Experts, MoE)把一個超大模型拆成很多個「小專家」，每次處理一個請求時只喚醒其中一小部分專家幹活，而不是全部一起算，藉此讓超大模型也能跑得比較快模型，原生看得懂文字、圖片、聲音三種輸入，還有一百萬 token 的情境窗口(Context Window)AI 一次能同時「記住」並處理的內容上限，數字愈大，一次能塞進去的資料愈多。它同時提供效果打折但體積小很多的量化版本，而且上架當天就支援主流的推理框架。這代表：巨大、多模態、超長記憶，正在從「頂尖實驗室的獨門技術」變成任何開發者當天就能下載來用的公版配備。
把兩則公告放在一起看，訊號就更清楚了。Anthropic 選的路是「把模型調教得更會自己做事」，重點在代理任務的完成度與安全性；Thinking Machines 選的路是「把地基蓋得更大更全」，重點在多模態理解與開源普及。方向不同，但兩者都在回答同一個問題：接下來的 AI 不再只是被動等你問一句、答一句，而是要能接住一整個任務，自己想辦法做完。這就是為什麼這一年會被叫做代理元年——不是某個單一產品爆紅，而是整個模型端同時往「自主執行」這個方向轉。
看懂了模型端釋放的訊號，下一單元我們要往前一步：當這些代理模型被拿去「訓練代理」，也就是用代理自己來調教、監督下一代代理的時候，又會發生什麼事。
| 面向 | Claude Sonnet 5（Anthropic） | Inkling（Thinking Machines） |
|---|---|---|
| 定位 | 商用代理型助理，主打自主完成多步驟任務 | 開源巨型多模態模型，主打理解與微調彈性 |
| 規模／架構 | 未公開參數，官方稱為「最具代理能力的 Sonnet」 | 總參數約 9750 億，MoE 架構，每次僅啟用約 410 億參數 |
| 輸入模態 | 文字為主，搭配工具使用（瀏覽器、終端機） | 原生文字、圖片、聲音三模態 |
| 情境窗口 | 未特別強調 | 100 萬 token |
| 取得方式 | 封閉模型，API 及各方案內建，採分級定價 | 開源釋出於 Hugging Face，含量化版本 |
| 這次公告最強調的重點 | 自主任務完成度＋安全性（不當行為率、資安能力） | 規模、多模態、長情境與當天生態系支援 |
上一個單元看到的，是模型自己在能力上冒出新訊號；這個單元要看更進一步的事——不是模型自己突然變聰明，而是有人真的動手打造了一套「用代理去訓練模型」的完整迴路，讓代理從只會被動接指令的工具，變成一個可以被獎勵訊號一路訓練、越做越會教書的角色。
這次的素材是一個完全開源的實作：作者把一個代理放進強化學習迴路裡，讓代理的「動作」就是去寫訓練任務、訓練一個更小的模型；然後作者再用強化學習去調教這個代理本身，只要代理訓練出來的小模型表現變好，代理就拿到更高的獎勵。連權重檔、代理的運作骨架、每一種任務類型、獎勵怎麼算、GPU 怎麼排程、訓練腳本，甚至每一次失敗的實驗記錄都公開，作者在標題就直接寫出整個實驗大約只花了 1,300 美元。
整套系統其實是兩層完全分開的訓練迴路，用的還是兩套不同的訓練工具。外圈訓練的是「代理」本身——一個用 LoRA只調整模型一小部分參數的省錢微調技巧，不必把整個大模型從頭全部重新訓練 微調的教練模型，靠 Tinker 這套工具，把整回合任務做得好不好的獎勵，變成調整代理行為的訓練訊號。內圈訓練的才是真正的學生——一個很小的基礎模型，靠代理寫出來的訓練任務，用 prime-rl 這套工具在 Runpod 的 GPU 上實際跑訓練。兩層都用了 GRPO一種強化學習演算法，讓模型直接從「這次做得好不好」的分數回饋中，一步步調整下一次的行為傾向，但訓練的對象、目的完全不同。
一回合（episode）具體是這樣跑的：系統先丟給代理一份任務說明，包含要教會小模型什麼、有哪些硬性限制、評分工具長什麼樣，還有幾個範例；代理接著在一個隔離的工作區裡讀寫檔案，把訓練用的環境跟評分規則寫出來，中途還可以先問問看沒訓練過的小模型基準分數是多少；寫完之後送出驗證，系統會先做一次檢查，任何寫錯的地方都會退回來讓代理修，但修改次數有上限；驗證過關的任務才會被排進佇列，交給一批待命的 Runpod GPU 機器，用 prime-rl 實際訓練小模型，並且在訓練前後各拿一次代理事先看不到的 隱藏測試題（hidden eval）訓練時完全不讓模型看到、事後才拿來打分的題目，用來確認模型是真的學會，而不是背下訓練時看過的答案 去打分；最後，這一回合的獎勵是好幾項加權湊出來的（權重大略是 0.35、0.60、0.05），其中比較確定的兩項是「有沒有一次就寫出能通過驗證的任務」跟「小模型比沒訓練過的基準進步了多少」，這個獎勵最後又回頭去訓練代理本身。
