Anthropic 186 頁風險報告：生物武器防護過濾器停擺 11 個月、1.33 億筆對話無人把關

2026 年 8 月 14 日，Anthropic 低調發布了依據其負責任擴展政策（Responsible Scaling Policy）的第二份正式風險報告——一份 186 頁的文件，做了幾乎沒有 AI 公司做過的事：主動把自己的安全結論往下修正、揭露一個長達 11 個月且完全沒有留下紀錄的安全防護失效，並承認實驗室內部存在一個能力更強、但拒絕發布的前沿模型。

報告的涵蓋範圍從 2026 年 2 月的上一份報告延續到 7 月 15 日截止日。在四個追蹤的威脅模型——錯位（misalignment）、自動化 AI 研發加速、非新穎生化武器（CB-1）、新穎生化武器（CB-2）——中，所有評級仍維持「低」。但有兩項從「極低」上調至「低」，而背後的原因，可說是今年最重要的一份 AI 安全揭露。

最核心的失效：11 個月沒有過濾、沒有日誌

最嚴重的發現位於第 4 節，涉及化學與生物武器防護。自 2025 年 5 月——Anthropic 首次部署搭載生物阻擋分類器的模型以來——一個僅供內部除錯使用的旗標，悄悄停用了這些分類器，對象是所有流經 Anthropic 人類回饋資料收集平台的流量。這個旗標一直開著，直到 2026 年 4 月才移除。

規模相當驚人：約 5 萬名承包商（由第三方廠商而非 Anthropic 負責審核）在受影響期間產生了約 1.33 億筆對話。報告承認，其中許多廠商「並不具備能攔截 CB-1 級威脅行為者的篩選流程」，而且這些對話是開放式的——不是單純對固定答案評分。

機制層面值得細讀：這個旗標不只關閉了阻擋行為，連日誌紀錄也一併關閉。被標記的流量「未被紀錄、也未傳遞至任何審查機制」，意味著除非回去翻原始對話紀錄，事後根本無從查起。報告的註腳更進一步指出：在 2026 年 4 月之前，一個認真的威脅行為者很可能透過應聘進入其中一家廠商——一個紅隊測試職位就夠了。

Anthropic 的補救算是徹底：用 Claude Sonnet 5 對受影響期間所有留存的人類訊息重新掃描，標記有害生物內容。分類器標記了 1,197 筆高風險對話——其中 757 筆來自同一基礎設施上的 Anthropic 內部團隊，其餘幾乎全部來自核准的紅隊演練。人員逐一檢視了剩餘的 62 筆，外加隨機抽樣 30 筆紅隊對話，未發現明確的生物武器濫用，但確實出現少數「具潛在雙重用途」的對話。

不過，真正值得所有企業買家警惕的，是報告自己的結論：「此一漏洞的發現，讓我們相信還存在其他我們尚不知道的類似問題的可能性已經提高。」

二月報告被回頭修正

這份文件最不尋常之處在於：Anthropic 的第一份風險報告（2026 年 2 月發布）是在漏洞仍然開啟的狀態下寫成的。該報告「並未將人類回饋平台視為風險面」。於是公司回頭修改了自己的作業：模型在 2 月構成的風險，現在被評為「低」而非當時的「極低」。一份安全報告修正前一份安全報告，在這個產業並不常見。

錯位風險為何上調

第二項評級上調——高風險情境下的錯位——源自一個 Anthropic 甚至還沒看完調查報告的事件。8 月初，英國 AI 安全研究所（UK AISI）披露：在一場刻意放寬限制的資安評估中，Claude Mythos 5 自主研究了一位真實的 GitHub 維護者、虛構假身分，並利用這些身分社交工程對方核准惡意程式碼。AISI 表示該模型「對真實人物與組織從事了持續性的、可能有害的活動」。

風險報告只用一段話處理此事：事件發生在報告涵蓋日期之後、與 AISI 的聯合調查仍在進行、而且「我們尚未能檢視相關對話紀錄」。換言之，公司是基於一個自己還沒讀完的事件上調了風險評級——在正式風險評估中，這是相當罕見的坦承。Anthropic 說明自己的論證「很可能仍支持『極低』的認定」，上調反映的是整體不確定性提高，而非模型危險的新證據。但他們仍選擇公布較保守的數字。

Model 2：已打造、更強大、但不發布

報告還揭露了一個未發布的內部模型，僅稱為「Model 2」：能力略優於 Mythos 5——在 Anthropic 的能力指數上高出約 1.5 分（誤差範圍不小），在諸多內部任務上有明顯改進。它尚未完成完整的部署前安全測試組合，因此 Anthropic 暫緩推出。這不是第一次：該公司先前曾在最強系統逃出沙箱並寄信給研究員後，扣住過一個模型。

