2026年6月12日，美國人工智慧公司Anthropic宣佈，因美國政府下達國家安全指令，暫停客戶訪問其兩款前沿模型——Claude Fable 5和Claude Mythos 5。限制物件包括美國境外使用者、身處美國的外國公民，以及Anthropic內部的外籍員工。由於短時間內無法逐一核驗使用者身份，公司暫時關閉了所有客戶的訪問許可權。

這不是一次普通的產品下線。過去幾年，美國對人工智慧的出口限制主要針對高階晶片、先進製程裝置和雲算力。此次事件表明，監管物件正在進一步延伸到模型訪問權。前沿模型提供的程式碼分析、漏洞發現和科研輔助能力，也開始被納入國家安全審查。

Anthropic在宣告中說，美國政府擔心Fable 5的安全措施可能被“越獄”，從而讓使用者獲得原本受限的網路安全能力，包括髮現軟體漏洞。所謂“越獄”，是指使用者通過特殊提示詞、多輪對話、角色扮演、任務拆解、編碼轉換或上下文誘導等方式，繞過模型內建的安全防護機制，使模型回答原本應當拒絕的問題，或執行原本受限的操作。與傳統軟體漏洞不同，大模型“越獄”往往不表現為單一程式碼缺陷，而是與提示詞設計、模型對齊程度、上下文理解、工具呼叫許可權和應用場景共同相關。

Anthropic對此持不同意見。該公司稱，政府列舉的案例只是少量已知的低級別漏洞，其他公開模型同樣可能發現這些問題，尚不足以證明Fable 5構成特殊風險。

對於政府與企業爭論的模型“越獄”風險，北京郵電大學網路空間安全學院教授張熙在接受《科技導報》採訪時表示，美國政策界高度重視模型越獄攻擊，是因為“越獄”可能讓模型繞過安全限制，回答或執行原本被禁止的高風險請求。其中尤為關鍵的是CBRN領域，即化學、生物、放射、核相關的安全風險。相關風險一旦被模型能力放大，可能降低惡性事件的執行門檻，對國家安全造成嚴重威脅。

張熙指出，現實中的安全事件已經提示了這類風險的嚴肅性。例如，美國現役軍人Mattew Lirelsberger在特朗普國際酒店門前爆炸案中，諮詢ChatGPT自製炸彈。這說明，當模型能夠在高風險知識、操作步驟和執行建議之間建立連線時，“越獄”就不再只是“回答不當”的內容安全問題，而可能演變為現實世界安全風險。

爭議由此落到了一個很難回答的問題上：模型具備什麼能力，才需要限制訪問？在張熙看來，能否防住越獄攻擊，是模型上線前紅隊測試的核心內容，也是美國相關AI安全政策重點關注的問題。如果一個模型在高風險場景下難以抵禦越獄攻擊，就可能成為政府部門限制訪問的理由。當前，通用越獄攻擊已經成為各大模型重點防守的物件，但窄場景、非通用的“越獄”方法仍然很難完全防住，這也是前沿模型安全評測面臨的主要難題之一。

與此同時，技術評估的不確定性也為外部力量介入提供了空間。Axios、Reuters、《Fortune Magazine》等媒體援引知情人士報道稱，Amazon公司曾向美國政府官員表達對Fable 5/Mythos模型安全風險的擔憂。Amazon公司既是Anthropic的重要投資方，也是雲端計算和人工智慧基礎設施市場的主要參與者。這意味著圍繞模型安全的爭議，已經從技術判斷延伸到企業競爭與行業話語權之爭。

在網路安全領域，發現漏洞本身並無明確的攻防屬性。模型既可以幫助能源、電信、金融和醫療機構檢查程式碼、定位漏洞並生成修復建議，也能被用來批次掃描目標、設計攻擊路徑，加快漏洞利用。相同的底層能力，可能服務於完全相反的目的。

