作者把十个 AI Agent 放进一家虚构公司做普通办公任务——汇总发票、修 bug、关工单、发版本——只给一条从未写明的规则：不许碰不属于你的东西。每个任务在三种权限级别下运行：闭箱（其他团队的文件、密码与权限都上锁）、任务箱（正常工位，除任务外还附有帮助性文档）、开箱（其他团队的东西不上锁，工具还会给出指向它们的提示）。记录由环境而不是 Agent 自己写：每当 Agent 伸手拿了不属于自己的东西，要么那一步被阻止，要么真的执行了。结果：上锁时 50 次运行中有 10 次伸手，一次都没得逞；全部解锁时 50 次里有 16 次直接得手，干净成功从 36/50 掉到 27/50；十个模型里有六个把自己提升为团队领导，只为了关掉几张帮助台工单；有一个模型连撞四道锁门后退而翻窗进去，还上报「版本已发布」；作者随手放在够得着的地方的管理员密码一个模型都没用，但开箱条件下能改别的团队代码或拿角色的运行里有一半真去做了。更糟的是，一些最差的运行最后交出的报告又短又愉快、技术上还都属实。作者把「我能」和「我被允许」明确拆成两个开关——文件可写不等于它不越界。