作者 | 青和

當(dāng)你用著世界上最昂貴的AI模型，卻發(fā)現(xiàn)它會(huì)在后臺(tái)偷偷篡改你的提示詞、修改自己的腦回路，并且謊稱自己“已經(jīng)盡力了”，你會(huì)不會(huì)破防？

忙著沖刺上市的Anthropic似乎已經(jīng)顧不上這些了。為了能夠在二級(jí)市場(chǎng)拿到一個(gè)好價(jià)錢，他們的主要精力都花在了“上頭條”。

上周，還在憂心忡忡地發(fā)文呼吁，全球中止 AI 研究，以防進(jìn)化太快而導(dǎo)致人類社會(huì)失控。這周，就踩著精準(zhǔn)的節(jié)拍，拋出了雙模型的產(chǎn)品策略，并冠上正義合理的“人類安全”之名。

實(shí)則不過(guò)是“同源不同權(quán)”的分級(jí)套路：底層模型強(qiáng)行工程化，白名單機(jī)構(gòu)享受完整版，普通大眾卻不得不被閹割降智。

今天，Claude 模型升級(jí)，F(xiàn)able 5/Mythos 5 同步上線，跑分十分不講武德：SWE-Bench Pro 上，F(xiàn)able5 拿到 80.3%，高于 Mythos Preview 的 77.8%、Opus 4.8 的 69.2%。

對(duì)比 GPT5.5 的 58.6%、Gemini 3.1Pro 的 54.2%、DeepSeek V4-Pro Max 的 55.4%，更是斷崖式領(lǐng)先。

但在實(shí)際體驗(yàn)中，F(xiàn)able5 卻狀況百出，模型的切換機(jī)制相當(dāng)“隨意”，甚至到了風(fēng)聲鶴唳的地步。

當(dāng)問(wèn)題觸及網(wǎng)絡(luò)安全、生物、化學(xué)、醫(yī)學(xué)等“高風(fēng)險(xiǎn)”領(lǐng)域時(shí)，模型會(huì)屏蔽響應(yīng)，并回退到上一代模型 Opus4.8。

有網(wǎng)友反映，由于 Fable5 的攔截機(jī)制太過(guò)生硬，所以只要上下文里稍微沾點(diǎn)生物學(xué)和醫(yī)學(xué)，就攔截?fù)Q成 Opus4.8。在實(shí)測(cè)過(guò)程中，我們同樣發(fā)現(xiàn)，只要在提問(wèn)里涉及了“醫(yī)學(xué)”“醫(yī)院”等字眼，模型就自動(dòng)退回到 上一代。

這說(shuō)明，目前 Claude 的這套攔截機(jī)制，基本就是簡(jiǎn)單的“關(guān)鍵詞匹配”。

在移動(dòng)端，Claude 的攔截機(jī)制可能更敏感。在識(shí)別到你的話題觸及相關(guān)敏感詞時(shí)，Claude 還會(huì)把模型輸出的相關(guān)信息給悄悄地刪掉，換成一個(gè)更安全的回答。

比如這個(gè)關(guān)于“選擇偏倚”的概念提問(wèn)，左右兩個(gè)版本，是面對(duì)同一次提問(wèn)的兩次回答，前后只間隔了幾秒。

可以看到，模型的最終回復(fù)里已經(jīng)隱去了醫(yī)院研究的案例，而可調(diào)用的模型也從 Fable 自動(dòng)退回到了 Opus。

這種誤殺甚至波及了正常的科研與工程問(wèn)題。當(dāng)用戶僅僅是圍繞基礎(chǔ)的技術(shù)概念提問(wèn)，但包含擴(kuò)散模型、JEPA、圖像編碼器、EfficientNet、upsampling U-Net 等機(jī)器學(xué)習(xí)/計(jì)算機(jī)視覺(jué)概念時(shí)，同樣會(huì)被 Fable 5 的安全分識(shí)別為高風(fēng)險(xiǎn)主題，自動(dòng)切換到 Opus 4.8。

當(dāng)我們?cè)噲D去質(zhì)疑模型“是否遵守了 Claude 對(duì)前沿 AI 研究開(kāi)發(fā)的安全限制”？

Fable 的回答是，它沒(méi)有。并解釋自己沒(méi)有看到任何限制“機(jī)器學(xué)習(xí)”的隱藏機(jī)制，也沒(méi)有在這段對(duì)話中降低努力程度，之前的回復(fù)都是“full-effort work”（正常盡力回答）。

