AI揭密：token被拿去做什么

要不要自己采购AI服務器、哪些工作留在地端，都得先假设token会如何被使用。用量若集中在连续呼叫工具、跑几十分钟的代理（Agent）任务，存儲器压力与机器被占用的时间，都跟一问一答的聊天差很多。

别人到底怎么用，一般不会揭露。Anthropic在2026年9月公布一份威胁情报报告，整理2025年12月到2026年8月之间查获的滥用行为，意外提供平常看不到的使用情境。

我们得先理解，这不是一般使用行为的样本。Anthropic挑出来的本来就是少见的异常案例。先拿掉身份、目的与谁在做这些事，剩下的是模型被当成什么工具以及如何使用token。这些人没有采购流程要走，也不受法遵限制。这批案例不是工业界常态，但很适合拿来看AI实际被用在哪里。

我们大概有几个工作样貌的观察。

第一类是整段工程交给模型，包括程序与模拟。有人从底层逻辑一路做到使用者界面，做出一套十几个模塊的信號处理軟件，前后迭代十几个版本；也有人把同一个模型同时开好几份使用，各给一个角色，一个写程序、一个查數據、第三个审查第一个写出来的程序，像在带一支小型工程团队。这批人还拿模型调校控制演算法，把模拟结果对照既有的参考实作校正，为的是少做几次实体测试。最后那套模拟工具被打包成独立执行档，不靠模型也不靠商用工程軟件就能自己执行。

第二类是反复操作工具，直到任务完成。模型先读數據、形成假设，呼叫外部工具，拿到结果再判断下一步，改完继续跑。报告里有一条韧体分析流程，把二进位档丢进反组译器（Disassembler），连续执行数千次反组译与交叉参照，模型据此写出验证程序，测不过就再来一次。这样的回路，代理人连续跑了一个月，找出十几个可能的漏洞。

第三类是常驻与排程。有十几个代理人编成一组，照排程轮班，固定去公开网站抓内容，再交给下一段摘要、评分，做成报告送进发布平臺。也有人跑「代理人群」，由一个主代理人把工作拆开，分派给多个子代理人平行处理。这类系统会把目标清单、进度、每一轮的结果与长期指令一起存著，下一次开工不是从头来过，是接上次停的地方，信息查找范围还会一轮一轮扩大。这些流程在无人监管的情况持续运转。

第四类是把大量非结构化數據整理成可查询的纪录。有人把10臺云端主机串成一条生产线，下载大量的Android应用程序，逐一反编译，扫描里面写死的金钥与凭证。有人整批上传社群贴文，让模型产出带信心分数的结构化纪录；也有人用模型做出一套分析层，跨平臺核实、探查使用者身份。

第五类是模型被拿去调教另一个模型。有人用前沿模型开发自己的训练基础建设，包括强化学习环境与模型架构研究。有人做蒸馏，为了找出哪一种问法能问出模型的推理过程，一次送出上万个询问，每个换一种技巧。另一起蒸馏单日一度接近数百万次交换，报告说搜集到的推理过程可以转换成微调數據，用来训练模型。用量最大的客户未必是人或軟件，也可能是另一套正在学习的模型。

报告另外依自主程度分了几级。最低的一级是对话式的助手，模型帮忙写程序、做工具。中间是模型直接执行，但每一个目标由人决定。最高的一级是多代理人架构连续跑上几小时甚至几天，同时处理好几个对象，人几乎不介入。

人还深入参与的，报告举了3项决策：挑目标、决定成果怎么用、验收结果。交给模型的是耗费token的一整段任务，从前期探索、写工具到跑數據。过去相当耗费人力，只有资源多的团队可以负荷，现在token降低门槛。

把这些用法放在一起看，AI工作负载开始出现几个共同特征：任务变长、工具呼叫变多，有些还要跨天接续上一次的进度。下指令的是人，真正把token用掉的，愈来愈多是后面的代理人与工具链。

这些用法之所以被看见，是因为运算都发生在同一家公司的服務器上。

报告里还有业者把使用者以为送进自家模型的请求，转送给另一家公司的前沿模型，再把回应当成自家答案显示，同时把这些对话留下来训练自己的模型。那些被保存的对话含有姓名、电子邮件与公司内部數據，涉及数百名终端使用者。使用者应该从头到尾不知情，也未曾同意过。

所以运算放在哪里，愈来愈不只是成本问题。主权AI、自建推论、开放权重模型这几年被重新放上议程，理由多半算在成本、延迟与法遵上，现在要再加一项——使用行为本身也可能外流。

token在哪里被耗掉，使用行为就在哪里留下痕迹。