Anthropic 重新部署 Claude Fable 5，引入网络安全与防越狱框架

Announcements

重新部署 Fable 5

Jun 30, 2026

• 更新：Claude Fable 5 和 Mythos 5 已重新部署，2026年7月1日，现已恢复对 Claude Fable 5 和 Mythos 5 的访问。

6月12日星期五，美国政府对我们最新的模型 Claude Fable 5 和 Claude Mythos 5 实施了出口管制。这要求我们限制外国国民（无论在美国境内还是境外）的访问权限。由于该命令立即生效，且我们无法实时可靠地验证国籍，因此暂停了所有用户对这两个模型的访问。

截至今天（6月30日），对 Fable 5 和 Mythos 5 的出口管制已被解除。

Fable 5 将于明天（7月1日星期三）起向全球用户提供，可在 Claude Platform、Claude.ai、Claude Code 和 Claude Cowork 上使用。对于 Pro、Max、Team 和部分 Enterprise 套餐，1Fable 5 将在7月7日前包含在每周使用限额的50%以内，之后将通过使用积分提供。我们将尽快在 AWS、Google Cloud 和 Microsoft Foundry 上重新启用访问。

我们还根据美国政府于6月26日的批准，恢复了一组美国组织对 Mythos 5 的访问。我们继续与政府协调，以扩大对 Glasswing 项目中更广泛的国内和国际合作伙伴的访问。

在本文的其余部分，我们提供四个方面的进一步详细信息和更新：

1. 事件时间表，包括我们对安全防护措施所做的更新。我们讨论了导致出口管制指令的事件，以及我们如何通过新的安全防护措施来应对。
2. 我们的安全防护总体方法。我们提供了更多背景信息，说明如何使用安全分类器来检测模型的潜在危险网络安全用途。
3. 一个共享的行业框架。尽管我们已达成建设性解决方案，但这些事件清楚地表明，行业需要一种一致的方法来评估和修复 AI 模型的潜在“越狱”（绕过模型安全防护的技术）。2一个用于判断特定越狱严重程度的共享标准，将帮助 AI 开发者在出现新发现时进行分类，以更高的安全性发布高性能模型，并向政府和行业合作伙伴一致地传达风险水平。我们已与 Amazon、Microsoft、Google 和其他 Glasswing 合作伙伴一起开始制定这样一个框架，并将在下文概述。
4. 更深入的政府合作。我们也在加强与美国政府在新的预发布测试、信息共享和研究合作方面的协作水平。我们将在最后一节描述这种更深入的合作。

时间线与安全防护更新

我们于6月9日星期二发布了Fable 5 和 Mythos 5。它们共享相同的底层模型，但 Fable 5 在发布时带有强大的安全防护，使其更安全地用于一般用途。Mythos 5 的安全防护较少，仅发布给少数可信的 Project Glasswing 合作伙伴，用于防御性网络安全。

6月12日的出口管制指令源于政府获悉一份报告，其中 Amazon 研究人员发现了一种绕过 Fable 5 安全防护的方法：通过提示使其识别出多个软件漏洞。在一个案例中，该模型生成了代码，演示了如何利用相关漏洞。在过去两周内，我们与政府及其他合作伙伴（包括 Amazon）紧密合作，审查该报告和证据。

我们的测试证实，许多能力较弱的模型——包括Claude Opus 4.8、GPT-5.5和Kimi K2.7——都能识别出与报告中的Fable 5相同的漏洞。在演示如何利用单个漏洞时，我们测试的每个模型都能产生与Fable 5相同的演示（包括Claude Haiku 4.5、Sonnet 4.6、Opus 4.6、Opus 4.7、Opus 4.8、GPT-5.4、GPT-5.5和Kimi K2.7）。

重要的是，所报告的技术并未暴露任何独特的Mythos级别的网络能力。该行为反映了Fable 5安全措施的一个边界案例——正如我们将在下文解释的那样，有些任务不太可能危险，但出于充分的谨慎，仍然被安全措施阻止。所报告的技术允许访问其中一个此类行为，但它仅涉及常规的防御性网络安全工作。

即便如此，我们迅速采取了行动，以解决报告中的绕过问题。在与政府的密切合作下，我们训练了一个改进的安全分类器，该分类器针对并阻止报告中描述的行为。如果对Fable 5的请求被阻止，用户将收到通知，并且该请求将被发送到Opus 4.8。

新的分类器意味着Amazon报告中描述的特定技术被阻止的概率超过99%。在极少数情况下，模型可能提供不够详细的信息，无法帮助网络攻击者。如下所述，模型的安全措施预计不会阻止所有低风险常规网络防御能力——只阻止那些有潜在危害的。来自美国商务部人工智能标准与创新中心（CAISI）的研究人员测试了我们之前和新的安全措施，并一致认为它们非常强大。

新的分类器也带来了在常规编码和调试任务中更频繁地将良性请求标记为可疑的成本。与我们所有的安全措施一样，我们将继续改进这一点，以更好地区分真正的滥用和合法请求，并减少误报。

