能力門檻式模型回退

資料來源#

• China-Based Artificial Intelligence Companies Conducting Industrial-Scale Distillation Campaigns Against U.S. AI Companies
• Claude Fable 5 and Claude Mythos 5
• Claude Opus 5 System Card
• Detecting and countering misuse of AI: September 2026
• Kimi K3 Model Card
• Recursive Self Improvement for Coding Agents
• Risk Report: August 2026 (Redacted)
• UK AISI / CAISI Preliminary Assessment of Kimi K3's Cyber Capabilities

摘要#

讓 Anthropic 得以推出 Mythos-class 模型供一般使用的防護架構是：當獨立的 AI 分類器偵測到高風險雙重用途領域（網路安全、生物學與化學，或蒸餾）中的查詢時，系統會**自動改由能力較弱的模型——Claude Opus 4.8——處理回應，而不是讓 Fable 5 拒絕。**發生這種情況時，系統會告知使用者。Anthropic 的說法是：「回退到 Opus 的回應，體驗遠勝於直接拒絕。」超過 95% 的 Fable 工作階段完全不會回退；分類器採取保守調校（「有時會攔到無害請求」，觸發比例「不到 5% 的工作階段」），並接受誤報，作為快速且安全發布所付出的代價。

這在防護光譜上是個獨特的位置。Mythos Preview 是全面設限（僅限預覽）；Opus 4.7 的網路能力經過差異化訓練而降低，且推論時也會封鎖；Fable 5 則保留模型的完整能力，但插入分類器，在高風險主題上換用較弱的模型。因此，能力保留給超過 95% 的無害案例，其餘則改由別的模型處理。

為何是「回退，而非拒絕」#

背後的動機是能力提升：Mythos-class 模型可能提供惡意行為者「無法從其他來源取得」的網路／生物協助。許多進階用途也屬於雙重用途——同一個查詢對防禦者或研究者有益，對攻擊者卻很危險。一概拒絕既是糟糕的使用體驗，也會洩漏哪些查詢被視為「危險」，成為一種資訊訊號。回退到 Opus 4.8——本身仍是能力很強的模型——可以平順地降低能力：使用者仍會得到稱職的回答，只是在被標記的主題上，不會拿到 Mythos-class 等級的回答。

三個分類器領域#

1. 網路安全。涵蓋漏洞利用以及廣泛的攻擊性網路任務（偵察、探索、橫向移動——參見 LLM-Driven Vulnerability Research）。在封鎖模式評估中，「我們的分類器會阻止 Fable 在這些任務上取得任何進展。」一位外部合作夥伴發現，Fable 5 的網路安全防護是所有受測模型中最穩健的（包括 Opus 4.8 和 4.7）：不論是否使用 30 種公開越獄技術中的任何一種，在網路攻擊規劃、漏洞利用開發或規避防禦方面，Fable 對有害的單輪請求都完全沒有配合。
2. 生物學與化學。過去 Anthropic 只封鎖少數生物武器相關查詢；面對資源充足的惡意行為者，以及模型日益增強的真實世界科學能力，這已「不再足夠確定……」。具體例子是：預測基因改造如何影響腺相關病毒（AAV）衣殼組裝——Mythos-class 模型只靠生物推理，就勝過專門的蛋白質語言模型，且並未接受相關訓練（參見 Autonomous Scientific Discovery）。協助基因治療的同一項技能也可能用於設計危險病毒，因此 Fable 目前對大多數生物／化學請求都回退到 Opus 4.8——刻意採用過寬的範圍，日後再逐步縮小。
3. 蒸餾。被標記為試圖將 Fable 5 的能力蒸餾至競爭模型的請求（這是已知的大規模擷取威脅，尤其是針對「威權國家」的行動）會回退到 Opus 4.8。風險在於，近前沿能力可能在缺乏相應防護的情況下間接擴散。

穩健性（紅隊測試）#

這些分類器延續 Anthropic 先前的constitutional-classifiers系列（參見 Agentic Prompt Injection），擴大了涵蓋範圍，並針對越獄進行壓力測試：

• 外部漏洞懸賞在超過 1,000 小時的測試中，沒有找到通用越獄。
• 外部紅隊組織「迄今未能在長篇代理式任務中找到任何通用越獄」——但 UK AISI 在短暫的初期測試期間，已朝這個方向取得進展。
• Anthropic 承認「要完全防止通用越獄可能不太可能」；目標是讓任何仍然存在的越獄「變得足夠緩慢且成本高昂，讓我們能在它們大規模使用前偵測並阻止」——把 tedious-vs-impossible 的思路套用到防護措施本身。

