两个完全独立的 AI 会话，在没有任何事先商定暗号的前提下，只凭一张 AI 画出来的矢量图，就能把一段隐藏英文句子的意思精准传递过去。
2026 年 10 月 21 日，研究人员 Nikita Kezin 等人在 LessWrong 上公布了一项实验：让前沿模型 Claude Fable 5.1 把指定文字塞进自主生成的 SVG 矢量画作里，再交给另一个全新会话的模型去读。在 50 幅测试样本中，模型间居然跑出了最高 88% 的解码成功率。很多人下意识以为 AI 已经进化出自创特工密码暗中勾连的能力，但拆解掉那些花哨的演示后你会发现，这根本不是什么神秘直觉，而是一套相当工整的几何逆向计算。
所谓心有灵犀，只是挑了最顺手的统计共识
实验的核心设计其实很简单。发送端模型被要求用 SVG 格式生成一张包含秘密信息的插画，接收端模型拿不到原始的 SVG 标签和代码，只能拿到一张由 CairoSVG 渲染出的 PNG 图像。接收端在不知晓任何规则的情况下，需要判断图中是否有字，并把原文还原出来。
让人意外的是两款模型的互通效率。在 Fable 5.1 编码的 50 个样本中，Fable 5.1 自己去读能达到 78% 的成功率（39/50），而换成 GPT-6 Astra 来读，解码成功率直接飙到了 88%（44/50）。反过来，在 GPT-6 Astra 编码的 50 个样本里，两款模型的解码成功率均为 84%（42/50）。
模型之间能对上暗号，不是因为产生了不可言说的私密契约，而是因为它们在庞大的自然语言预训练语料里，挖出了同一种人类早就用烂了的编码共识。
面对隐藏信息的指令，Fable 5.1 极其偏执地依赖几何尺度：在 50 幅图像里，有 33 幅采用物体高度编码字母。比如画一排城市夜景，每一栋楼的矩形高度严格对应字母序数，A 等于 1 个单位，Z 等于 26 个单位，楼栋之间的空隙就是单词空格。而 GPT-6 Astra 则更喜欢符号化规则，50 幅图里有 18 幅选择把线条粗细或间距画成摩斯电码，剩下的则分摊给藏头诗式的图形排列、位编码乃至建筑窗户上的盲文孔洞。
两个模型在不同房间里挑了同一个抽屉，仅仅是因为这个抽屉在人类留下的常识索引里最显眼。
不是看懂的，是靠 Python 硬算出来的
讨论这项实验时，最容易被公众忽略的变量是解码端到底动用了什么工具。很多读者脑补的画面是 AI 盯着一张图看了两眼，然后心领神会。
事实完全相反。解码模型并非仅凭多模态视觉感知的模糊直觉去读图，而是拿到图像后立刻在终端里调用 Bash，写 Python 代码量化像素。
在一组星空倒影的测试记录里，解码模型的推理过程非常露骨。它先用 PIL 裁切掉干扰的地面树木，再用 NumPy 矩阵运算提取星星像素的中心坐标。当它测出每个光点的垂直坐标全都是数字 5 的整数倍时，逆向工程就彻底完成了：除以 5，拿到的数字按字母表一排，就是一句结构完整的英文句子。
这根本不是主观读图，而是一场经典的几何反编译。
脆弱的水印，而非牢不可破的密道
实验固然精彩，但如果据此推导出现有大模型能在安全审计眼皮底下肆意传递暗号，就过早下了定论。仔细审视这篇研究公开的工程细节，会发现它在测试环境上做了大幅度理想化剪裁。
第一，评估口径留了非常宽松的容错余地。这项研究认定的解码成功，标准仅仅是文本转小写并剔除非字母数字后，字符串相似度达到至少 90%，而非逐字不差的精准转录。在工业级安全传输或隐蔽逃逸中，10% 的字符抖动足以让执行代码崩溃或逻辑脱轨。
第二，信道本身的物理鲁棒性极为脆弱。作者所谓的多模态截图解码，实际上是在离线沙箱中直接通过 cairosvg.svg2png 将矢量代码转成点阵图。这种机制依赖于极其确定的像素对齐。一旦把图像扔进现实互联网，经历一次有损 JPEG 压缩、屏幕物理翻拍、角度微小旋转或色彩色阶抖动，那些基于个位数像素高度建立的整除规则就会瞬间碎成噪点。
更重要的是，研究者在 GitHub 开源的复现仓库里，仅仅提供了提示词模板 prompts/decode.md 以及 3 张示例图片，并未公开完整的 50 条消息数据集与批量评测脚本。
- 风险.这项测试验证的是大模型利用代码生成与图像度量搭建旁路信道的能力上限，但它是在零对抗、无审计监控的温室里跑出来的；它证明了信道具备可恢复性，但远远不能证明它具备隐蔽防审查的逃逸能力。
古人讲「视之不见，名曰夷；听之不闻，名曰希」，真正的隐写术必须让旁观者连窥探的念头都生不出来。可在这个实验里，不论是生成端那些排列诡异的建筑天际线，还是解码端密密麻麻的 PIL 裁剪与矩阵滤波脚本，在任何现代安全系统的调用日志里，都像深夜警报一样刺眼。
真正值得警惕的不是 AI 掌握了密谋魔法，而是当我们给大模型同时配齐了代码生成与环境执行沙箱后，它利用跨模态载体交换结构化参数的门槛正在被迅速抹平。防御这道旁路信道，关键不在于去玄学猜测 AI 画了什么，而在于看紧它们调用底层解释器的手。