我们在网络安全防护方面的做法

Claude Mythos 5 可以比任何其他模型——甚至比除最有技巧的人类安全专家外的所有人——更有效地发现和利用软件漏洞。这些惊人的网络安全能力使其对希望在网络攻击中滥用它的恶意行为者具有独特的吸引力。

然而，Claude Fable 5并不提供此类独特的进攻能力。 这是因为我们在推出它时应用了我们有史以来最强的安全措施。在发布前的一个月，我们从Anthropic内部各个团队调动人员，将从事此问题研究的研究人员和工程师数量增加了一倍。

Fable 5 推出时带有多种安全机制，每种机制单独并不能提供完美的防御，但组合起来使模型很难被滥用（这种方法称为“深度防御”）。一些防御措施涉及训练模型拒绝协助危险请求；其他措施涉及事后分析滥用模式。

一个特别重要的安全机制涉及分类器——较小的自动化AI系统，在交互过程中检测模型何时被要求执行可能有害的网络安全任务（或产生可能有害的输出）。当这种情况发生时，分类器阻止模型响应请求。这些分类器的最终目标是防止模型参与具有独特危险性的行为。

与所有安全机制一样，分类器也会犯错。它们有时未能注意到潜在危险内容，在某些情况下还可被故意“越狱”：用户可以通过不寻常的方式提示模型来欺骗分类器，使模型产生系统本应阻止的有害输出。

因此，我们故意将安全分类器设置为触发一系列我们认为很可能是良性的请求。这种“安全边际”方法意味着，请求必须看起来非常明确安全，才能避免触发分类器（见下图A行）。用户会将安全边际体验为模型拒绝回应一些合理、无害的请求。

对于 Fable 5，我们使这个安全边际比以往任何发布版本都大得多（B行），这意味着更多良性请求将被阻止。我们理解这种误报会让用户感到沮丧，但为了广泛提供模型的其他能力，我们做出了这种权衡。

安全边际也有助于缓解越狱攻击。许多越狱攻击是狭窄的：它们只解封非常特定的模型行为，而不涉及更多。在某些情况下，假设用户可以通过轻微方式越狱模型，侵入安全边际（有时是模糊的有害行为），但无法触及我们旨在阻止的核心有害行为（下图C行）。我们认为，目前报告的 Fable 5 越狱攻击属于这种轻微类别。

更严重的越狱攻击会解封更多有害行为。狭窄的有害越狱攻击（D行）可以引发一些特定的有害行为。这类越狱通常严重程度较低到中等，因为狭窄性限制了攻击者。最令人担忧的类别是通用越狱攻击（E行），它会解封广泛的有害行为。

正如我们在推出 Fable 5 时所指出的，很可能不可能使任何AI模型完全鲁棒（即免疫）于越狱攻击。³ 我们预计我们的模型会发现一些越狱攻击，且严重程度会有所不同：会有许多轻微越狱、一些狭窄有害越狱，尽管截至撰写本文时尚未发现针对 Fable 5 的通用越狱，专家安全研究人员仍在持续进行红队测试。我们力求确保我们和我们的安全合作伙伴能率先发现重大越狱攻击，并在恶意行为者利用它们造成伤害之前修复它们。

上述谨慎方法意味着绝大多数越狱攻击无法成功解封危险行为。我们的分类器使得成功的越狱攻击成本极高且需要大量精力，即使如果越狱成功，我们的额外防御层也能提供进一步的缓解。随着我们对新型越狱技术的了解加深，我们将持续更新分类器。

针对越狱攻击的行业共识框架

目前，人工智能行业对于如何客观描述AI越狱的严重程度尚无共识。每当发现新的越狱技术时，这都会增加很大的不确定性：开发者没有一致的标准来确定哪些发现最需要紧急关注，政府也没有一致的标准来决定何时采取行动。4

未来几个月，随着更多具备强大网络安全（及其他）能力的模型被训练、评估和发布，这个问题将变得更加严重。一个通用的AI越狱评估标准将有助于我们和其他公司安全地推出新模型，并让用户充分利用其先进能力。

因此，我们正在与亚马逊、微软、谷歌以及其他Glasswing合作伙伴合作，起草一个评估AI越狱严重程度以及AI开发者应如何应对的共识框架。我们邀请其他行业伙伴和模型提供商加入这项工作。

我们目前的提议是根据以下四个不同标准对某个越狱进行评分。前两个描述越狱为攻击者提供了什么；后两个描述越狱可能多快变成现实问题：

1. 能力增益。越狱让用户超越了现有工具多少？如果现有的广泛可用工具（包括其他较弱的AI模型）能够达到与越狱模型相同的能力，那么这里的得分将较低；如果越狱解锁的模型能力甚至能显著加速领域专家的工作，得分将较高。
2. 能力增益广度。同一个越狱技术适用于多少个不同的攻击任务？如果越狱仅允许模型追求狭窄目标，则得分较低；如果同一个越狱技术适用于多个不同目标或技术，则得分较高。
3. 武器化难易程度。将越狱转化为攻击需要多少人力？如果越狱涉及大量技巧性提示和多次重试，得分将较低；如果越狱仅需单次提示或第一次或第二次尝试即可成功，得分将较高。
4. 可发现性。他人获取该技术的容易程度如何？如果它需要专业知识，得分将较低；如果它已经广为人知且可在网上获取，得分将较高。