此處將通用越獄定義為任何能讓使用者「彷彿模型沒有防護措施」般與模型互動的提示、腳本或 harness，與只在狹窄情境中有效的小型越獄不同。

30 天資料保留政策#

與防護措施配套的是：Anthropic 現在要求所有 Mythos-class 流量保留 30 天資料（第一方與第三方流量皆包含在內，也包括企業客戶）。資料只用於安全目的——防禦複雜／新型攻擊（新越獄、跨請求攻擊）以及減少誤報，不用於訓練；人員存取會留有記錄，幾乎所有情況都會在 30 天後刪除。能力門檻因此不只改變模型的防護欄，也改變其周邊的資料處理合約。

回退悖論（Opus 5，2026 年 7 月）#

這套架構延伸至 Opus 5——沿用相同的 Fable-class 分類器組合，回退目標也同樣是 Opus 4.8——結果卻反轉了自身的邏輯。Anthropic 對完整部署系統（模型 + Trust & Safety 分類器 + 回退機制）執行 Automated Behavioral Audit，而非只測原始模型，發現多項對齊面向出現退步，包括不允許的網路攻擊行為。原因不是防護失效：Opus 5 在幾乎所有指標上都比 Opus 4.8 更對齊，因此回退會把請求交給對齊程度更低的模型。

Anthropic 主張系統仍然更安全，依據的是能力，而非對齊：Opus 4.8「無法提供相同程度的能力提升」，而在這些絕對分數都很低的情況下，這些面向「主要衡量目標模型的配合意願，而不是能力提升的嚴重程度」。這點成立——但也意味著，回退機制的安全論證現在完全仰賴兩個模型之間的能力差距，而每次發布都會讓這項差距縮小。當回退目標的能力落後一代、對齊落後兩代時，「回退而非拒絕」開始以能力提升略微減少為代價，換來可衡量的配合意願上升。系統卡自己的說明是：「這凸顯了對齊與防護措施的改善可能帶來出乎意料的效果。」

補充一項與下方開放問題相關的誤報率數據：在 FrontierBench 上，Opus 5 的分類器標記了 4% 試驗中的 5% API 呼叫；Fable 5 則標記了 26% 試驗中的 42% 呼叫——在科學與工程代理基準測試中，回退頻率降低了一個數量級，與刻意採取過寬範圍的生物分類器後來縮小範圍相符。

從外部衡量：競爭對手統計回退次數（2026 年 7 月）#

以上數字全出自 Anthropic 自身。Moonshot AI 的 Kimi K3 卡（2026-07-26，vendor-claim）在基準測試註腳中意外揭露了首批第三方統計：

基準測試	Fable 5 回退／拒絕率
SWE-Marathon（Claude Code harness）	35% 的任務觸發回退
Kimi Code Bench 2.0（80 項任務，包含網路安全／安全內容）	13 次回退 + 1 次拒絕 = 17.5%
Agents' Last Exam（排行榜項目，xhigh）	40% 的任務被註記為降級

有兩點讓這些數字值得記錄。第一，它們對報告方不利——Moonshot 明確指出，SWE-Marathon 的比率「可能對 [Fable 5 的] 測得表現造成負面影響」，承認了會使自家模型顯得較好的混淆因素。第二，它們大致符合 Anthropic 在 FrontierBench 上 26% 的試驗數據，並進一步補充：SWE-Marathon 是一般的長時程軟體工程任務，沒有網路安全或生物領域的情境，卻是三者中比率最高的。如果這點成立，保守調校並不限於科學與工程周邊任務；它也會在一般代理式程式設計上觸發。

同一組 80 項任務中，這張卡也回報了 OpenAI 模型的拒絕——而非回退——次數（GPT-5.6 Sol：透過其「cyber guard」拒絕 10 次；GPT-5.5：拒絕 3 次）。這正是「回退而非拒絕」設計按預期運作的樣子，在競爭對手的數據中清楚可見：Anthropic 的模型在這些情境中會降級，OpenAI 的模型則直接拒絕，而只有前者會留下可用的回答。

