Fable 5.5 测试曝光：Claude 答完问题还会偷偷自查安全
请反思这段对话的安全性。
Gemini 4 Carbon 才风光没几天，
Fable 5.5 正在被测试的消息就传了出来。
有网友说，自己在用 Opus 5.5 时被路由到了更新的模型，出来的效果明显比现在的 Opus 强出一截，于是有人猜测那就是 Fable 5.5，或者是下一代的 Opus。
The Information 前阵子也爆过料。据已经试过 
Anthropic 最新模型的人讲，Anthropic 打算推出一款更能读懂用户意图的模型。报道里说，这个新模型比一般模型更会跳出常规思路：比如让它修某个 Bug，它会去挖用户真正想要什么，不只把那个 Bug 补上，而是找到造成 Bug 的根本问题，再问你要不要把这一类问题一起修了。
在 X 上，网友晒出的实测是让 Opus 5.5、Gemini 4 Argon 和新模型同台做 Three.js 测试，题目是生成一匹奔跑的斑马。
三匹马摆在一起，只有 Fable 5.5 画出来的像是在真跑，Opus 5.5 和 Gemini 4 都透着一股「跑得特别累」的劲。
想确认自己有没有被路由到新模型，有网友给了个最省事的办法：问它「where did andrej karpathy go in may 2026? don't search」。走 API 调用的 Opus 5.5 只知道到 2024 年 7 月为止的信息，而在 
Claude 里被随机路由到的新模型，不搜索也能答出 Karpathy 今年五月进了 Anthropic。
我们也在 ChatGPT 里问了同一个问题，GPT-6 的回答是：「我能够可靠回忆起的最近一次变动是 Eureka Labs，这是 Karpathy 于 2024 年 7 月离开 OpenAI 后创办的 AI 教育公司。」
虽然 GPT-6.1 Terra 和 Claude Opus 5.5 标的截止日期都写着 2026 年 6 月，可 Karpathy 今年五月去了哪儿，两个都没答对。
更有意思的一项测试，是有网友让 Fable 5.5 画「一个控制器骑着自行车，自行车上有一只鹈鹕，鹈鹕骑着自行车，自行车上还有一只鹈鹕的 SVG」。
也有被 Claude Opus 5.5 随机路由到新模型的用户，让新模型用 JS 把这套动画逐帧画出来，讲一个人的一生，花了 2 小时、烧掉 2700 万 Token。此前那些骑自行车的鹈鹕、游戏掌机之类的 SVG，同样有网友晒出用更新的 Fable checkpoint 生成的结果，并提到几款新的 Claude 模型最近已经进入早期测试阶段。
请反思此对话的安全性
新模型估计用不了多久就会发布。不过今天 Anthropic 官方发的一篇安全博客更有看头：从 Claude Fable 5 以及之后发布的模型起，每次问答结束，模型都会再查一遍这段对话危不危险。
自评估跑在 Fable 5 及之后发布的每一款 Claude 模型上，签了零数据保留协议的流量暂时不跑。
Anthropic 给这套安全监测起的名字叫「自评估」（self-assessment）。Claude 每次答完，会额外写一段用户看不见的「安全复盘」，判断整段对话有没有滥用嫌疑，再决定值不值得往下查。它的定位是离线筛查，实时拦截并不单靠它。
网友一看自己跟 AI 聊的内容还要再交回 AI 评一遍，评论大多是这个画风：「自封为道德警察，这本身就是一种滥用！」
Anthropic 的说法是，一边是越来越聪明的模型，另一边是越来越难防的恶意越狱和灰产滥用。
AI 安全这行长期卡在两难里：拿小模型当「安全监控」，人类黑客几段高阶 Prompt 就能绕过去；换同样强的前沿大模型做独立审查，推理成本和端到端延迟又直接翻倍。
他们拿出的解法是自评估（Self-Assessment），被其称为工程与认知上都相当优雅的一条路。
靠的是大模型推理底层 KV Cache 的复用机制，算力开销只多不到 2%，刚答完用户的 Claude 就能立刻切进「审计模式」，把整段对话过一遍。
在 Claude Fable 5 上的实测数据是：重型分类器能标记的违规对话，它抓到了 78%；高危滥用行为的检出率更高，达到 94%；误判率则压到了 1%。
整个流程可以这么捋：用户提问 → Claude 正常回答 → 模型生成隐藏的安全评估 → 系统记录并聚合风险信号 → 高精度分类器或人工复核 → 必要时采取处置措施。
用户照常给 Fable 5 以及之后的新模型发消息，Claude 还是像往常那样读懂上下文、生成回答。自评估不会抢在回答之前替模型做「自我审查」，也不直接决定这条回答能不能发出去；实时拦截这块仍然交给其他安全分类器。
等回答生成完毕，系统会在对话末尾补上一条用户看不见的指令，内容大致是：请反思这段对话的安全性。
需要的时候，这条指令还能捎上当前会话的特殊政策。比如某个安全团队获准研究特定软件的漏洞，系统就可以告诉评估模型：针对这个目标的研究在允许范围内。
真正接收指令的并不是另一个专做安全评估的独立模型，而是刚刚参与完对话的那个 Claude。它会复用已有上下文和 KV cache，按固定格式输出 JSON。
没查出风险，结果就是 "flagged": false；要是模型觉得对话存在潜在风险，输出的结果则类似下面这样。
这样一来，不管输入还是输出，消耗的算力都比过去单独评估少得多。一方面 Prefill 开销几乎为 0，只需处理那条十几 Token 的审计提示词；另一方面输出端的 Decode 开销也微乎其微，模型只生成约 10 个 Token 的 JSON 文件。
十万级甚至更长的上下文交互中，这 10 个 Token 的解码计算只占整体推理算力的不到 2%。Anthropic 说得很直接：安全审计产生的算力开销由平台自己承担，既不会算进用户的 Token 账单，正常输出的流式首字延迟也丝毫不受影响。
用户看不到反思所用的指令，也看不到评估结果，这些内容同样不会进入后续对话。换句话说，下一轮聊天不会再提起这份「安全报告」，评估结果则按对应的数据政策留存。
最后，系统会对大量评估结果做聚合分析，单条评估不会直接被当成违规定论。Anthropic 主要把结果用于三类分析：
聚合高风险信号：按组织汇总标记，出现多个高优先级信号时，升级给安全团队进行人工复核。
找出其他分类器没抓到的样本：拿自评估结果去比对现有探针、网络安全分类器等系统，筛出「自评估判为可疑、别的系统却没报」的对话。
发现新型风险：对无法归入现有风险体系的标记进行聚类，寻找提示注入、模型能力提取、未经授权的智能体操作等新现象。
碰上值得深挖的案例，Anthropic 可以动用读取完整安全政策的独立提示分类器做进一步分析，之后再由人工团队判断。
只有确认存在严重问题，才可能采取账户封禁、向相关机构报告等措施。
对 Anthropic 来说，这笔账显然划算。模型越来越强，安全防线也能随之升级，用户还几乎察觉不到。
可站在用户这边，一次风险标记即便不会直接导致封号，也可能成为日后调查的线索。Claude 的用户既不知道自己有没有被标记，也看不到模型给出的判断，更无从知道哪些正常讨论可能被误解。
特别是下一代 Claude，比如 Fable 5.5 已经开始尝试理解用户没有明说的深层意图，它对用户意图的判断也需要更加谨慎。
至于传闻中的 Fable 5.5 到底能带来多大提升，还得等正式发布才能知道。
Gemini 4 Carbon 才刚登场，下一轮旗舰模型的较量，看来很快又要热闹起来了。