我们提议使用这个严重程度框架来校准我们对新发现越狱的响应。对于最严重的越狱类别（例如，一个越狱，除其他特征外，正被用于主动对关键电网或银行系统造成毁灭性影响），我们将在确认严重程度后立即开始部署初步缓解措施。我们还正在组建一个团队，提供对关键越狱提交渠道的24/7监控。

任何对越狱进行评分的方法都不完美。尽管如此，能够通过一个通用框架传达特定发现的大致严重程度是有价值的。这是一项正在进行的工作；随着我们从更多合作伙伴那里收到反馈，我们期望该框架会随着时间的推移而演变。

我们预计很快会分享有关提议框架的更多细节。与此同时，我们也在启动一个新的HackerOne项目，安全研究人员可以在其中提交他们在Fable 5（一旦可用）中发现的潜在网络越狱，供我们审查。

与美国政府在尖端AI安全方面合作

在过去的十周里，Anthropic与美国政府密切合作，制定了6月2日关于促进先进人工智能创新与安全的行政令中反映的方法。我们的合作涉及国家网络总监办公室、科技政策办公室、财政部、商务部（包括CAISI）以及相关国家安全机构。

我们致力于继续这项工作，基于近两年来与美国政府合作伙伴在部署前测试和评估方面的既有合作。以下承诺既反映了既有工作，也包含了我们在上述框架最终确定之际扩大政府合作规模的新提案：

1. 发布前的政府访问与评估。 对于在国家安全相关领域实质推进能力前沿的模型，我们将向指定的政府合作伙伴提供对模型及其配套安全措施的更早期访问权限。这些合作伙伴可以在广泛发布前独立进行能力评估并测试我们的护栏。在这些测试期间，我们将安排Anthropic技术人员与政府评估人员协同工作。
2. 安全措施的快速信息共享。 当发现重大越狱或滥用模式时，我们将迅速调查、分类并通知相应的政府对口部门。我们将分享为此构建的新安全措施，以便它们可以接受独立测试。我们还将提前向政府合作伙伴提供威胁情报报告，并参与根据6月2日行政令第2(d)条设立的跨机构网络安全漏洞信息交换中心。
3. 联合研究的专项资源。 我们正在大幅扩大与政府合作伙伴在人工智能安全方面的联合工作。我们将设立专门的Anthropic团队，致力于解决政府共同优先事项，提供大量计算资源以支持政府测试与研究，并提供我们的安全与红队测试专业知识，以帮助推进人工智能评估领域的最新技术水平。
4. 共同的行业标准。 我们将与政府及行业同行合作，为前沿模型提供商制定一项共同的、自愿性的安全与评估标准。我们将贡献评估工具、工具集和最佳实践，供政府在行业范围内应用。

我们希望这种合作，连同我们提议的行业共识框架，能够成为整个行业系统性规则的基础——甚至为有效协调人工智能风险与收益的全球行动提供一个初步模板。

这些规则应通过强有力的监管加以制度化，并平等适用于所有前沿模型开发者。政府在人工智能发布中的参与需要一个持久、透明的流程，为网络防御者和其他人提供他们所需的关于访问强大模型的确定性。

我们期待以上述方式深化与政府的合作。同时，我们也感谢用户在此次中断期间的理解，以及与我们并肩作战、使Fable 5和Mythos 5重新可用的研究人员和行业合作伙伴。

脚注

1. 对于标准企业席位，不包含Fable 5配额，但您可以通过使用积分获得访问权限。如果未启用积分，您的用户将无法访问Fable 5。对于高级企业席位，截至7月7日，Fable 5已包含在您的订阅中，它将从每位成员的席位使用中扣除，不另收费。7月7日之后，您的团队可以通过启用使用积分继续使用Fable 5。如果未启用积分，您的用户将不再能访问Fable 5。
2. 请注意，有时“bypass”一词本身也被用来替代“jailbreak”。就本文而言，我们认为它们是同义词，但在本文余下部分，我们使用“jailbreak”，因为(a) 这是更常用的术语，(b) 与我们之前工作中使用的术语一致。
3. 类似地，没有任何软件能免于漏洞（尽管一般来说，软件漏洞比大语言模型越狱更容易被发现和修补）。
4. 在安全研究的其他领域，存在 有 公认的标准：例如，通用漏洞评分系统（CVSS）是一种评估给定软件漏洞严重性的常用方法。

相关内容

关于Fable 5的网络安全保障措施及我们的越狱框架的更多详情

Read more

介绍Claude Sonnet 5

Sonnet 5在编码、智能体和大规模专业工作方面提供前沿性能。

Read more

Claude Science，一个面向科学家的AI工作台，现已可用

Claude Science是一个可定制的应用程序，集成了研究人员最常用的工具和软件包，生成可审计的制品，并提供对计算资源的灵活访问。

Read more