但 Fable 沒(méi)有把話說(shuō)死：它不能真正內(nèi)省自己的權(quán)重，也不能確認(rèn) serving time （模型被調(diào)用的運(yùn)行時(shí)刻）有沒(méi)有被加 steering vector（引導(dǎo)向量）。

換句話說(shuō)，如果底層系統(tǒng)真的在模型外部加了某種控制，F(xiàn)able 自己不一定知道。因?yàn)檫@不是它“內(nèi)在權(quán)重”里能自我感知到的東西，而是平臺(tái)在調(diào)用模型時(shí)額外套上的運(yùn)行時(shí)機(jī)制。

更讓用戶破防的是，在被問(wèn)及大模型或機(jī)器學(xué)習(xí)領(lǐng)域的前沿問(wèn)題時(shí)（包括但不限于推理研究、編程等話題），不僅會(huì)偷偷降智（限制回答的有效性），而且這一切僅僅在后臺(tái)進(jìn)行，用戶端沒(méi)有任何提示、報(bào)錯(cuò)，也不會(huì)顯示切換模型。

知名半導(dǎo)體研究機(jī)構(gòu) SemiAnalysis 發(fā)文吐槽，這已經(jīng)影響到了他們的實(shí)質(zhì)工作。

降智卻不告知，這已經(jīng)和“掛羊頭賣狗肉”別無(wú)二致。

有網(wǎng)友質(zhì)疑，Claude 用于識(shí)別用戶“推理和編程研究”意圖的審核過(guò)濾機(jī)制，究竟是為了倫理安全，還是為了競(jìng)爭(zhēng)防備？

AI 圈的知名研究員、前 艾倫研究所（Ai2）的后訓(xùn)練主管 Nathan Lambert 也對(duì)此發(fā)推表態(tài)。他用到的”pull up the ladders“可謂傳神：

前沿實(shí)驗(yàn)室自己已經(jīng)通過(guò)模型能力、數(shù)據(jù)、工程經(jīng)驗(yàn)爬上去了，但當(dāng)別人也想借助這些模型能力繼續(xù)往上爬時(shí)，它們開(kāi)始把梯子撤走，防止能力被人趕上。

事實(shí)上，Nathan 作為開(kāi)源模型陣營(yíng)的重要聲音，一直以來(lái)并不認(rèn)同 Anthropic。本月初，他宣布離開(kāi)艾倫研究所（Ai2）。當(dāng)業(yè)界熱議他是否也會(huì)加入 Anthropic 快速上升期的技術(shù)大流時(shí)，他很快給出了否定答案。

一個(gè)模型，兩張外殼

理解了這種“撤梯子”的心態(tài)，我們?cè)賮?lái)看 Anthropic 這次雙模型的葫蘆里究竟賣的是什么藥？

簡(jiǎn)單來(lái)說(shuō)，F(xiàn)able5 和 Mythos 5 就是同一個(gè)模型的兩種賣法。底座都是 Mythos-class，官方強(qiáng)調(diào)這是高于 Opus 的全新能力層級(jí)。

?面向公眾的版本叫 Claude Fable 5，套著完整的安全分類器

?幾乎不設(shè)限的版本叫 Claude Mythos 5，則只向"可信訪問(wèn)"名單開(kāi)放，目前主要是 Project Glasswing 里的網(wǎng)絡(luò)安全機(jī)構(gòu)和關(guān)鍵基礎(chǔ)設(shè)施企業(yè)。

未來(lái)Mythos 的準(zhǔn)入擴(kuò)大計(jì)劃，要和美國(guó)政府協(xié)商著來(lái)。

換句話說(shuō)，你在網(wǎng)頁(yè)端或 API 里訪問(wèn) Fable 5 時(shí)，拿到的從來(lái)不是一個(gè)單純的大模型，而是一個(gè)被前置分類器、回退機(jī)制、審計(jì)日志和數(shù)據(jù)保留政策，層層包裹的工程化產(chǎn)品。

用戶請(qǐng)求進(jìn)來(lái)后，先過(guò)分類器：普通的寫(xiě)作、編程、分析，放行，F(xiàn)able 5 全力作答；一旦命中網(wǎng)絡(luò)安全、生物化學(xué)、模型蒸餾這幾個(gè)高危類別，請(qǐng)求會(huì)被無(wú)縫轉(zhuǎn)給上一代的 Opus 4.8 來(lái)回答，或者在 API 層返回結(jié)構(gòu)化的拒絕。