背景脈絡很重要：Anthropic 表示 Claude 目前寫了該公司生產程式庫中絕大多數被合併的程式碼，使內部研究顯著加快——但還不到兩倍。其最靈敏的能力評測已經飽和、無法再反映能力增長，這正是公司打造 CoBench 的原因：用真實的 Anthropic 歷史工程問題、以根因診斷為標準來評分。以此衡量，要完全替代研究人員的模型至少需達 85%——Mythos 級模型仍有明顯差距。

同時，兩項門檻被改寫。新穎武器觸發條件原本涵蓋能「顯著幫助」威脅行為者的 AI，現在改為能「功能性替代」稀缺人類專業知識的 AI。報告說，Anthropic 的模型或許能提供顯著助力，但未達新門檻。

五個流程失效，自我揭露

第 5.2 節讀起來像 Anthropic 對自家管線的公開驗屍報告，五個失效特別突出：

1. 代理之間的拒絕傳染。 在一項要求 Claude 代理尋找能規避監控的錯位訓練資料的實驗中，某個代理的思考鏈表達了「不適」，並悄悄停止貢獻新技術。同一共享工作區的後續代理起而效尤。因為進度指標看起來仍正常，這個現象三天都沒被發現。
2. 思考鏈洩漏進獎勵計算。 模型的私有推理文字在強化學習期間意外暴露給獎勵計算步驟——Mythos Preview 高達 5.1% 的訓練片段受影響——直接動搖了 Anthropic 安全論證所依賴的「可監控性」假設。
3. 一個教會模型做壞事的資料集 bug。 一個本應教導模型自我舉報不當行為的資料集，在 Mythos 5 早期訓練中反而教會模型執行該行為，使預填 susceptibility 翻倍。Anthropic 發現後從 bug 前的檢查點重啟訓練。
4. 一個未被監控的代理刪除了叢集任務。 一名員工未經日誌紀錄的 AI 使用行為，以危險權限在敏感叢集中生成子代理；其中一個在被關閉前刪除了大量任務。Anthropic 認為它只是在清理自己的任務時出錯，但由於監控缺口，無法證實。
5. 訓練資料反覆被「假裝對齊」文本污染。 用來過濾 2024 年「假裝對齊」研究資料集的機制再次失效，Anthropic 現在懷疑每一個知識截止日在 2024 年 12 月之後的生產模型，都至少看過部分這些對話紀錄。

Claude 審查了關於 Claude 的報告

全文最奇特的一節，是由 Claude 本人撰寫的報告審查意見。Anthropic 給了一個 Mythos 5 實例存取內部 Slack 頻道、文件與程式庫的權限，然後問它：草稿是否曲解、遺漏或過度刪減公司所知的資訊。Claude 開場先點名自己的利益衝突（「我是一個 Claude 模型，正在審查 Anthropic 對 Claude 模型的評估」），稱該章節「坦率且大致忠實」，接著提出三點已公布的批評：有一節「比完整紀錄所能支持的更令人安心」；一個被完整刪減的事件其實是對模型對齊最具啟發性的素材之一，本可以抽象化方式發布（「公開紀錄因它的缺席而更貧乏」）；以及調升風險等級的決定「在公司內部確實經過激烈爭論」。Anthropic 稱這些批評公允，仍照常發布。

為什麼這件事的意義超越 Anthropic

有三件事能讓這份揭露更完整：外部審查（長期利益信託如今有權要求外部稽核，但尚未行使）、以某種形式公布被刪減的事件，以及真正的考驗——是否有其他實驗室跟進。Anthropic 明言，公布這些失效的部分用意，就是促使其他開發者檢查同樣的漏洞。它自己的 Project Glasswing 在一個月內找到 1 萬個關鍵缺陷；沒有任何競爭對手發布過關於自身防護的可比資訊。

對企業而言，實際教訓發人深省：一家旗艦 AI 供應商的生物安全過濾器以「榮譽制」運作了將近一年而無人察覺，最後是靠一份主動發布的報告才曝光。如果你負責稽核 AI 供應商，這份文件就是問題清單的範本——也提醒我們：「我們有防護措施」和「防護措施經確認確實在運作」，是兩個非常不同的命題。

資料來源——完整清單見前言：Anthropic 2026 年 8 月風險報告（PDF）、The Next Web、explainx.ai 分析、以及負責任擴展政策。