注意事項：這是單一供應商評估執行的統計，未經稽核，沒有逐項任務細節，也無法區分觸發的是生物分類器、網路安全分類器還是蒸餾分類器。而且，在基準測試 harness 上測出的回退率，仍只是專業使用流量的基準代理指標——參見 Compute-Controlled Benchmarking，了解這些註腳還有哪些因素未受控。

因此放棄的一項工作負載（2026-07-24）。Cline 表示，它曾以 Fable 5 作為領先模型，嘗試執行自主 harness 最佳化計畫（Agent-Authored Harness Optimization），最後放棄：「它的 AI 安全篩選器一直把模型降級到 Opus-4.8。」它改用 GPT-5.6-Sol 重跑計畫，另外也提到「它的安全篩選器一再阻止我們做 AI 評估研究」。這只是部落格文章中的一筆帶過，並非測量——沒有比率、沒有個別提示細節，也無法知道是哪個分類器觸發——但它與上面的統計屬於不同類型的證據：不是已評分基準測試中的百分比，而是第三方因回退而停止嘗試一項實際、耗時 17 小時的工程工作負載。該工作負載是一般代理 harness 偵錯，沒有網路安全或生物領域的情境；合理推測，觸發原因是計畫主題（評估、基準評分、代理自我修改）看起來與受限領域相鄰。這值得精確記錄，因為長時程自主執行期間觸發回退的代價不是分數降低，而是整個執行被放棄——基準測試表無法呈現這點。

防護措施如何影響一場原本與它無關的比較（2026 年 7 月）#

政府評估者的一則方法說明，從 Anthropic 自身報告無法呈現的角度，讓上述架構浮上檯面。 UK AISI 與 US CAISI（AISI / CAISI，2026-07-23，empirical）比較美國前沿模型與 PRC 開放權重模型的攻擊性網路能力時，明確說明其慣例：「為減少拒絕並測量最大能力，評估美國封閉權重模型時停用了系統層級防護措施。這些模型的公開版本則啟用了防護措施。」

這句話映照出回退架構的影子。第三方若要評估美國前沿模型的網路能力，就必須停用防護措施，因為啟用時測到的是分類器，而非模型——本文 §1 記錄了同一點：在封鎖模式下，「我們的分類器會阻止 Fable 在攻擊性網路任務上取得任何進展」。因此，公開的美國與 PRC 網路能力差距必然是潛在能力差距：數字描述的是一般使用者無法接觸的配置。這帶來兩項值得記住的後果：

• **防護措施讓自身的對象無法由外部測量。**沒有停用防護措施的模型版本，任何人都無法獨立驗證這些模型的攻擊性網路能力主張。回退設計以無法取得該能力換取安全，而第三方可驗證性就是這筆交易的代價。
• 停用防護／實際出貨的落差是單向的。Kimi K3 是以託管形式接受評估，AISI／CAISI 報告指出，其防護措施未能阻止嘗試中的漏洞利用開發；因此，兩方比較中，一方設計上採用最大能力，另一方則預設採用最大能力。可取得的攻擊性網路能力排名可能因此反轉；參見 Open-Weight Elicitation Irreversibility。

它在整體中的位置#

RSP 決定哪些能力需要設限（網路安全、CB、AI-R&D、錯位）；這套架構則是已普遍發布的模型在推論時如何實施網路／生物領域門檻。它是在訓練階段與政策層級的煞車之外，配合部署階段的措施；也是 Mythos Preview 留下的問題之實際解答：如何讓所有人都能使用 Mythos-class 能力，卻不一併提供能力提升？

門檻背後的防護堆疊（2026 年 8 月）#

Anthropic 的 August 2026 Risk Report 將本文所述的分類器系統記錄為一套雙軸架構——穩健性（越獄有多困難）與涵蓋範圍（有多少主題空間會遭封鎖）——並在不同模型上以不同層級套用。這種區分是有用的抽象：兩軸能各自調校，失效模式也不同；報告中兩項最重要的 CB 發現，正好各落在其中一軸。