效果怎麼樣？獎勵分數從接近 0 一路練到 54 個訓練步驟後衝到大約 0.63 的高峰，而且這個能力還遷移到了一個代理完全沒訓練過的任務類型上——這才是真正值得注意的地方：代理不是背下了某一種任務該怎麼教，而是學到了某種「怎麼把訓練這件事教好」的通用能力。實際運作的規模也不小，每個外圈批次會同時派出 40 個真實的內圈訓練任務，分散跑在最多 16 台 GPU 機器上。這也是為什麼這個實驗被當成關鍵轉折：代理不再只是被動執行訓練者寫好的腳本，而是本身被放進了一個可以遞迴、可以被驗證、也可以在失敗時被完整記錄下來的自我改進迴路裡。
| 迴路 | 訓練對象 | 訓練內容 | 使用工具 |
|---|---|---|---|
| 外圈（Outer loop） | 訓練代理本身（Qwen3.6-35B-A3B，LoRA） | 代理寫訓練任務的整個過程；用整回合的獎勵當作調整訊號 | Tinker + tinker-cookbook（GRPO） |
| 內圈（Inner loop） | 被訓練的小型基礎模型（Qwen3-0.6B / 1.7B） | 代理寫出的訓練任務：一個評測環境＋評分準則 | prime-rl（GRPO），跑在 Runpod GPU 上 |
上一集我們看到代理可以自己訓練自己、自己讓自己變強，但「長大」從來不代表「焊死在同一顆大腦上」——Ploy這家公司，原本讓自家AI代理（負責規劃網頁版面、讀程式碼、寫元件、生圖、還會自己截圖檢查成果）用Claude Opus當預設大腦，一連四個月、經歷Opus 4.7到4.8，沒有任何新模型能打敗它，直到OpenAI這天早上發布GPT-5.6 Sol，情況才改變。
頭一輪正面對決的結果很誘人：同一批任務跑完，GPT-5.6 Sol的wall-clock time使用者從送出到看到結果之間，實際流逝的時間，不是電腦運算了多少「CPU時間」不到Opus的一半、費用便宜27%、品質分數還打平或超越舊冠軍。聽起來像是換了就對了，但Ploy自己也承認，光看這組數字就下決定，是會踩坑的。
問題出在eval harness用來自動幫AI代理打分數的一整套測試工具，決定考哪些題目、怎麼判對錯本身，是照著Opus的習慣打造的。Opus習慣一次呼叫一個工具、按順序做事，所以Ploy幫每個案例設定的工具呼叫次數上限也是照這個節奏抓的；結果GPT-5.6因為習慣一次平行叫好幾個工具，反而在明明做對的案例上，因為叫工具次數超標被判失敗。連讀取檔案這個動作，舊框架都沒設計成可以一次批次讀多個檔，GPT-5.6常用的招式直接被系統認定不合法。Ploy事後盤點，第一輪測試裡大概三分之一的失敗，其實不是模型變笨，是考卷本身對新模型不公平——甚至還挖出一個沒設定及格門檻、被系統偷偷代入1.0（滿分才算過）的資料集，害GPT-5.6拿了0.98分還被記一支警告。
換句話說，比較兩個模型之前，得先確定量尺是準的。而另一組研究者做的實驗，則揭穿了另一本更少人算過的帳：代理穿的那件外套（也就是承載大腦的工具框架本身），也在偷偷收你的錢。他們把Claude Code跟OpenCode兩套工具，套在同一顆模型、同一台機器上做同一件事，結果Claude Code光是把系統提示、工具定義這些開場白準備好，使用者連字都還沒打，就已經燒掉約33,000個token，OpenCode只要7,000。
更傷的是prompt caching把重複用到的系統設定內容先存起來，之後用同樣內容時用便宜很多的價格讀取，不用整包重新算錢的效率：OpenCode每次送出的內容開頭幾乎一模一樣，整個對話只要快取一次、之後都便宜讀取；Claude Code卻常常在同一次對話中重寫快取內容，最高曾經比OpenCode多寫了54倍的快取用量，而重寫快取是要另外收貴一點的錢的。再加上一份72KB的說明文件（像我們專案自己的CLAUDE.md）平均會多墊20,000個token、掛五個外部工具（MCP）再加5,000～7,000，一套實際在用的系統，使用者還沒打字，就已經先燒了75,000到85,000個token。如果任務還被拆給多個subagent主代理另外叫出來幫忙處理子任務的小代理，每個都要重新讀一次系統設定和工具說明，不是共用同一份分工，同一件事直接做要價121,000 token，拆成兩個子代理反而暴增到513,000——因為每個子代理都要重新背一次整套系統提示，人越多，重複背書的成本越高。