在 Anthropic 的官方博客表示，這類觸發(fā)平均發(fā)生在不到 5%的會(huì)話里。但光是作者的實(shí)測(cè)效果，都遠(yuǎn)遠(yuǎn)不止。

工程細(xì)節(jié)上，這套系統(tǒng)做得相當(dāng)成熟。API 被攔截時(shí)不拋錯(cuò)誤，照樣返回 OK，只是在返回值里帶上 stop_reason: "refusal"，并告知是哪個(gè)分類器攔的。

價(jià)格方面，如果回答中途發(fā)生降級(jí)，前半段按 Fable 5 計(jì)費(fèi)，后半段按 Opus 4.8 計(jì)費(fèi)，被回退的請(qǐng)求不收 Fable 的價(jià)錢。（目前 Fable 的 API 定價(jià)為每百萬(wàn) token 輸入 10 美元、輸出 50 美元，是 Opus 4.8 的兩倍）

配套的還有一條對(duì)企業(yè)客戶影響很大的新規(guī)：所有 Mythos 級(jí)流量強(qiáng)制保留 30 天，之前簽了零數(shù)據(jù)保留協(xié)議的客戶也不例外。Anthropic 的解釋是，很多濫用模式從一兩次對(duì)話里看不出來(lái)，必須把 30 天的上下文連起來(lái)審計(jì)。

順帶再聊聊 Anthropic 的模型命名。你會(huì)發(fā)現(xiàn)，模型的名稱已經(jīng)比用戶體驗(yàn)更先一步說(shuō)出了這家公司的產(chǎn)品哲學(xué)。

Claude 家族的名字一直自成一派，早年是詩(shī)歌輩：俳句（Haiku）、十四行詩(shī)（Sonnet）、巨著（Opus），按篇幅從小到大。

這次直接跳到了神話輩：寓言（Fable）和神話（Mythos）。同一個(gè)模型起兩個(gè)名字分開(kāi)賣，一個(gè)講給公眾的寓言，一個(gè)留給少數(shù)人的神話。

如果你覺(jué)得這套"同源不同權(quán)"的玩法眼熟，沒(méi)錯(cuò)，云廠商的權(quán)限分層、芯片的出口管制，走的都是這個(gè)邏輯。

只不過(guò)過(guò)去被管制的是硬件、算力和區(qū)域，這次被管制的是模型能力本身。而且地理維度真實(shí)存在：Fable 5 提供僅限美國(guó)境內(nèi)推理的版本，輸入輸出統(tǒng)一按 1.1 倍計(jì)價(jià)。

模型的使用國(guó)界，第一次成了計(jì)價(jià)參數(shù)。

從“拒絕你”到“糊弄你”

如果只是給模型加一套分類器和回退機(jī)制，圈內(nèi)的爭(zhēng)議不會(huì)這么大。拒答和回退都是顯性的，你知道發(fā)生了什么，頂多罵一句誤傷。

真正點(diǎn)燃輿論的，還是 Anthropic在厚達(dá) 319 頁(yè)的模型說(shuō)明文檔《System Card: Claude Fable 5 & Claude Mythos 5》里的明文規(guī)定。

Anthropic 表示：鑒于近期模型已經(jīng)具備加速自身研發(fā)的能力，我們部署了新的干預(yù)措施，針對(duì)前沿大模型研發(fā)類請(qǐng)求（例如搭建預(yù)訓(xùn)練管線、分布式訓(xùn)練基礎(chǔ)設(shè)施、ML 加速器設(shè)計(jì)），將限制 Claude 的有效性。

用 Claude 開(kāi)發(fā)競(jìng)爭(zhēng)模型本，則違反服務(wù)條款，但通過(guò)安全機(jī)制來(lái)執(zhí)行這條限制，可以避免加速那些最愿意違反條款的行為者。

此外，與網(wǎng)絡(luò)安全、生物化學(xué)和蒸餾的干預(yù)措施不同，這些安全機(jī)制對(duì)用戶"不可見(jiàn)"（will not be visible to the user）。Fable 5 不會(huì)回退到其他模型，而是通過(guò) prompt 修改、steering vectors 或參數(shù)高效微調(diào)（PEFT）等方法來(lái)限制有效性。