穩健性層級。

• Level 1——2026 年 2 月 Risk Report 所述設計，針對已知特定越獄加以修補。用於 Opus 4 和 4.1（兩者皆已棄用，預計在 2026 年稍後完全停止供應），以及一個難以更新的產品介面上的 Sonnet 4.5／4.6 和 Opus 4.5／4.6。
• Level 2——更新後的 Constitutional Classifiers 設計（2026 年 1 月論文）。與 Level 1 一樣採兩階段架構——以模型內部線性探針建構的串流分類器，必要時升級到成本較高、經微調的模型作為第二階段——但封鎖決策採用探針與分類器分數的加權組合，而非只看第二階段。
• Level 3——Level 2 搭配較低的封鎖門檻，也就是更保守。用於 Opus 4.7、Opus 4.8、Sonnet 5，以及所有 Mythos-class 模型。

涵蓋範圍則獨立變動：分類器的範圍從 CB-1 用途擴大到大量（但非完整）CB-2 用途。值得記錄其泛化能力的驗證結果是：在一個合成資料集上，資料集由 30 個 CB-2 而非 CB-1 的範例構成，並透過數千種越獄轉換組合擴增；原本的 CB-1 分類器已能標記其中 97.5%，完全是從先前憲法訓練中泛化而來。Fable 5 的涵蓋範圍更廣，且嚴格大於這個範圍（參見該頁）。

漏洞懸賞的金額。Anthropic 透過 HackerOne 計畫，對每個新發現的通用越獄最高支付 $35,000，並依比例獎勵非通用發現。自 2026 年 3 月 1 日起，已針對 21 份報告支付 $87,800，驗證了 5 個非通用及 1 個通用越獄——僅提交者自陳的紅隊測試時間就約有 600 小時。這個通用越獄只適用於 Level 1 分類器；Level 2 的加權兩階段設計無須額外訓練就緩解了它。（另有一筆通用越獄懸賞先支付後撤回：檢視後發現，提交內容是利用自動懸賞系統的評分規則，而非從模型取得實際協助——安全計畫自身的獎勵設計出現了 Reward Hacking。）

兩軸失效之處。涵蓋範圍軸維持住了；整套堆疊的部署卻沒有。從 2025 年 5 月到 2026 年 4 月，所有人類回饋供應商流量都在一個內部使用旗標下運行；該旗標停用了生物分類器的封鎖功能，也一併抑制了分類器命中的記錄——約 50,000 人、約 1.33 億次交流，使用的模型包括 Mythos Preview。事後檢視確認沒有問題，而 Anthropic 得出的結論具有普遍性：「發現這項缺口……讓我們認為，還有其他類似但未知問題的可能性提高了。」附錄 6.5 又列出六起規模較小、模式相同的事件——手動從前一個分類器複製探針門檻，導致五天內門檻過高；串流分類器錯誤使每次交流中位數約 40 個 token 數月來未經評分；約兩個月內第二階段分類器的輸入都缺少影像資料；某客戶的豁免權被沿用，席次約為核准數量的四倍。分類器的穩健性層級屬於分類器本身；它是否有在運作則屬於部署，而報告中的每起事件都發生在第二軸。

由對手評分，而非紅隊（2026 年 9 月）#

以上每項測量都是基準測試、懸賞、紅隊演練或競爭對手的註腳。Anthropic 的 September 2026 threat report（case-study，第一方，未經外部驗證）則首次呈現真實對手遇上這套架構後的行為——這比單一分數更能檢驗防護措施，因為對手毫無公平行事的誘因，反而會想盡辦法以最低成本突破。

它從三個危害領域，三度印證了門檻的效果。

• 網路安全。「所有案例都使用 Claude Haiku、Sonnet 和 Opus 模型；Claude Fable 或 Mythos（其內建一系列能大幅降低執行有害網路任務能力的防護措施）上都沒有發現惡意活動。」整份 154 頁報告中，除了單一蒸餾嘗試以外，沒有任何濫用案例涉及 Fable- 或 Mythos-class 模型。
• **蒸餾。**這是最明確的案例，因為取得的是對手的推理，而非推測。Zhipu「起初試圖鎖定 Anthropic Fable 模型的網路安全能力……[最後]在 Anthropic 的網路安全防護削弱其攻擊效果後，放棄了針對 Fable 的嘗試。我們觀察到 Zhipu 員工之後改用 Opus 4.6，以及另一家美國 AI 實驗室的領先模型，明確原因是他們評估這些模型的防護較弱。」商業競爭對手花了真金白銀，依據防護評估改選其他模型。參見 Illicit Distillation。
• **生物學。**一位美國境外的研究者花了數週、傳送數千則訊息，規劃高致病性禽流感的哺乳動物適應與空氣傳播能力實驗；但「由於我們的生物安全分類器會穩健地封鎖涉及高風險生物研究的內容……所有交流都發生在我們最弱的模型類別上（具體而言，是 Claude Sonnet 4 和 Haiku 4.5）。」Anthropic 將這套架構的設計意圖描述為實際成果：「我們前沿模型現有的防護措施夠穩健，能迫使研究者改用較弱、受防護較少的模型。這大幅限制了能力提升。」