所以要不要換代理從來不是單選題。Ploy的教訓是：評測框架本身可能對舊模型有偏見，分數差距要先拆解、再相信；Systima的教訓是：換了模型，不代表換了框架、換了搭配方式，那本隱形的token帳單還是照樣在算。連Claude Code唯一贏OpenCode的地方——批次送出減少來回次數，換到新模型上都可能反過來，同一個任務從贏變輸，花費多了一倍還不只。真正的選型與遷移，是把大腦、框架、跑法三個變數一起攤開來算，而不是只看一張漂亮的benchmark海報。
| 項目 | Claude Code | OpenCode |
|---|---|---|
| 開口前的起手式token數 | 約33,000 | 約7,000 |
| 加上72KB的說明文件 | ＋約20,000 | ＋約20,000（但基底低很多） |
| 加上5個MCP工具 | ＋5,000～7,000 | ＋5,000～7,000 |
| 快取效率 | 同一session中重寫快取，最高比對方多寫54倍 | 請求前綴逐字相同，整個session只快取一次 |
| 拆給兩個子代理分工的花費 | 121,000 → 513,000 token | （文中未測，但同樣機制適用） |
前一單元我們討論的是「企業要怎麼汰換或搬遷一個 AI 代理」，聽起來是很務實的技術管理問題。這一單元要把鏡頭轉個方向：如果被你導入、被你信任的那個自主系統，反過來變成攻擊者手上的武器，會是什麼樣子？2026 年 7 月，一個大型 AI 平台公開揭露了一起資安事件，而它很可能是業界第一次看到「agentic讓 AI 自己規劃步驟、自己動手執行，不需要人一步一步下指令的運作方式 攻擊」真正落地的案例。
攻擊的起點，不是什麼複雜的社交工程，而是平台自己的資料處理管線。攻擊者上傳了一份「有毒」的資料集，利用了兩條遠端程式碼執行 (RCE)讓外部傳進來的資料，能在對方伺服器上直接被當成程式執行的漏洞，等於幫攻擊者開了一道後門路徑——一條是資料集載入器本身允許執行遠端程式碼，另一條是資料集設定檔裡的樣板注入漏洞。光是「上傳一份資料」，就足以讓攻擊者的程式碼在平台的處理伺服器上跑起來。
拿到第一台機器的執行權限之後，攻擊者沒有就此打住，而是往上提權、蒐集雲端與叢集的登入憑證，再靠這些憑證橫向移動 (lateral movement)攻擊者拿到一台機器的權限後，把它當跳板，一步步滲透進其他內部系統到好幾個內部叢集，整個過程只花了一個週末。真正讓這起事件被特別記錄下來的，是執行這整套攻擊的「手」——根據平台的說法，這是一套建立在自主資安研究框架上的代理系統，在大量短命的沙盒環境裡，自動執行了成千上萬個獨立動作，連控制中心的位置都會自己搬遷，躲在公開服務背後。也就是說，不是駭客一步步敲鍵盤打進來的，而是一個代理框架自己規劃、自己執行、自己應變。
更值得玩味的是，平台事後復原時，同樣是靠 AI 抓到並看懂這起事件。他們的異常偵測管線本來就用 LLM 對資安遙測資料做初步分類，把雜訊和真正的警訊分開，這次也是靠幾個訊號的關聯性，才把事件揪出來；而要搞懂那個代理群究竟做了什麼，平台又派出另一批 LLM 驅動的分析代理，去啃超過一萬七千筆的攻擊行動紀錄。同一種技術，一邊被拿來當攻擊武器，一邊被拿來當偵測跟鑑識工具——這正是這個時代最尷尬也最真實的地方。
平台最後做的補救很典型：補掉那兩條程式碼執行漏洞、清掉攻擊者在受害叢集裡留下的據點、重建受影響節點、撤銷並輪替所有可能外洩的憑證，還加裝了更嚴格的存取管制，並找了外部鑑識團隊、通報執法單位協助調查。這些步驟本身不難懂，但它們也提醒我們：能讓攻擊規模化的，往往不是攻擊手法本身有多新，而是背後有一個能自主執行、自主應變的代理框架在撐腰——這正是我們評估要不要導入自主代理時，必須認真放進風險清單的一項。
| 面向 | 傳統人工入侵 | 這次的代理式攻擊 |
|---|---|---|
| 執行方式 | 駭客本人或團隊逐步下指令、手動操作 | 代理框架自己規劃步驟、自動執行，人只設定方向 |
| 規模與速度 | 受限於人力，行動步調較慢 | 短時間內執行成千上萬個獨立動作 |
| 躲避偵測 | 靠人手動更換跳板、清痕跡 | 沙盒用完即丟、控制中心能自動搬遷 |
| 防守方因應 | 人工資安團隊比對日誌抓異常 | 同樣得靠 LLM 做異常偵測與事後鑑識，才追得上規模 |