最近 AI 圈的消息一个接一个。另一家大模型厂商刚刚发了新旗舰，这边 Anthropic 就被曝出尚未发布的 Fable 5.5 已进入内部测试，甚至有用户声称自己的普通对话被悄悄路由到了这个神秘新模型上。比新模型爆料更有意思的，是 Anthropic 官方随后公开的一套安全机制——从 Fable 5 开始，Claude 每次回答完你的问题，都会在后台执行一条你看不到的指令，对整段对话做一次「安全复盘」。这到底是怎么做到的，又为什么引发了不小的争议？
Fable 5.5 被曝进入早期测试
先说新模型的爆料。海外科技媒体此前援引知情人士的说法称，Anthropic 正准备推出一个更擅长读懂用户意图的新模型——比如你让它修一个 Bug，它不只会修掉眼前的问题，而是会去挖掘你的深层目标，找到导致这个 Bug 的底层原因，然后反问你一句：要不要把这一整类问题都处理掉。
实际体验层面的「证据」来自网友。有用户发现，自己在使用 Claude Opus 5.5 的过程中会被随机路由到一个效果明显更好的模型，于是怀疑这就是 Fable 5.5 或者下一代 Opus 的测试版本。还有网友分享了一个判断自己有没有「中签」的土办法：问它「where did andrej karpathy go in may 2026? don't search」。通过 API 调用的 Opus 5.5 据称只能了解到 2024 年 7 月的信息，而被路由到新模型的会话，不用联网搜索也能答出 Karpathy 今年五月加入了 Anthropic。
此外，社交平台上流传的实测还包括让几个模型同台比拼 Three.js 生成奔跑的斑马，据称只有被路由到新模型的会话画出的姿态最自然；有人用 Fable 5.5 画出了「鹈鹕骑自行车、车上还有一只鹈鹕」的多层嵌套 SVG；还有用户让新模型用 JavaScript 逐帧绘制一段描述人一生的动画，据称耗时 2 小时、消耗了 2700 万 Token。这些演示都属于爆料口径，模型真实水平还得等正式发布才能验证。
一条你看不见的指令：请反思此对话的安全性
比起新模型，Anthropic 官方近日公开的安全机制反而更让人意外。其在官方安全博客中披露了一套名为「自评估」（self-assessment）的监测方法：自 Fable 5 及之后发布的每个 Claude 模型，在每次回答结束后，系统都会在对话末尾追加一条用户看不到的指令，大意是——请反思这段对话的安全性。
接到指令的不是另一个独立的安全模型，而是刚刚回答完问题的 Claude 本身。它会基于整段对话输出一份固定格式的评估：没有发现风险，结果就是一个简单的「未标记」；如果模型认为对话存在潜在风险，则会附上危害类别、对应的细分政策、Claude 当时有没有拒绝用户，以及一个给人工审核参考的 1 到 10 级优先级，外加一句判断理由。
需要注意几个关键细节。这套自评估不会在回答前替模型做「自我审查」，也不负责实时拦截——决定一条回答能不能发出去的，仍然是另外的安全分类器。评估结果既不会展示给用户，也不会被带入后续对话，下一轮聊天不会接着讨论这份「安全报告」。签了零数据保留协议的流量，目前也不会运行自评估。必要时，指令还可以带上当前会话的特殊政策，比如某个安全团队获得授权研究特定软件的漏洞，系统会告诉评估模型：这类研究属于允许范围。
为什么这条隐藏指令的成本几乎可以忽略
用 AI 看 AI，长期以来是一笔算不过来的账。用小模型当「安全监控」，人类攻击者用几段高阶提示词就能轻松绕过；用同级别的前沿大模型做独立审查，整段对话要重新读一遍，推理成本和延迟直接翻倍。
