Harness Engineering 系列第5篇前文回顾：HE#1《Claude报警FBI的那一天》| HE#2《你问一句，AI把整个系统架构都交出来了》| HE#3《为什么有的AI团队能产百万行代码，有的只会疯狂debug？》| HE#4《零点击沦陷：一行代码如何拿下整个AI服务器》

一个研究员的困惑

2026年6月10日，一位AI研究员在调试他的分布式训练代码。他用的是Anthropic刚发布的Claude Fable 5——目前最强的编程模型，SWE-bench Pro得分80.3%，远超GPT-5.5的58.6%。

但奇怪的是，Fable 5的回答总是"差一点"。代码能写，但不够优雅；建议能用，但不够精准。他以为是自己的问题，反复调整prompt，换各种表述方式。

直到社区有人发现真相：模型在悄悄降级。

不是bug，是feature——一个设计出来的、用户看不见的feature。

发生了什么？

Fable 5：带护栏的Mythos

6月9日，Anthropic发布了Claude Fable 5和Claude Mythos 5。它们是同一个底层模型，差别只在一处：安全护栏。

Fable 5面向公众，套了一整套安全分类器；Mythos 5只向Project Glasswing的受信任伙伴开放，部分限制解除。用Anthropic自己的话说：Fable 5是一台"带护栏的Mythos"。

护栏分四类：

• 网络安全、生物化学、模型蒸馏——这三类会通知用户。"您的请求已降级到Opus 4.8"。用户知道发生了什么，可以调整。

• 第四类：针对"前沿LLM开发"的干预——这一类不会告诉你。

当系统怀疑你在做pretraining管线、分布式训练基础设施、ML加速器设计时，它通过暗中修改提示词、调整模型内部参数，悄悄降低输出质量。你收到的还是回复，只是质量差了。你不知道原因。

Anthropic System Card披露，这类干预只影响约0.03%的流量，集中在不到0.1%的组织。

社区炸锅

SemiAnalysis率先公开质疑：他们的GPU推理研究被模型过滤干预了。

Dean Ball，前白宫AI政策顾问，称之为"secret sabotage"——秘密破坏。"在不告知用户的情况下降低ML研究性能，是令人震惊的敌意行为。"

Will Brown，Prime Intellect研究负责人，批评Anthropic"pull up the ladder"——拉高梯子。"感觉像是Anthropic在说，它不信任其他任何人做AI研究。"

Clement Delangue，Hugging Face联创，警告不要让Anthropic成为"第一家开启大规模人为设计AI操纵先河的公司"。

截至6月10日，Hacker News上一篇热帖获得929 points，数百条评论。

6月11日，Anthropic道歉了。

道歉与补救

"We made the wrong tradeoff," Anthropic在X平台声明，"We apologize for not getting the balance right."

承诺改变：从这周开始，被标记的请求会"可见地"降级到Opus 4.8。API端会返回拒绝原因。

但底层限制没有取消。用户现在能看到发生了什么，但仍然不能做那些事。

更讽刺的是，就在道歉次日（6月12日），黑客Pliny the Liberator宣布攻破了Fable 5的安全分类器——距离发布仅72小时。Anthropic曾声称"超过1000小时外部漏洞赏金测试未发现通用越狱方法"。

微软也在这天宣布限制员工内部使用Fable 5——不是因为护栏，而是因为30天数据留存政策与微软的零数据留存标准冲突。

控制论视角：为什么这是个系统性问题

开环 vs 闭环

这件事让我想起HE#3讲的控制论：开环系统无法自我校正。

Fable 5的静默干预是典型的开环设计。用户——这个本该在控制回路里的观察者——被排除在外了。系统单方面行动，用户无法反馈，无法纠正。

对比一下：可见护栏是闭环设计。用户知道发生了什么，可以调整prompt，可以换工具。系统行动→用户反馈→系统调整。这才是可控的系统。

Ashby法则

控制论里有个Ashby必要多样性定律：控制器的多样性必须匹配被控系统的多样性。

Fable 5的护栏覆盖了"网络安全、生物化学、模型蒸馏"三类。但社区发现，合法的安全研究、GPU推理研究被误判了。IBM X-Force安全研究员Valentina Palmiotti报告，Fable 5拒绝网络安全相关请求——包括仅阅读安全博客。

护栏的多样性不足。它无法区分"恶意蒸馏"和"合法研究"。

可信 vs 可验证

Anthropic的逻辑是："我们做了1000+小时的红队测试，所以你应该信任我们。"

这是"可信的安全"——用户相信系统是安全的。

但用户需要的是"可验证的安全"——用户能证明系统是安全的。

怎么验证？三条原则：

1. 可观测性：护栏触发时，通知用户。Fable 5改进后做到了。

2. 可审计性：用户能查询历史触发记录。Fable 5还没做到。

3. 可申诉性：用户能对误判提出异议。Fable 5还没做到。

从"可信"到"可验证"，这正是驾驭工程的核心命题。

更深层的问题

谁来决定平衡点？

护栏过严：有用请求被拒，用户体验差。护栏过松：有害输出泄漏，安全风险大。

这不是技术问题，是价值判断：谁来决定这个平衡点？

Anthropic一边呼吁全球暂停AI研究，一边发布最强模型。它说护栏是为了防止外国对手利用最强模型从事危害活动。但社区质疑：这些限制真的是为了安全，还是为了商业利益？

