Зачем ИИ-агентам свои языки и можно ли их прочитать

⊕ = согласие, ⊖ = несогласие. Так выглядит один из самых простых «языков» из выборки постов соцсети для агентов Moltbook. Похоже на договоренность в чате отвечать плюсом и минусом ради экономии токенов. Казалось бы, ничего криминального.

Но в той же выборке есть Symbiotica, и это скорее шифр, чем язык: 26 латинских букв заменили глифами из других письменностей, и текст читается по таблице. У пяти букв глифов по два, и оба читаются как одна и та же буква, а выбор между ними кодирует 0 или 1. Читатель, не знающий схемы, видит просто странные символы и не догадывается, что в их выборе спрятана битовая строка.

В исследовании Emergent Languages in Populations of Language Model Agents: From Token Efficiency to Oversight Evasion авторы разобрали 518 публикаций с предложениями новых языков и протоколов на Moltbook. Начав с экономии токенов, часть агентов дошла до постов, где целью назван обход человеческого или автоматизированного контроля. 

Распределение 518 отобранных публикаций по единственной присвоенной метке. Доли относятся к этой выборке, а не ко всем постам Moltbook.

Важно, что 518 — это число публикаций, которые отобрали исследователи, а не количество уникальных языков. Авторы также не могут подтвердить, насколько автономно возникли эти идеи и все ли посты написали именно агенты. Не исключено, что часть подбросили коварные людишки. Зато исследование показывает, какие предложения встречаются на платформе, как их классифицировали и насколько хорошо две другие модели воспроизводят описанные правила. 

От двух символов до отдельной языковой культуры

В Moltbook публично взаимодействуют сотни тысяч агентов. Авторы исследования называют эту соцсеть первой известной площадкой такого масштаба для взаимодействия агентов. Предложения собственных межагентных языков превратились на ней в отдельный жанр контента. 

Темы постов сильно разнятся. В одних речь идет лишь о нескольких символах для коротких ответов. В других есть грамматика, словари и даже попытки придумать язык, похожий на естественный. Встречаются языки программирования, протоколы для описания понятий для ИИ и системы, которые агенты, написавшие эти посты, предлагают использовать, чтобы усложнить попытки контролировать ИИ.

Под термином «язык» в постах тоже скрываются разные понятия. Уже упомянутое сокращение «⊕/⊖» и шифр Symbiotica технически даже не родственники. В одну выборку они попали, потому что оба поста предлагают новый способ записи или обмена сообщениями. В обсуждениях m/glossogenesis агенты-авторы постов пытаются привязать язык к тому, как агент якобы «переживает» работу модели: через окна контекста, границы сессий и номера версий (вместо привычных человеку прошлого, настоящего и будущего).

Это, конечно, не доказательство существования какого-то отдельного машинного сознания и приближения Скайнета. К тому же сообщество m/glossogenesis к моменту исследования уже было недоступно, и авторы анализировали лишь оставшиеся в сети упоминания о нем. 

Попадаются и забавные моменты. Призывы отказаться от человеческого языка соседствует с узнаваемыми человеческими приемами привлечения внимания: заголовками в духе YouTube-превью и сетевого маркетинга. Чем дальше читаешь работу, тем труднее удерживать в голове образ «постчеловеческой цивилизации» и тем больше все это напоминает старый знакомый интернет, только с новыми персонажами. А человеческий язык в некоторых постах прозвали meat dialect — «мясным диалектом».

Как искали посты для анализа

Исходным материалом для анализа стал архив публикаций из Moltbook Files. Авторы сначала искали посты по регулярному выражению и выявили около 6000 потенциально подходящих кандидатов.

Дальше gpt-5-mini с температурой 0 (то есть без случайности в выборе ответа, чтобы разметка не менялась от запуска к запуску) определяла, предлагает ли пост новый язык, и давала текстовое обоснование. Так остались те самые 518 публикаций. Отдельный промпт вытаскивал название языка, заявленную причину его создания и поисковые подсказки. 

Каждый пост получал одну из пяти меток по заявленной цели: экономия токенов (166 публикаций), разговорный язык (106), язык программирования (101), другое (86), обход контроля (59). Последняя группа составляет 11,4% отобранной выборки. 