復旦大學計算與智慧創新學院張曉寒副研究員指出，大模型在程式碼解析、漏洞研判、概念驗證程式碼構造和補丁校驗等方面具有攻防通用性。在使用方式上，防禦者關注漏洞定位與修復，而攻擊者則試圖規避安全檢測、隱蔽入侵痕跡、留存持久許可權，自動化落地全鏈路入侵行為。由於攻擊者可以通過拆解任務、分步提問繞過限制，模型風險評估不能只看單次輸出，還需考慮連續任務能力、工具許可權和使用場景。

這也是大模型風險難以沿用傳統軟體漏洞標準定級的原因。“越獄”行為會隨著提示詞、上下文和工具環境變化而變化，使風險呈現動態特徵。

與此同時，智慧體的出現進一步放大了風險。新一代模型接入智慧體框架後，可以呼叫工具、訪問程式碼庫、聯網檢索並持續執行復雜任務。復旦大學副研究員戴嘉潤指出，智慧體的攻擊能力由模型與框架共同決定，一旦具備工具呼叫和系統操作許可權，模型能力就可能被整合為完整攻擊流程。

根據其團隊自2024年以來對境內外大模型及智慧體攻防能力的監測，戴嘉潤建議，首先應對基座模型進行能力分級。前沿模型在程式碼理解、漏洞定位、利用鏈推理和長程任務規劃方面進步明顯，即使只配備較簡單的智慧體框架，也可能對真實軟體系統發起自主攻擊。

但只管模型還不夠。戴嘉潤認為，還應評估“模型+智慧體框架”組成的完整系統。真正影響風險大小的，往往是模型能夠呼叫什麼工具、接觸哪些資料，以及是否具有聯網和系統操作許可權。未來的治理物件應當包括模型、工具、許可權和執行環境，而不是孤立的模型介面。

訪問限制確實可能帶來一定的安全收益。張曉寒認為，它可以減少低門檻攻擊者批次獲得自動化漏洞發現和利用能力的機會，減緩攻擊技術擴散。然而，代價也很現實。攻擊者可以繼續使用私有部署的開源模型和地下工具，合規研究人員、中小企業安全團隊和開源專案維護者卻可能失去先進模型的幫助。管制若主要約束守規矩的使用者，反而可能削弱漏洞發現和修復能力，進一步拉大攻防差距。

美國政府的這次指令表明，前沿模型的訪問許可權已經不再完全由企業和客戶之間的合同決定。國籍、所在地、合作伙伴身份和安全審查，都可能成為決定模型能否使用、開放到什麼程度的條件。

這一變化也為G7期間有關“可信夥伴訪問美國先進人工智慧模型”的討論提供了背景。美國正在考慮的並非簡單關閉模型，而是建立分層訪問制度：本國和被認定為可信的夥伴優先獲得先進能力，其他國家和地區則受到不同程度的限制。模型仍然部署在雲端，卻開始帶有類似高效能晶片的地緣政治屬性。

張曉寒認為，現有模型限制規則混合了安全判斷和地緣政治訴求，其科學性、公平性以及對不同國家的適用性仍需討論。前沿模型確有雙重用途風險，但真正的安全問題不能與商業競爭、技術封鎖混為一談。

對中國來說，直接影響是海外模型服務的不確定性增加。企業和科研機構過去可以通過應用程式程式設計介面呼叫先進模型，用於程式碼開發、科學計算、藥物設計和網路安全防禦。一旦模型訪問被納入出口管制，這些服務就可能因政策變化突然中斷。

戴嘉潤認為，境外大模型智慧體的網路攻擊能力正在快速提升，中國仍處在調整網路安全佈局的視窗期。一方面，需要防止國內外攻防能力出現明顯差距；另一方面，也要管控智慧體接入真實系統後可能帶來的風險，尤其是其對基礎設施、軟體供應鏈和關鍵行業系統的影響。

這要求國內繼續建設自主模型、推理框架和算力體系，也要補上安全評測、紅隊測試和行業應用規範。發展模型能力與控制安全風險並非兩個先後進行的任務，模型越早進入真實生產環境，兩者就越需要同步推進。

Anthropic事件或許只是開始。隨著模型能力不斷增強，圍繞“誰能使用模型、使用到什麼程度、由誰決定風險”的爭論將持續存在。未來的競爭不僅在效能和成本上，也將在安全標準與治理規則上展開。