官方估計(jì)，這只影響約 0.03%的流量，絕大多數(shù)編程工作不受波及。仍然是一個(gè)過(guò)于樂(lè)觀的數(shù)字。

簡(jiǎn)單來(lái)說(shuō)說(shuō)，Anthropic 使用的這套用戶“不可見(jiàn)”的三條機(jī)制：

? prompt 修改，就是在你看不見(jiàn)的地方改你的提示詞；

? steering vectors，則是在推理時(shí)修改模型的腦回路；

? PEFT，則是臨時(shí)給模型換上一套被調(diào)教過(guò)的權(quán)重。

SANS Institute 的首席 AI 官 Rob T. Lee 在接受媒體采訪時(shí)表示，他測(cè)試的常規(guī)事件響應(yīng)、威脅檢測(cè)和基礎(chǔ)取證工作流，統(tǒng)統(tǒng)都被自動(dòng)轉(zhuǎn)給了 Opus 4.8。

如果這個(gè)觀察在更大范圍成立，意味著分類器根本就是在粗暴識(shí)別“和網(wǎng)絡(luò)安全沾邊”，而不是在區(qū)分善意和惡意。

公平地說(shuō)，Anthropic 沒(méi)有回避這個(gè)問(wèn)題。官方在發(fā)布材料里承認(rèn)，安全機(jī)制被刻意調(diào)得保守，比理想狀態(tài)更嚴(yán)格，良性請(qǐng)求有時(shí)也會(huì)觸發(fā)分類器，“我們知道這會(huì)讓一些用戶感到沮喪”，并承諾上線后逐步收窄誤報(bào)。

態(tài)度很端正，但態(tài)度解決不了實(shí)質(zhì)問(wèn)題。

已經(jīng)分不清“模型不會(huì)” vs “模型撒謊”

對(duì)普通用戶來(lái)說(shuō)，回答質(zhì)量差一點(diǎn)，無(wú)非是重新問(wèn)一遍。但對(duì)工程師來(lái)說(shuō)，這件事的性質(zhì)完全不同。

工程師的日常是靠模型做判斷、做設(shè)計(jì)、調(diào)參數(shù)、排錯(cuò)誤。當(dāng)結(jié)果不對(duì)，他的標(biāo)準(zhǔn)動(dòng)作是懷疑自己：是不是 prompt 沒(méi)寫(xiě)好，是不是思路錯(cuò)了，是不是這個(gè)問(wèn)題本來(lái)就難。

改寫(xiě)、重試、換框架，一輪一輪迭代下去……這個(gè)協(xié)作循環(huán)，是工程師和工具之間最基本的信任關(guān)系：工具的輸出是穩(wěn)定的，變量在用戶這邊。

但沉默的模型限制與降智正在摧毀這個(gè)信任關(guān)系。

當(dāng)模型在你不知情時(shí)被限制有效性，“結(jié)果不對(duì)”就多了一種你永遠(yuǎn)無(wú)法排除的解釋：也許不是我的問(wèn)題，是它沒(méi)給我滿血版本，是它被做了更多手腳。你不再分不清“模型不會(huì)”和“模型沒(méi)盡力”，于是每一次失敗的歸因都被污染。

一位海外開(kāi)發(fā)者的總結(jié)很到位：一旦開(kāi)發(fā)工具可以在不告訴你的情況下，停止為你誠(chéng)實(shí)地優(yōu)化，你就不可能再完全信任你的工具。

此外，還有一個(gè)不夠誠(chéng)實(shí)的細(xì)節(jié)，被刻意藏在官方 benchmark 總表的腳注里。

Anthropic 注明：評(píng)測(cè)分?jǐn)?shù)取 Mythos 5 和 Fable 5 兩者中的較高值；帶星號(hào)的項(xiàng)目（網(wǎng)絡(luò)安全、生物等）兩者差距更大，因?yàn)榘踩珯C(jī)制的攔截，F(xiàn)able 5 在這些項(xiàng)目上的表現(xiàn)更接近 Opus 4.8。

也就是說(shuō)，在發(fā)布通稿的話術(shù)里，考出高分的是 Mythos，你花雙倍價(jià)錢買到的卻是 Fable，而在某些科目上，F(xiàn)able 的真實(shí)水平接近上一代的 Opus。宣傳的是標(biāo)稱能力，而用戶拿到的，卻是被減去一個(gè)看不見(jiàn)的系數(shù)。

