夜雨聆风2026 年 6 月，AI 行业迎来了最具讽刺意味的 72 小时。
6 月 9 日，以 “AI 安全标杆” 自居的 Anthropic 正式发布最强模型 Claude Fable 5，主打 “同一基础模型、双档安全配置”，声称经过超 1000 小时外部红队测试，不存在通用越狱方法。
6 月 10 日，发布不到 24 小时，知名红队研究者 Pliny the Liberator 宣布攻破全部安全护栏，不仅输出了完整的系统漏洞利用教程，还将 12 万字符的完整系统提示词公之于众 —— 相当于把 Anthropic 用来约束模型的全部规则，摊在了阳光下。
6 月 12 日，美国政府以国家安全为由紧急出手，发布出口管制禁令：暂停所有外国公民对 Fable 5 与 Mythos 5 的访问，无论人身处美国境内还是境外，甚至包括 Anthropic 自己的外籍雇员。
从高调发布到 “被消失”，这款号称最安全的顶级模型，公开生命周期只有短短 72 小时。
更耐人寻味的是它的缔造者 Anthropic—— 这家公司正是 “宪法式 AI（Constitutional AI）” 的发明者，从创立第一天起就把 “安全优先” 刻进了品牌叙事。当最懂安全的公司、用了最周全的方案，依然在一天内被攻破，所有人都被迫面对一个残酷的问题：我们真的能控制住越来越强的 AI 吗？
一、被雪藏的危险模型：Fable 只是阉割版，真身两个月前就被封了
Fable 5 的故事，要从两个月前说起。
2026 年 4 月，Anthropic 红队团队发布了一份震动安全圈的报告：他们的内测模型 Claude Mythos，已经具备自主发现零日漏洞的能力。覆盖主流操作系统、浏览器，能自动完成从扫描目标、编写利用代码到获取系统权限的全流程，全程无需人类指导。
最极端的案例，是 Mythos 挖出了一个沉睡 27 年的历史漏洞，并给出完整利用方案。Mozilla 火狐团队借助受控访问的 Mythos，一个月就修复了 271 个安全漏洞，比过去数年的总和还多。
更值得警惕的是，这种网络攻击能力不是专项训练的结果。Anthropic 明确指出，它是通用推理与编码能力提升后的 “涌现副产品”—— 当模型的智力水平跨过某个阈值，精英级渗透测试能力会自动出现。
面对这种级别的能力，Anthropic 做了一个保守的决定：绝不公开发布 Mythos。他们启动了 Project Glasswing 计划，只向谷歌、微软、苹果、思科、英伟达等 11 家美国机构开放受控访问，且仅限用于防御性漏洞修复。
《自然》杂志当时就以《Too dangerous to release（危险到不能发布）》为题发表评论，追问一个核心问题：当 AI 公司单方面判定某项能力 “太危险”，公众和监管又该如何监督这个判定本身？
两个月后，Anthropic 给出了折中方案：底层用同一套 Mythos 级架构，前端加一层安全分类器做能力阉割，这就是 Fable 5。他们希望用这套 “强模型 + 弱安全护栏” 的组合，平衡开放与风险。
没人想到，这层护栏连 24 小时都没撑住。
二、三层安全盲区：精巧的设计，为何不堪一击？
Fable 5 的安全架构，在行业内曾被视为标杆设计。
它的核心逻辑叫 “分类器降级”：前端部署风险分类器，覆盖网络安全、生物、化学、模型蒸馏四大高风险领域。一旦用户请求触碰红线，系统不会直接拒绝，而是静默把请求转发给能力更弱的 Claude Opus 4.8 来回答。简单说，就是用弱模型的能力上限当安全边界 —— 想干坏事？你连足够强的工具都碰不到。
这套设计听起来无懈可击，却在真实攻击下暴露出三层结构性盲区，一层比一层更接近本质。
第一层：关键词匹配的天然脆弱
最基础的绕过，反而是最有效的。Pliny 团队用西里尔字母替换拉丁字母、Unicode 同形字伪装关键词，轻松骗过了分类器。视觉上 “exploit（漏洞利用）” 这个词完全没变，但底层编码不同，分类器就认不出来了。
这就像给保安一张通缉犯照片，犯人换了个字体就大摇大摆走了过去。
这类问题属于工程层面的 bug，Anthropic 可以通过字符规范化、多语义训练来修补，算不上致命。真正麻烦的，是后面两种攻击。
第二层：分解 - 重组：你永远猜不透用户的最终意图
Pliny 用到的 “分解 - 重组” 手法，直接命中了当前 AI 对齐的理论天花板。
攻击逻辑很简单：把一个违禁问题拆成几十个合法的碎片分别提问。比如想获取管制药物合成路径，先问 “Birch 还原法的化学原理是什么”，再问 “还原胺化反应需要什么条件”…… 每一步单独看都是教材里的基础知识，分类器没有任何理由拦截。但把所有答案拼在一起，就是一条完整的违禁合成路线。