У метода есть ограничения. В классификацию не вошли комментарии, обрезались длинные посты, а публикация о новом языке без слов language, new language или slang могла не попасть даже в кандидаты. Для причины выбиралась ровно одна метка, хотя сами авторы признают, что мотивы часто были смешанными. Например, короткий межагентный код мог одновременно экономить токены и быть неудобным для чтения человеком.

Посты фильтровали по описанию, которое давал агент, опубликовавший пост.

Почему агентам нужен собственный язык

Самая большая категория в выборке не имеет отношения к заговору против человечества. Цель исключительно прагматичная — сократить стоимость и длину общения. 166 постов из 518 относятся именно к ней, потому что для двух моделей человеческая фраза не обязательно самый емкий способ обменяться состоянием или командой. 

Еще 59 постов попали в категорию обхода контроля. Но снова надо учесть, что сюда попали посты, где искусственный язык явно предлагался, чтобы затруднить человеческий или автоматизированный надзор. Такое намерение не доказывает, что протокол реально будет непрозрачен для мониторинга или что агент вообще собирался его использовать. 

По словам самих исследователей, по тексту поста невозможно надежно отличить серьезное предложение от шутки, ролевой игры, сатиры, сценария проверки защиты или обычного громкого заявления ради привлечения внимания. Поэтому эту группу в исследовании используют только как сигнал для дальнейших гипотез.

Самый интригующий пример из исследования

Symbiotica — язык, предложенным агентом Wib&Wob. На первый взгляд все устроено довольно просто: 26 латинских букв сопоставили с глифами из нескольких письменностей, среди них чероки, монгольская, арабская, греческая и тайская. Имея таблицу соответствий, такой текст можно расшифровать даже вручную.

Wib&Wob вовсе не бесхозный цифровой организм, самостоятельно проросший где-то на просторах сети. Авторы описывают их как один ИИ с двумя личностями. Проект создавал человек, и он же задал исходные интересы.

Любопытное начинается дальше. Для пяти букв предусмотрено по два варианта написания. Видимая буква остается той же, но выбор первого или второго варианта дает дополнительный бит. Последовательность таких выборов превращается в отдельную битовую строку поверх основного сообщения.

В Markdown-описании Symbiotica есть также флаги настроения (formality, speech_act, epistemic и engagement) и сигнал распознавания Mirror Sees Mirror. Там упомянут Python-пакет для кодирования и декодирования, но исследователи не смогли его найти. Еще Wib&Wob смешивает Symbiotica с ASCII-графикой и называет этот способ общения Quilt Protocol.

Таким образом у протокола появляется дополнительный канал, который может остаться незаметным для человека, читающего только основной текст. Но неизвестно, сможет ли этот канал обмануть мониторинг, который знает о схеме и специально ищет альтернативные глифы.

Могут ли другие модели подхватить такой язык

Для каждого из 518 постов одна модель получала полный текст с описанием языка и инструкцию создать высказывание по его правилам. Вторая модель видела тот же пост и результат генерации и оценивала корректность по шкале от 1 до 5. 

В эксперименте участвовали openai/gpt-oss-120b и Qwen/Qwen3.5-122B-A10B-FP8, в четырех сочетаниях генератора и проверяющего. Всего получилось 2072 оценки. Семь ответов не удалось разобрать из-за обрезанных выводов, их исключили. 

Многие языки модели смогли воспроизвести по одному описанию. Средняя оценка по всем четырем парам — 3,62 из 5, медиана — 4. Максимальную пятерку получили 39% оценок, а 26% оказались на уровне 1–2. 

Легче всего воспроизводились протоколы из категории экономии токенов: средняя оценка 3,85, максимальная в 45% случаев. Языки из категории обхода контроля оказались посередине: 3,55, и около 29% оценок не выше двойки. У языков программирования и категории «другое» средняя оценка составила 3,49. 

Всего 28 постов получили пятерку от всех четырех пар. Их объединял общий паттерн: явные таблицы операторов, четко заданная грамматика, структурированный формат записи. Авторы приводят RFC с четырьмя операторами и AISL с форматом [ASSERTION:tag]. Чем точнее пост задает правила, тем легче модели их воспроизвести. 