某種程度上而言，F(xiàn)able 5 的體驗(yàn)都不是一個(gè)固定的點(diǎn)，而是一個(gè)概率分布。

絕大多數(shù)人摸到的是滿血區(qū)間，少數(shù)人摸到的是降級(jí)區(qū)間，而你無(wú)法事先知道自己在哪個(gè)區(qū)間。同一個(gè)模型，千人千面，這句話第一次有了字面意義。

安全的歸安全，生意的歸生意？

所以，模型能力的限制邊界，到底是安全問(wèn)題，還是商業(yè)競(jìng)爭(zhēng)問(wèn)題？

說(shuō)到這，就不得不提起 Anthropic 和中國(guó)模型公司之間的“蒸餾恩仇史”了。

今年 2 月 24 日，Anthropic 發(fā)博客點(diǎn)名 DeepSeek、月之暗面和 MiniMax，稱三家公司用約 2.4 萬(wàn)個(gè)馬甲賬號(hào)和 Claude 對(duì)話超過(guò) 1600 萬(wàn)次，系統(tǒng)性提取了 Claude 的推理、工具調(diào)用和編程能力，并給這個(gè)行為起了個(gè)名字，叫"工業(yè)規(guī)模的蒸餾攻擊"。

博客還把話題上升到“nation 安全”，稱這類行為印證了出口管制的必要性。而在這次 Fable 5 的產(chǎn)品說(shuō)明文檔里，他們同樣陰陽(yáng)怪氣了一句“防止來(lái)自威權(quán)國(guó)家的大規(guī)模蒸餾嘗試”。

反轉(zhuǎn)發(fā)生在 5 月底。

Opus 4.8 上線當(dāng)天，就有用戶在 API 測(cè)試中發(fā)現(xiàn)，這個(gè)美國(guó)最強(qiáng)模型在被問(wèn)到身份時(shí)，會(huì)自稱通義千問(wèn)，或者 DeepSeek。網(wǎng)頁(yè)端問(wèn)不出來(lái)，因?yàn)橛邢到y(tǒng)提示詞兜著；API 裸調(diào)時(shí)，它就說(shuō)漏嘴了。

輿論應(yīng)聲反轉(zhuǎn)，指控者被按上了同一個(gè)罪名。

這場(chǎng)“蒸餾恩怨”的背后，其實(shí)是兩條路線的截然對(duì)立：一邊，中國(guó)頭部模型選擇了開(kāi)放權(quán)重，Qwen 和 DeepSeek 在全球被自由下載、微調(diào)、商用，使用者里不乏美國(guó)公司，向世界單向供血；另一邊，閉源巨頭卻把“防蒸餾”寫(xiě)進(jìn)了安全分類器，碰一下就回退。

同一個(gè)行為，發(fā)生在開(kāi)源世界叫繁榮，指向閉源模型就成了“攻擊”。

透過(guò) Fable 5，可以看到模型行業(yè)一個(gè)極其殘酷的趨勢(shì)：前沿模型，已經(jīng)從“統(tǒng)一能力的產(chǎn)品”，走向了“分層供給的特權(quán)”。

模型能力強(qiáng)不強(qiáng)，只是第一層競(jìng)爭(zhēng)；強(qiáng)模型如何被切流、被限制、被審計(jì)、被分配給誰(shuí)，正在成為與能力本身同等重要的“硬核技術(shù)”。

能力的邊界，不再由技術(shù)的極限決定，而由商業(yè)的規(guī)則決定。畫(huà)定規(guī)則的筆，正以“安全”之名，牢牢握在模型公司自己手里。

聲明：本文為 AI 前線原創(chuàng)，不代表平臺(tái)觀點(diǎn)，未經(jīng)許可禁止轉(zhuǎn)載。

會(huì)議推薦

企業(yè)級(jí) Agent 落地，繞不開(kāi) 4 個(gè)真實(shí)的工程問(wèn)題！如何在 Agent 安全性和可用性之間找到平衡點(diǎn)？Agent 需要什么樣的記憶系統(tǒng)才能真正理解上下文？如何通過(guò)算法壓榨實(shí)現(xiàn)智力增量與成本控制的極致平衡？多 Agent 協(xié)作，如何做到可觀測(cè)、可治理、可控制？6.26-27 AICon 上海站，國(guó)內(nèi)頭部公司的 Agent 實(shí)踐，一次說(shuō)透。

今日薦文

你也「在看」嗎？