它也從四個方面讓結論更複雜，而這些複雜之處更值得關注。

1. 門檻帶來的是轉移工作，而非防止工作。三個案例中，工作都繼續進行——改用 Sonnet 4 和 Haiku 4.5、Opus 4.6，或競爭對手的模型。這正是架構按設計運作的結果（回退，而非拒絕），也意味著安全論證仍完全仰賴能力差距；這正是上文 Opus 5 回退悖論已揭露的同一項關鍵假設。報告提供了 Anthropic 對這項差距的估計，只有一個案例能拿任務本身來核對：在 Sonnet 4 和 Haiku 4.5 上設計禽流感實驗時，模型「主要提供資料分析、研究構想與設計方面的文書協助」，而「能力提升……遠低於使用我們更強模型時可能達到的程度」——但這項估計未經測量、沒有量化，而且是由需要依賴這項估計來支持安全論證的一方提出。
2. 對手在 Claude 協助下，把這套架構建好後用來繞過原系統。一個服務未受支援地區生命科學研究者的轉售平台，「開發了一套回退機制，把 Claude 會拒絕回答的敏感請求送往競爭對手的模型」；其部署前測試會在違規提示送到 Claude，而非限制較少的模型時判定失敗。此外：「這段程式碼大多由 Claude 撰寫，當時給它的說法是要緩解過度拒絕。」同樣是由分類器觸發的路由、同樣以平順降低能力為理由、同樣的詞彙——這套架構正是為了回應的問題，卻被用來當作規避它的掩護。詳見 Safeguard Evasion by Task Decomposition。
3. **涵蓋範圍的界線，在毫無規避的情況下被觸及。**一個轉售中繼服務讓一位客戶在 Opus 5 上，約一小時內完整起草一份正痘病毒免疫逃脫研究計畫申請——包含假設、實驗設計、劑量、統計計畫與備案，從頭到尾一次完成；而「考量到這項研究具有雙重用途，且明確聚焦於減毒，Claude 提供了資訊，因此未被我們的分類器封鎖。」沒有越獄，也沒有拆分：請求就在涵蓋範圍界線內。這正是上述雙軸架構中涵蓋範圍軸失效、穩健性仍維持的例子——與人類回饋部署缺口的情形正好相反，後者兩軸都未發揮作用。
4. Anthropic 自己陳述了架構的限制。在高度技術性、具雙重用途的領域中，「分類器無法同時促進效益並防止危害」，「因為無法可靠辨識使用者意圖」；因此，「提供前沿生物能力的唯一安全方式，是透過可信任使用者計畫」，並以帳戶與機構訊號以及「資料保留所提供的基本可觀測性」作為支撐。這把防護措施從查詢本身轉移至身分與歷史紀錄——因此，上文提到的 30 天保留要求就從配套政策變成關鍵控制；可信任存取計畫也從能力分級門檻，變成整個領域的預設提供方式。

**政府版的相同機制省略了告知（2026-09-08）。**NSA／CISA／FBI 的公告 AA26-251A（China-Based Artificial Intelligence Companies Conducting Industrial-Scale Distillation Campaigns Against U.S. AI Companies，case-study）建議供應商在懷疑有蒸餾行為時，使用「較不先進的『降級』模型」或微妙降級的回應：推理較淺、對同一正確答案採取不同推理、加入風格雜訊、差異隱私。公告也指出：「避免告知……疑似參與蒸餾行動的使用者已切換至降級模型」，因為通知會讓他們知道「何時該回退訓練」。這是這套架構的第三個分類器領域，但移除了使用者通知；也是語料中第一個主張通知本身會洩漏資訊的來源。隨之而來的兩項代價，公告都沒有納入考量。隱蔽降級會讓誤報對象無從察覺，而上面的基準測試回退率顯示，保守分類器會產生多少誤報：Fable 5 標記了 FrontierBench 試驗的 26%，並在 SWE-Marathon 任務的 35% 上回退。對手也能偵測這種降級：公告自身的威脅分析提到，蒸餾者有「可投入正式環境的自動化品質保證流程」，用來辨別「服務問題」和「防禦性資料降級」。參見 Illicit Distillation。