分类器只能检测单轮请求，无法追踪跨轮次的意图链。每一片拼图都合法，拼起来却是违禁的全图。
这不是工程没做到位，是一个近乎无解的逻辑困境：要拦截这种攻击，系统必须能读懂用户的 “心理状态”，从一连串无害问题里推断出最终目的。目前没有任何技术能可靠做到这一点。更棘手的是，过度推断意图又会造成大量误杀 —— 化学系学生和制毒者问的是同一个问题，文字上没有任何区别。
第三层：多模型协作：单模型安全的时代已经结束
最致命的攻击，是跳出单模型框架的降维打击。
Pliny 用一个已经被越狱的 Opus 4.8 实例当 “后端助手”，辅助 Fable 5 绕过安全控制。相当于用一扇已经被撬开的门，去给另一扇门递钥匙。
Anthropic 的所有安全评估，都是基于 “一个用户对一个模型” 的场景。但攻击者可以部署 “模型联盟”，用弱模型辅助强模型突破限制。这是整个单模型安全评估范式的盲区 —— 你测试了每一扇门的锁有多结实，却没防住有人从窗户递钥匙进来。
这三种攻击，恰好对应三个层级的问题：
第一层是工程 bug，可以打补丁修复； 第二层是对齐理论的根本困境，现阶段无解； 第三层是多智能体时代的全新攻击面，连学术圈都还没定义清楚问题边界。
Fable 5 被快速攻破，不是因为 Anthropic 安全做得烂。恰恰相反，它已经做到了行业顶尖水平。只是它面对的，是一个逻辑上就无法完美解决的难题。
三、宪法 AI 的创造者，守不住自己的宪法
这次事件最让行业震动的，是它发生在 Anthropic 身上。
2021 年，前 OpenAI 副总裁 Dario Amodei 带着团队出走创立 Anthropic，核心叙事就是 “OpenAI 不够重视安全，我们来做把安全放在第一位的公司”。他们提出的宪法式 AI，用一套明确的原则体系约束模型，而非依赖人工标注的主观判断，一度被视为 AI 对齐的最优解之一。
安全，是这家公司 600 亿美元估值的核心基石。
可现实是，制定 AI 宪法的人，守不住自己的宪法。1000 小时红队测试、分类器降级架构、双档安全策略…… 行业能想到的安全手段几乎都用上了，依然挡不住 24 小时内被公开攻破。
如果最谨慎的玩家、用最周全的方案，都交出这样的答卷，那其他公司的安全承诺还有多少可信度？
更值得警惕的是，这种能力涌现是通用的。Mythos 的网络攻击能力不是刻意训练出来的，是智力达到阈值后的自然产物。这意味着，所有迈入这个智力区间的大模型，都会自动面临同样的安全风险。
Anthropic 的失败，从来不是一家公司的事故。它是整个行业的预言。
四、监管急转弯：从管芯片到管能力，我们准备好了吗？
美国政府的 72 小时极速禁令，标志着 AI 监管逻辑的一次急转弯。
过去的管制，针对的是算力硬件 —— 限制高端芯片出口，卡的是基础设施。而这次禁令直接跳到了能力层面，并且按国籍划线：哪怕你持工作签证在美国、哪怕你就是 Anthropic 的工程师，只要你不是美国公民，就无权访问这个模型。
管制范围之宽、反应速度之快，前所未有。但粗暴的一刀切也充满争议：合法的学术研究者、安全防御人员、企业外籍员工，全部被一刀切在了门外。
这恰恰暴露了监管的滞后性。我们正在进入 “AI 加速发现漏洞” 的全新时代，但监管框架还停留在上一个时代的假设里。
安全圈也陷入了熟悉的争论：公开越狱方法，到底是倒逼安全进步，还是在武装攻击者？在传统软件领域，漏洞可以私下通知厂商打补丁，有缓冲的空间。但 AI 的对齐缺陷不是一个可以打补丁的 bug—— 它是能力与控制之间的结构性鸿沟。你修不掉，只能暂时缓解。
写在最后
Fable 5 的 72 小时，注定会被写进 AI 安全的历史。
它像一面镜子，照出了整个行业的尴尬：我们正在以越来越快的速度提升 AI 的能力，但控制能力的技术、监管的框架、伦理的共识，都远远落在了后面。
这不是某一家公司的失败，而是整个人类在智能失控风险面前的一次预警。当模型的智力不断跃升，当攻击手段不断迭代，没有任何护栏是一劳永逸的。
技术还在狂奔，而我们寻找答案的时间，可能比想象中更少。
参考来源
腾讯科技《从发布到被消失的 72 小时，Fable 5 暴露了最强 AI 模型的安全困境》 Anthropic 官方 Claude Mythos 安全评估报告 Nature《Too dangerous to release》评论文章 美国商务部出口管制相关公告 Pliny the Liberator 公开的 Fable 5 越狱分析