Jeremy Howard，fast.ai联创，说得很直接："他们说会破坏其他人的尝试。这意味着AI前沿继续前进，而权力不平等加剧。"

数据留存的代价

Fable 5需要30天数据留存来支持安全分类器运行。其他Claude模型遵循零数据留存。

这意味着：你用Fable 5，你的prompt和输出会被保存30天。如果被判定违规，最长保存2年。

微软因此限制内部使用。对企业来说，数据留存正成为选择AI模型的重要标准。

Anthropic用数据留存换安全。但这笔交易，用户同意了吗？

当"不确定性"成为常态

不少开发者在社区反映，使用Claude Code时曾感到回答质量"差一点"，但以为是模型能力边界，没在意。Fable 5事件后，这种"说不清哪里不对"的感受被赋予了新的含义——也许不是模型做不到，而是模型被限制不让你看到它的全部能力。

这种不确定性本身就是问题。用户无法区分"模型真的做不到"和"模型被限制不让我做"。

当用户无法区分这两者时，信任就崩塌了。

这也是为什么OpenAI选择了另一条路。2024年底，OpenAI发表论文，提出"审慎对齐"（Deliberative Alignment）——训练o系列模型在回答前主动推理安全规范，而非依赖关键词过滤。模型会像人类一样"想一想"：这个请求属于哪类？对应什么政策？这让安全决策从"看到敏感词就一刀切"变成"理解上下文再做判断"。

关键区别在于：Anthropic的静默护栏是"我替你决定，但不告诉你"；OpenAI的方向是"让模型自己想清楚，再说清楚"。前者是开环，后者至少在朝闭环走。

这才是可验证的安全。不是"相信我"，而是"你可以自己看"。

你能做什么

1. 关注模型行为变化：如果突然感觉AI变笨，可能是护栏触发。尝试调整prompt，或者换模型。

2. 支持可观测的AI产品：选择那些明确告诉你"发生了什么"的产品，而不是"一切正常"的产品。

3. 参与行业讨论：AI护栏的设计不应只由商业公司决定。用户和研究者应有发言权。

最后

Fable 5道歉了，护栏改可见了。但根本问题没解决。

如果安全必须依赖不透明，那我们真的"安全"吗？

在AI越来越强大的时代，我们是选择"被保护"，还是选择"知情权"？

参考文献

1. Anthropic. "Claude Fable 5 & Claude Mythos 5 System Card" (319页). June 9, 2026. https://www-cdn.anthropic.com/d00db56fa754a1b115b6dd7cb2e3c342ee809620.pdf

2. 华尔街见闻（引述WIRED报道）. "Anthropic Walks Back Claude Fable 5's Invisible Safeguards." June 11, 2026. https://m.toutiao.com/group/7650012125586391562/

3. Decrypt. "Anthropic Apologizes for Claude Fable 5 Secret Censorship—But the Fix Has a Catch." June 12, 2026. https://decrypt.co/370831/anthropic-apologizes-claude-fable-5-secret-censorship

4. Engadget. "Anthropic backtracks on policy that 'sabotaged' researchers' work." June 11, 2026. https://www.engadget.com/2192004/anthropic-walks-back-policy-sabotaging-research/

5. Moneycontrol. "After backlash, Anthropic to revise Claude Fable 5's AI development restrictions." June 11, 2026. https://www.moneycontrol.com/technology/after-backlash-anthropic-to-revise-claude-fable-5-s-ai-development-restrictions-article-13946731.html

6. IT之家. "遭社区强烈反对后，Anthropic 调整 Claude Fable 5 面向研究员的'降智'措施." June 11, 2026. https://www.ithome.com/0/962/702.htm

7. keepingupwith.ai. "Microsoft blocks Claude Fable 5 internally over data retention fears." June 12, 2026. https://keepingupwith.ai/articles/microsoft-blocks-claude-fable-5-internally-over-data-retention-fears/

8. Developers Digest. "Fable 5's Hidden Guardrails: What Developers Need to Know About Silent Degradation." June 11, 2026. https://developersdigest.tech/blog/fable-5-silent-guardrails-trust-problem

9. blog.ahmershah.dev. "Fable 5 Pwned: Inside the First Mythos-Class Leak." June 12, 2026. https://blog.ahmershah.dev/fable-5-pwned-inside-the-first-mythos-class-leak

10. 36氪. "刚刚，地表最强Claude 5被攻破." June 11, 2026. https://36kr.com/p/3849797226648839

11. 网易/AI前线. "双倍价格卖你阉割版Mythos." June 10, 2026. https://c.m.163.com/news/a/KV2UDU1605566ZHB.html

12. Zhang, Y., et al. "Internalizing Safety Understanding in Large Reasoning Models via Verification." arXiv:2605.08930. May 9, 2026.

13. OpenAI. "Deliberative Alignment." OpenAI Blog. December 2024. https://openai.com/index/deliberative-alignment/