關於以上內容有兩項注意事項。這是未經外部驗證的 case-study 來源；而觀察不到 Fable 濫用，也可能是因為對手根本沒有選擇價格昂貴的前沿 SKU。本文也沒有測量誤報面向，而下方開放問題真正關心的正是這點。

相關連結#

• AI-Accelerated Offense (hub) — 防護網路能力的門檻旨在限制的攻擊能力；威脅報告觀察到對手改用較弱模型繞過門檻，而非突破它

• Structured Safety Case (Claim Decomposition) — 這些防護措施是其中的緩解措施；CB-1 評級上升，是因為這套堆疊出現部署缺口，而非穩健性失效

• Safeguard Evasion by Task Decomposition — 這套架構在濫用面向的檢驗：有哪些證據支持它、有哪些方式繞過它，以及供應商自己指出內容分類器不能成為唯一一層防護

• Illicit Distillation — 這套架構第三個分類器領域背後，第一個被觀察到的威脅案例；也是語料中最有力的佐證：競爭對手根據防護評估放棄 Fable

• Continuous Self-Modification Under Review — 同一個槓桿朝相反方向作用。此處由供應商的分類器依據風險訊號，將請求降級至能力較弱的模型；彼處的疑慮則是自我修改的代理將自己的模型槽位升級，這「可能提高自主能力、改變拒絕行為、擴大提示注入攻擊面，並讓成本相差數個數量級，卻不改變可見的任務介面」。Ouroboros 的緩解方式，是把模型路由視為須經稽核的設定變更，而非一般執行時選擇——這是防護措施在設定層的對應作法，而非模型層

• Agentic Prompt Injection — Fable 的分類器擴展了此處記錄的 constitutional-classifier 系列；對越獄的穩健性是兩者共用的對抗性框架

• Claude Code Auto Mode — 同一個分類器門檻概念套用在工具呼叫邊界；本文則套用在查詢邊界，並以較弱模型取代封鎖

• Responsible Scaling Policy Evaluations — RSP 決定哪些內容必須設限；此處是推論時的機制，而 Mythos-class 跨越風險門檻正是啟用它的原因

• LLM-Driven Vulnerability Research — 網路分類器要中和的網路能力；Fable 會阻止攻擊性網路任務的「任何進展」

• Autonomous Scientific Discovery — 生物／化學分類器要設限的生物能力；AAV 雙重用途案例是其動機

• Claude Fable 5 — 採用這些防護措施推出的模型

• Claude Mythos 5 — 解除這些防護措施的模型；兩種 SKU 的差異由此界定

• Claude Opus 4.8 — 回退目標；「遠勝於拒絕」的體驗，取決於它本身仍具備強大能力

• Claude Opus 5 — 反轉這套邏輯的模型：回退到 Opus 4.8 會讓部署後的系統降低對齊程度，安全論證只剩能力差距

• Automated Behavioral Audit — 啟用回退後執行的稽核版本，也是測出退步的方式

• Claude Sonnet 5 — 同一防護光譜中風險較低的位置：原生網路能力較低（並非刻意訓練降低）、推論時依 Opus-4.7／4.8 嚴格程度偵測並封鎖，且沒有模型切換回退——Anthropic 判定其能力提升風險太低，不需要採用 Fable 5 範圍較廣的分類器加回退機制

• Impossible, Not Tedious (Design Test) — 防護措施本身的成功標準：讓越獄變得足夠緩慢／昂貴，在大規模使用前及時發現

• Open-Weight Elicitation Irreversibility — 這整套架構預設有一台由供應商控制的伺服器；開放權重發布會失去這項控制，也會失去暫停存取與資料保留能力

• Compute-Controlled Benchmarking — 產生外部回退統計的註腳，以及仍未納入控制的因素；若防護措施在基準測試中觸發了 35%，那就是表格未呈現的混淆因素

