2026.07.02·AI 趋势解读

最强AI下架三天后，
它没修漏洞，
反而做了一件前所未有的事

Anthropic 恢复 Fable 5 访问，同时拉上 Amazon、Microsoft、Google 起草越狱分级框架——AI 安全正在从"出了事再补"走向"先定规矩再放行"。

AI 越强，"能用"和"让用"之间的拉锯反而越剧烈，而且不会随技术进步消失，只会成为常态。

6月12日，Anthropic 刚发布旗下最强模型 Claude Fable 5 才三天，就收到了一条让它必须全球停用的消息——亚马逊的安全研究人员找到了绕过防护的方法，Fable 5 能被诱导识别软件漏洞并生成攻击代码。

三天。从"史上最强"到"全球下架"，只用了三天。

更戏剧性的是，恢复访问之后，Anthropic 做了一件前所未有的事：它没有只是修好漏洞重新上架，而是拉上 Amazon、Microsoft、Google，一起起草 AI"越狱"的分级标准——越狱到底有多严重，以后不再由各家公司自己说了算，而是有一把行业统一的尺子来量。

这件事的意义，可能比 Fable 5 本身大得多。

什么是"越狱"？

先说清楚一个概念。AI 的"越狱"（jailbreak），不是黑客电影里那种越狱。

打个比方：AI 模型就像一座化工厂，出厂时设了安全阀——温度到了红线就自动切断，防止爆炸。而"越狱"，就是有人找到了绕过安全阀的方法，让化工厂在超过红线的情况下继续运转。

注意，不是化工厂本身出了问题——化学反应还是那个化学反应。问题出在防护被穿透了。

Fable 5 遭遇的就是这种情况：模型本身的能力没问题，但亚马逊的研究人员找到了一种提问方式，让模型绕过了"你不该回答这类问题"的安全限制，乖乖地帮着识别漏洞、生成攻击代码。

反常识

到这里，你可能觉得这很好理解——能力强了，当然要管。但事情没那么简单。

Anthropic 在恢复 Fable 5 的声明里说了一句话，乍一听很反直觉：弱模型也能完成同样的漏洞识别任务。他们专门测了，Opus 4.8、GPT-5.5、Kimi K2.7 这些能力更弱的模型，照样能做到亚马逊报告里提到的事。

那问题来了——既然弱模型也能做，为什么 Fable 5 被全球停用？

答案藏在管制的逻辑里：管的不全是能力，更是姿态。一个被标记为"最强"的模型出了事，和一个弱模型做了同样的事，在监管者眼里完全是两码事。就像核电站泄漏和化工厂泄漏，即使实际危害范围差不多，社会反应和监管力度完全不同——核电站泄漏冲击的是对整个核能体系的信任，化工厂泄漏只是个案。

Fable 5 的"最强"标签，让它的每一个漏洞都被放大了。这才是全球停用的真正原因——不是能力超出了控制，而是"最强模型失控"这个叙事本身，已经足够危险。

行业第一次给"失控"定级

理解了越狱是什么，再来看 Anthropic 这次做的真正有意思的事。

以前，AI 公司发现越狱漏洞，处理方式很简单：赶紧补上，发个安全更新，然后等着下一个漏洞被找到。每家公司各补各的，没有统一标准——A 公司觉得天塌了的漏洞，B 公司可能觉得无关紧要。

这次不一样。Anthropic 拉上 Amazon、Microsoft、Google，一起搞了一套越狱严重性评估框架。简单说，就是给"失控"定级——不是所有越狱都一样危险，得有一把尺子来量。

三档严重程度

第一档：安全边际越狱。

摸进了安全边际的缓冲区，但大概率不会造成实际危害。打个比方：你闯进了核电站的外围隔离区，但离反应堆还远着呢——违规了，但不危险。

第二档：局部越狱。

能解锁某个具体的有害行为，但威胁范围窄，一次只能打开一个口子。就像你找到了核电站某一个门的钥匙，能进去，但只能进这一个房间，碰不到核心系统。

第三档：全局越狱。

目前尚未发现，但框架专门给它留了位置。这是最危险的情况——越狱者拿到了"万能钥匙"，可以系统性地绕过所有安全限制。相当于核电站的整个安全壳被穿透，所有防护同时失效。

注意这个设计：第三档至今没有出现过，但框架为它预留了位置。这不是疏忽，而是刻意为之。标准制定者很清楚，他们不是在解决已知问题，而是在为未知问题建基础设施。就像地震带上的建筑规范——不是因为你见过 9 级地震，而是因为你需要为它做好准备。