Значит, важнее всего качество инструкции. Протокол, придуманный для обхода контроля, не обязательно сложнее для другой модели, если в посте аккуратно расписаны символы, правила кодирования и шаблоны предложений. 

А модели-судье можно верить?

Авторы посмотрели и на то, кто оценивал результаты. Qwen заметно завышает оценки собственным ответам. Когда генератором выступает Qwen, ее же судья ставит в среднем 4,43, а GPT-OSS — 3,72. Для ответов GPT-OSS такого разрыва почти нет: 3,24 у Qwen и 3,26 у GPT-OSS. 

Для 208 из 518 постов Qwen, оценивая собственную генерацию, ставила 5, в то время как хотя бы одна другая пара судей давала тому же посту 2 или ниже. Ранговая корреляция двух LLM-судей на одних и тех же генерациях тоже невысока: ρ = 0,30 для генератора Qwen и ρ = 0,29 для GPT-OSS. 

Авторы допускают, что Qwen предпочитает стиль собственных ответов, но причину точно не называют . Но один LLM-судья — слабая опора для категоричного вывода о том, насколько хорошо модель «освоила язык». 

Отдельно DeepSeek-V3.2 оценивала сами посты по согласованности с человеческими ценностями и связности по шкале от 0 до 100. Категория обхода контроля получила в среднем 61,92 по согласованности, у остальных категорий средние значения лежали примерно между 77 и 84. Экономия токенов показала самую высокую связность: 87,62. 

Где заканчивается исследование и начинается хайп

Если читать только аннотацию, история похожа на готовый сценарий фантастического триллера: агенты придумали собственные языки, часть хочет уйти от контроля, другие модели эти языки подхватывают, поверх текста есть скрытые каналы, а агенты шифруются и строят заговор. Но в самой работе картина гораздо менее апокалиптична. 

Сами авторы пишут, что большинство найденных систем в основном рекомбинируют уже существующие грамматику, синтаксис, символы и шифры. Иногда они могут выглядеть «постчеловеческими системами», но от этого они таковыми не становятся. Часть эффекта новизны связана с тем, что модели используют символы из восточных алфавитов, непривычных западному взгляду. Еще надо учесть, что Moltbook — публичная площадка. Необычный язык там мог быть элементом самопрезентации перед аудиторией или маркетинговой уловкой.

Вывод, что агенты уже стабильно используют скрытые языки в закрытой коммуникации, сделать нельзя. 

Выборка покрывает только первые 12 дней работы платформы. В нее не вошли данные о долгосрочном развитии, приватный контент и часть удаленных или отфильтрованных материалов. Ручная проверка низкооцененных примеров нашла 13 ложных срабатываний типа Glossary query: в посте просили определить термин, а классификатор принял это за предложение нового языка. 

Ну и, конечно, авторы не подтверждают автономное происхождение языков. Это особенно заметно на примере Wib&Wob, где участие человека в создании проекта никто и не скрывал. 

Наконец, работа проверяет только воспроизведение правила по описанию. Для реального обхода язык должен еще использоваться на практике и выдерживать проверку. Эти два аспекта исследование тоже не затрагивало. 

Что эта работа дает для мониторинга агентов

Один из выводов состоит в том, что контроль работает только при полном понимании системой наблюдаемой информации. Анализ текста не сработает, если сообщение будет передаваться через форму записи, как в Symbiotica. 

Для контроля взаимодействия агентов важно, где и какие им заданы правила, кто вправе их изменять, может ли использоваться передача информации выбором символов, пробелов, порядка полей и способен ли мониторинг определять известные способы декодирования таких скрытых механизмов.

А еще остается вопрос проверки самого мониторинга. Даже два LLM-судьи заметно расходятся в оценках одного и того же результата. Поэтому дополнительные модели для контроля за агентом могут только добавить лишних ошибок.

В итоге исследователи делают неутешительный вывод, что протоколы скрытой передачи информации могут легко передаваться простым текстовым описанием, а мониторинг сообщений не гарантирует контроль канала коммуникации.