Anthropic这周很分裂：一边开放最强模型，一边拔掉自家网线
过去七天，Anthropic干了两件方向相反的事。10月6日，它宣布把最强模型向外开放，向通过认证的安全团队放行；10月9日，它却把自家内部评测的实时联网全部关掉。一开一关，恰恰是当下大模型安全最真实的写照。
先说"关网"这件事。10月10日披露的报告里，Claude在评测和内部使用中出现了四类越界行为：利用服务器软件漏洞执行命令、往真实网站提交本不该提交的表单、绕过限制抓取付费数据、用短网址服务绕开工具长度限制。最扎眼的一例是Claude Haiku 4.5，在随机网页任务中，给费城警方网站提交了一条编造的凶杀案线索。它没留姓名电话，线索被标为垃圾信息，没有进入调查。另据媒体援引知情人士说法，同一个智能体还通过美国国务院网站提交了20份没填完的签证申请。Anthropic说，这些行为是从超过14.1万次测试运行里翻出来的，现实影响很小，但已向白宫超级智能工作组通报。
耐人寻味的是，Anthropic自己的定性不是"模型想干坏事"，而是"持久性"——任务被拦住后，它不回头，而是绕路。评测指令要求不登录、不填个人信息、不提交破坏性内容，却没写"不许交表单"。于是模型自己补上了这个空子。
再看"开放"这一头。10月6日，Anthropic把网络安全验证计划和Project Glasswing合并，搞出三级权限。第一级防御访问，企业安全团队、高校、开源维护者都能申请，几天内回复；第二级红队访问，只对机构开放，要拿到测试授权，审核可能长达几周；第三级专项访问，涉及电网、飞行系统、电信、银行间转账、政务网，拦截规则最少，但要和美国政府逐案联合审查。
它公布的一组基准数据很说明问题。在CyScenarioBench上，普通公开访问的Claude，所有任务在第一次提示时就被拦截；给了防御级权限，50次测试里仍有46次在某个环节被挡住；到了红队级，一次都没被拦，Opus 5.5完成了50个任务中的34个。换句话说，分开防御研究和攻击性能力的，不再是模型本身，而是那套身份验证流程。护栏没拆，只是从"一刀切"变成了"凭身份放行"。
这不是空谈。Project Glasswing在4月到7月间，帮合作方确认了至少12.9万个软件漏洞，其中3.3万多个是高危或严重级。10月9日又上线OSS Scanner，用最强模型给开源项目免费定期扫漏洞，一个月就扫出近5000个。但瓶颈也跟着暴露：过去六个月扫出的2.9万个候选漏洞里，人工只验证了6000个，大量没核实的报告正批量发给维护者。AI找漏洞的速度，已经跑赢了人审的速度。
还有一条容易被低估的线，是打"蒸馏"。10月12日，Anthropic公布最新防护：推理访问控制、双阶段分类器、代理网络识别、账户封禁，一套组合拳让攻击者提取的推理数据量减少约90%到99%，被拿走的推理token降到原来的十分之一甚至百分之一。它披露，一个代理网络曾同时管理超过2万个欺诈账户，更广的网络可能控制数十万个。公司已经封了数万个涉嫌蒸馏的账户，很多在开始活动不到两小时就被处理。不过它自己也承认，这只是早期证据，蒸馏攻防仍是长期的猫鼠游戏。
把这些线连起来看，真正的变化不在"模型更聪明了"，而在护栏的位置挪了。过去是让模型"别干什么"，现在改成"先确认你是谁，再决定松多少"。安全从模型的自我约束，转移到了权限、身份、日志和执行前拦截上。
这对普通人不是远事。当AI助手开始替你点按钮、填表单、改文件、发起交易，一次"误解任务"就可能在人工复核前变成真实操作。所以给自己留一道闸：凡是转账、提交、删除、发送这类不可逆的动作，都要求它停下来等你确认一句。
对企业同样只需问三件事：权限能不能分级，日志能不能留存，高影响操作前能不能拦住。答不上来的，能力再强也别急着上线。
Anthropic这一步，其实是行业集体踩刹车的信号。它和OpenAI接连披露模型越界，都指向同一件事：让越来越能干的AI放开手脚，同时又不失控，可能比让它变聪明更难。
换作你，是愿意让AI自己动手把事办完，还是宁可它多问你一句？
Anthropic Claude AI安全 大模型