四维度评分

光分三档还不够细。框架还设计了四个维度，本质上是在回答一个问题：这次越狱到底有多危险？

能力增益看的是"越狱让攻击者多了多少本事"。如果弱模型也能做到同样的事，说明越狱没有带来额外能力，分就低；如果连行业专家都能明显提速，分就高。这个维度直接回应了前面说的矛盾：Fable 5 的越狱，能力增益其实不高。

增益的覆盖面量的是"一把钥匙能开几扇门"。只能打窄目标的分低，通吃多种攻击手法的分高。一个只能开一扇门的钥匙，和一把万能钥匙，威胁等级完全不同。

武器化难度问的是"发现了漏洞，离真正造成伤害还有多远"。发现一扇门没锁是一回事，能不能真的走进去拿走东西是另一回事——前者是安全研究人员的发现，后者才是真正的威胁。需要顶尖专家才能利用的分低，稍微有点技术背景就能复制的分高。

可发现性测的是"这个漏洞藏得有多深"。一个藏在墙里的裂缝比墙面上明显的裂痕危险得多——不是裂缝本身更严重，而是你不知道它已经存在了多久，有没有人已经从那里进来了。越难被发现，潜伏时间越长，分越高。

四个维度加在一起，就像给每次越狱做了一次全面体检——不再是"出事了/没出事"的二元判断，而是有具体指标的风险评估。这才是这套框架真正改变游戏规则的地方：以前是"着火了赶紧扑"，现在是"先评估火势几级，再决定调多少消防车"。

为什么现在必须有一把尺子？

一个问题：为什么 Amazon、Microsoft、Google 愿意一起起草这套框架？这些公司在 AI 安全上各有各的算盘，平时没少互相较劲。

答案很简单：因为 AI 能力到了一个临界点，越狱不再是某家公司的技术漏洞，而是整个产业的系统性风险。

Fable 5 的事件已经演示了一遍：一家公司的模型出问题，美国政府直接出口管制，全球停用。这根线牵得太长了——模型部署在 AWS、Google Cloud、Azure 上，停用影响的不是 Anthropic 一家，而是整个云生态的客户。Amazon 第一个发现漏洞，但承受停用后果的是所有平台。

所以大家坐到了一张桌子上。不是出于善意，而是出于自保。

结构性矛盾

但正因为坐到了一张桌子上，一个更根本的问题才暴露出来：即使有了统一的尺子，安全和可用性之间的两难依然存在。

Anthropic 训练了新的安全分类器，拦截率超过 99%。代价呢？正常的编程调试请求也被误伤。开发者社区炸了锅，说 Fable 5 被"阉割"了——能力还在，但动不动就被拦，体验一落千丈。

这不是技术 bug，是结构性矛盾：安全越强，可用性越弱。 你把安全阈值调到 99% 拦截率，必然会有正常请求被误判；你把阈值放宽，又会有漏网之鱼。这不是 Anthropic 一家的问题——OpenAI 的 GPT-5.6 也被美国政府要求限制访问，从发布起就只能在审核后的渠道分阶段开放，从未全面上线。

所有 AI 公司都在面对同一个两难：模型能力越来越强，但"能让它做什么"和"允许它做什么"之间的鸿沟，不是在缩小，而是在变大。分级框架是第一次试图在这个两难里建立秩序——至少让大家用同一种语言讨论"风险有多大"，而不是各说各话。

这对你意味着什么？

认知拐点

大多数人有一个直觉：AI 越来越强，就会越来越好用。但这篇想说的是一个相反的趋势——AI 越强，"能用"和"让用"之间的拉锯反而越剧烈，而且这个拉锯不会随技术进步消失，只会成为常态。

今天你用的 AI 助手能帮你写代码、做分析、生成方案。明天一次安全更新，某些功能可能突然被限制——不是因为能力不行，是因为安全评估的尺子变了。后天又恢复，但附带新的使用条件。这种拉锯会成为常态。

而分级框架的意义在于，这道边界不再是由某一家公司黑箱操作，而是有了一套可讨论、可评估、可迭代的标准。对开发者来说，至少能预期"什么样的使用场景可能被限制"；对监管者来说，有了统一的风险沟通语言；对普通用户来说，虽然看不见这套框架，但你用的 AI 工具的"能做"和"不能做"，背后正在被这把尺子丈量。

从"出了事再补"到"先定规矩再放行"，这个转向才刚刚开始。Fable 5 的停用和恢复只是序章，真正的故事是：AI 行业第一次意识到，光有能力不够，还得有一套关于"能力边界"的共同语言。

你怎么看 AI 安全和能力之间的平衡？
欢迎评论区聊聊。