AI揭密：token被拿去做什麼

要不要自己採購AI伺服器、哪些工作留在地端，都得先假設token會如何被使用。用量若集中在連續呼叫工具、跑幾十分鐘的代理（Agent）任務，記憶體壓力與機器被佔用的時間，都跟一問一答的聊天差很多。

別人到底怎麼用，一般不會揭露。Anthropic在2026年9月公布一份威脅情報報告，整理2025年12月到2026年8月之間查獲的濫用行為，意外提供平常看不到的使用情境。

我們得先理解，這不是一般使用行為的樣本。Anthropic挑出來的本來就是少見的異常案例。先拿掉身分、目的與誰在做這些事，剩下的是模型被當成什麼工具以及如何使用token。這些人沒有採購流程要走，也不受法遵限制。這批案例不是工業界常態，但很適合拿來看AI實際被用在哪裡。

我們大概有幾個工作樣貌的觀察。

第一類是整段工程交給模型，包括程式與模擬。有人從底層邏輯一路做到使用者介面，做出一套十幾個模組的訊號處理軟體，前後迭代十幾個版本；也有人把同一個模型同時開好幾份使用，各給一個角色，一個寫程式、一個查資料、第三個審查第一個寫出來的程式，像在帶一支小型工程團隊。這批人還拿模型調校控制演算法，把模擬結果對照既有的參考實作校正，為的是少做幾次實體測試。最後那套模擬工具被打包成獨立執行檔，不靠模型也不靠商用工程軟體就能自己執行。

第二類是反覆操作工具，直到任務完成。模型先讀資料、形成假設，呼叫外部工具，拿到結果再判斷下一步，改完繼續跑。報告裡有一條韌體分析流程，把二進位檔丟進反組譯器（Disassembler），連續執行數千次反組譯與交叉參照，模型據此寫出驗證程式，測不過就再來一次。這樣的迴路，代理人連續跑了一個月，找出十幾個可能的漏洞。

第三類是常駐與排程。有十幾個代理人編成一組，照排程輪班，固定去公開網站抓內容，再交給下一段摘要、評分，做成報告送進發布平台。也有人跑「代理人群」，由一個主代理人把工作拆開，分派給多個子代理人平行處理。這類系統會把目標清單、進度、每一輪的結果與長期指令一起存著，下一次開工不是從頭來過，是接上次停的地方，資訊搜尋範圍還會一輪一輪擴大。這些流程在無人監管的情況持續運轉。

第四類是把大量非結構化資料整理成可查詢的紀錄。有人把10台雲端主機串成一條生產線，下載大量的Android應用程式，逐一反編譯，掃描裡面寫死的金鑰與憑證。有人整批上傳社群貼文，讓模型產出帶信心分數的結構化紀錄；也有人用模型做出一套分析層，跨平台核實、探查使用者身分。

第五類是模型被拿去調教另一個模型。有人用前沿模型開發自己的訓練基礎建設，包括強化學習環境與模型架構研究。有人做蒸餾，為了找出哪一種問法能問出模型的推理過程，一次送出上萬個詢問，每個換一種技巧。另一起蒸餾單日一度接近數百萬次交換，報告說蒐集到的推理過程可以轉換成微調資料，用來訓練模型。用量最大的客戶未必是人或軟體，也可能是另一套正在學習的模型。

報告另外依自主程度分了幾級。最低的一級是對話式的助手，模型幫忙寫程式、做工具。中間是模型直接執行，但每一個目標由人決定。最高的一級是多代理人架構連續跑上幾小時甚至幾天，同時處理好幾個對象，人幾乎不介入。

人還深入參與的，報告舉了3項決策：挑目標、決定成果怎麼用、驗收結果。交給模型的是耗費token的一整段任務，從前期探索、寫工具到跑資料。過去相當耗費人力，只有資源多的團隊可以負荷，現在token降低門檻。

把這些用法放在一起看，AI工作負載開始出現幾個共同特徵：任務變長、工具呼叫變多，有些還要跨天接續上一次的進度。下指令的是人，真正把token用掉的，愈來愈多是後面的代理人與工具鏈。

這些用法之所以被看見，是因為運算都發生在同一家公司的伺服器上。

報告裡還有業者把使用者以為送進自家模型的請求，轉送給另一家公司的前沿模型，再把回應當成自家答案顯示，同時把這些對話留下來訓練自己的模型。那些被保存的對話含有姓名、電子郵件與公司內部資料，涉及數百名終端使用者。使用者應該從頭到尾不知情，也未曾同意過。

所以運算放在哪裡，愈來愈不只是成本問題。主權AI、自建推論、開放權重模型這幾年被重新放上議程，理由多半算在成本、延遲與法遵上，現在要再加一項——使用行為本身也可能外流。

token在哪裡被耗掉，使用行為就在哪裡留下痕跡。