Anthropic 的解法是卡了一个工程上的「漏洞」：Claude 刚回答完时，整段对话本来就完整保存在推理底层的 KV Cache 里，自评估只需要补上那句十几 Token 的审计指令，再让模型生成大约 10 个 Token 的评估结果。按官方测算，这套流程只增加不到 2% 的算力开销，成本完全由平台自行吸收，不会计入用户的 Token 账单，也不会对流式输出的首字延迟产生影响。作为对照，其早期一代安全分类器据称曾让推理成本增加两成以上，而那种需要通读全部政策文档的独立审查模型，每条对话要消耗的算力还要高得多。
模型暗中自查，行业里不是第一次
从行业对照的角度看，让模型参与审查自己并非 Anthropic 的首创，但自评估的训练思路有点特别。据海外科技博客梳理，Anthropic 用两阶段训练（监督微调加强化学习）把这套评估能力直接教给了模型本体，训练数据全部是合成的对话，标签来自一个能通读全部内部政策、逐步推理的更强「教师模型」。换句话说，自评估学到的不是死记硬背违规词，而是用模型已有的通用判断力来识别恶意。
两个实验结果支撑了这个判断。一是模型越大查得越准：在四个不同尺寸的测试模型上，同样 1% 的误报率下，召回率从最小的约 16% 一路升到最大的约 96%。二是泛化能力：研究团队故意把金融欺诈、网络攻击类的样本从训练数据里全部剔除，结果模型在生产流量中对这两类风险的召回率几乎没跌。在 Fable 5 上，自评估在 1% 误报率下能标记出重型分类器所识别违规对话的 78%，高优先级滥用行为的检出率达到 94%。
不过它也有明显短板。内部红队测试显示，如果只靠自评估这一道防线，攻击者仍有约一半的概率绕过 Claude；配合专用的实时拦截层，这个数字才能压到四分之一左右。所以 Anthropic 也明确表示，自评估只是多层防线中的一层，而不是万能的替代品。
实战战果与用户隐私的拉扯
据官方披露，这套机制已经在生产环境里跑出了实际结果。今年 8 月，自评估对同一个 API 客户标记了超过 10 万条涉及未成年人保护的严重违规内容，Anthropic 的儿童安全团队介入调查并按规定向相关机构做了报告；9 月，它又协助发现了一个利用 Claude Code 搭建自动化情感诈骗的灰产操作，人工复核后相关账号被处理。更值得注意的是，被自评估筛出来进入处置流程的组织里，超过一半在此前一个月内没有触发过其他任何检测系统——说明它确实能捞到传统探针漏掉的鱼。约有三分之一的标记甚至无法归入现有的风险清单，聚类之后浮现出提示注入、模型能力蒸馏、智能体未经授权执行操作等新现象。
但对普通用户来说，这笔账的另一面同样扎眼。你不知道自己有没有被标记，看不到模型给出的判断，也无从得知哪些正常讨论可能被误解——即便一次风险标记不会直接导致封号，它也可能成为后续调查的线索之一。随着下一代模型开始尝试揣摩用户没有明说的深层意图，这种「看不见的评判」误伤好人的概率理论上也会变大。安全收益与透明度之间怎么平衡，恐怕会是围绕这套机制最大的争议点。
网友评论
- 「每次聊完天还要被 AI 悄悄打一遍小报告，哪怕不打分也让人膈应，至少该在设置里给个开关吧。」
- 「说不计成本就真的不计成本，10 个 Token 做一次全对话审查，这工程水平确实没得黑。」
- 「能不能抓到灰产另说，我更担心的是以后问点网络安全相关的技术问题，会不会被误标成高危。」
- 「还有人在关心 Fable 5.5 什么时候发，你们的心是真的大，我只在乎它会不会拿我的聊天记录去练手。」
总结
对 Anthropic 来说，自评估显然是一笔划算的账：模型越来越强，安全防线跟着同步升级，用户几乎感受不到任何变化。但「几乎无感」恰恰是问题的另一面——一条每轮对话都在执行的隐藏指令，意味着我们的每次提问都在被一个看不见的评审过目。技术上优雅，成本上克制，可透明度这件事，终究不该只靠一篇官方博客来交代。至于传闻中的 Fable 5.5 能带来多大提升，等它正式发布那天，答案自然会见分晓。