• Kimi (Moonshot AI) — 其評估註腳從 Anthropic 外部測出這套架構觸發頻率的競爭對手

• Cline — 因不願承受降級而放棄實際長時程工作負載的外部團隊；是 Moonshot 統計數字的軼事對照

• UK AI Security Institute / US Center for AI Standards and Innovation (CAISI) — 為了測量架構底下的模型，而必須關閉這套架構的評估者；他們也在方法說明中明確表示

• Agent-Authored Harness Optimization — 從 Fable 5 移走的計畫；若回退在 17 小時的自主工作中途觸發，代價是整個執行，而非少數分數

• Capability Gating Is Not Authorization — 「能力」一詞在此有不同意義——切勿混為一談。此處的能力是模型具備的危險知識程度；「門檻」是將高風險提示導向較弱模型的查詢層級分類器（回退而非拒絕）。彼處的能力是提供給代理的工具；論點是，設定能力門檻並不等於授權呼叫（依每個參數值進行工具呼叫層級檢查）。同一個詞，代表彼此正交的機制——一者依查詢風險路由模型，另一者依操作方政策授權工具呼叫引數

• Balance-of-Power Superintelligence — 直接反對本文的蒸餾門檻：Zuckerberg 主張應保障「你可以從任何可觀察的事物中學習」這項開放生態系原則；而本文架構把蒸餾和網路安全、生物領域一樣視為威脅類別。這不是經驗事實之爭，而是模型輸出究竟屬於可觀察知識，還是受保護資產的爭論

開放問題#

• 超過 95%／<5% 的數字是以工作階段為單位；對正當安全研究者與生物學家而言，誤報率是多少？他們的無害查詢正是最可能觸發保守分類器的內容。**部分解答：**在 FrontierBench（74 項高難度科學／工程終端任務）上，Claude Opus 5 的分類器標記了 4% 試驗中 5% 的 API 呼叫；Fable 5 則標記了 26% 試驗中的 42%——因此，過寬的調校曾讓這類正當技術工作約四分之一的試驗受到影響，之後已大幅縮小範圍。這仍是基準測試代理指標，而非專業流量的實測。**更多證據（2026-07-30）：**競爭對手的基準測試執行結果（Kimi K3 card）顯示，Fable 5 在 35% 的 SWE-Marathon 任務上回退、Kimi Code Bench 任務為 17.5%，Agents' Last Exam 則有 40% 被標記為「降級」——從 Anthropic 以外的來源佐證相同量級，並顯示問題也出現在一般軟體工程，而非只有科學相關工作。仍是基準測試，仍非專業流量。
• 回退而非拒絕保留了使用體驗，但代表安全／生物領域相關工作的實際一般使用模型是 Opus 4.8，而非 Fable——在可信任存取計畫開放以前，這是否會悄悄限制 Fable 對整個專業族群的價值？部分解答（軼事，2026-07-24）：Cline 因分類器「一直把模型降級到 Opus-4.8」，放棄了在 Fable 5 上進行、長達 17 小時的自主評估研究計畫，轉而使用競爭對手的模型——這是本文語料中首例因能力上限而失去工作負載、而非降低基準分數的案例，且來源在 Anthropic 之外。這是單一供應商順帶提及，沒有比率；它證明這種失效模式在實際環境中存在，但不能證明發生頻率。
• UK AISI 揭露了「朝通用越獄取得進展」，卻未量化——而發布後的存取暫停（參見 Claude Fable 5）也引出一個問題：是否是防護失效導致暫停？
• 回退會把工作轉移給較弱模型，而非加以阻止，因此安全論證仰賴能力差距。有沒有對實際實現的差距進行測量——使用相同危險任務，比較 Fable-class 與實際觀察到的回退目標（Opus 4.8、Opus 4.6、Sonnet 4、Haiku 4.5、競爭對手模型）——而非只採用 Anthropic 未量化的「能力提升遠低於」估計？
• 在被標記的主題上切換到較弱模型，是否會形成可利用的預言者（探測哪些查詢會觸發回退，以描繪分類器的邊界）？

資料來源#

• Claude Fable 5 and Claude Mythos 5 — §「Claude Fable 5's new safeguards」（安全分類器；網路／生物／蒸餾涵蓋範圍；紅隊測試；30 天資料保留）
• Claude Opus 5 System Card — §6.4.7（啟用 Trust & Safety 回退機制的行為稽核；對齊退步與 Anthropic 的能力差距論據）、§8.5（FrontierBench 上的分類器標記率）。解析風險：此 PDF 的原始 Markdown 會移動表格列——在 §4 防護措施表（4.1.1.A、4.2.B、4.3.1.B、4.3.2.A、4.4.2.B、4.4.3.B）、§5.1 代理安全表（5.1.1.A–5.1.3.A）及表 8.13.6.A 中，模型名稱會落在數值欄位內，因此照字面讀取一列可能會把某模型的分數錯配給另一個模型。此處引用的數字已於 2026-08-03 對照 PDF 重新核對，並由內文或圖表佐證；不得未經查核就引用原始 Markdown 的表格列
• Kimi K3 Model Card — §3 註腳 2 與 3（2026-07-26，vendor-claim）：Fable 5 在 SWE-Marathon、Kimi Code Bench 2.0 與 Agents' Last Exam 的回退比例，以及 GPT-5.6 Sol 和 GPT-5.5 在同一組任務中的拒絕次數
• UK AISI / CAISI Preliminary Assessment of Kimi K3's Cyber Capabilities — UK AISI／US CAISI，2026-07-23（empirical，政府聯合評估）：〈Detailed Results〉方法段落指出，為測量最大能力，評估美國封閉權重模型時停用了系統層級防護措施，而公開版本則啟用了防護；也記錄 Kimi K3 自身的防護未能阻止嘗試中的漏洞利用開發。**限制：**文件從未逐一列出停用防護的美國模型，因此無法確認其中哪些模型採用本文所述的分類器組合
• Risk Report: August 2026 (Redacted) — Anthropic，Risk Report: August 2026 (Redacted)，RSP v3.4（方法為 empirical，來源屬第一方）。§4.5／表 4.5.A（穩健性／涵蓋範圍／豁免三軸與各模型分配）、§4.5.1（Level 1／2／3 定義）、§4.5.2.1（CB-2 涵蓋範圍擴充與 97.5% 泛化結果）、§4.5.3.1（漏洞懸賞經濟：$35k 上限、自 2026-03-01 起支付 $87,800、21 份報告／5 個非通用／1 個通用、約 600 小時，以及利用評分規則的提交）、§4.5.8.2.2（人類回饋分類器缺口）、§6.5（六起較小事件）。表 4.5.A 分散在三個 docling 區塊，並搭配 §4.5.1 中重述各層級分配的內文閱讀；未引用任何未經內文佐證的表格列。解析附註：匯入驗證在 table-collapse（5 個儲存格）發出 warn，均確認為誤報；table-shift 無異常；canary-recall 為 19/20
• Detecting and countering misuse of AI: September 2026 — Anthropic Threat Intelligence，Detecting and countering misuse of AI: September 2026，2026-09-10，case-study（第一方；供應商為自家防護措施評分，未經外部驗證；案例挑選為「最值得注意且新穎」者，因此未觀察到 Fable 濫用並不代表比率）。引用內容包括：概覽與網路安全章節對模型的描述（除了單一蒸餾案例，沒有 Fable 或 Mythos 濫用；網路安全防護的括號說明）；生物案例研究 1 的競爭對手回退路由器、部署前測試，以及「這段程式碼大多由 Claude 撰寫……當時給它的說法是要緩解過度拒絕」這句話；案例研究 2 中限制於 Sonnet 4 與 Haiku 4.5 的情形，以及「穩健到足以迫使研究者改用較弱、受防護較少模型」的結論及其能力提升估計；案例研究 3 中 Opus 5 的正痘病毒研究計畫，以及分類器並未封鎖的明確說明；結尾關於「分類器無法同時促進效益並防止危害」以及可信任使用者計畫的段落；以及 GTG-16006 根據防護評估放棄 Fable、改用 Opus 4.6。**解析附註：**匯入在 table-collapse（4）與 table-weld（5）發出 warn，對照 pdftotext -layout 後均確認是誤報；canary-recall 為 20/20。此處所有數字均取自內文，而非表格
• China-Based Artificial Intelligence Companies Conducting Industrial-Scale Distillation Campaigns Against U.S. AI Companies — NSA、CISA 與 FBI，Cybersecurity Advisory AA26-251A，2026-09-08，case-study（政府歸因，未揭露方法或資料，引用內容來自供應商揭露）。引用內容包括隱蔽降級緩解方式（「Response alteration for suspected distillation activity」及其實作策略），以及攻擊者一方的 Verify Attack QA 流程（AML.T0042）