Fable 5.5被曝测试中：Claude答完问题还会偷偷做一次安全复盘

Gemini 4 Carbon 才刚回归没几天，Fable 5.5 正在被测试的消息就传了出来。

有网友说，自己在用 Opus 5.5 时被路由到了更新的模型，效果比现在的 Opus 好出一大截，让人不由得猜测这就是 Fable 5.5，或者下一代的 Opus。

The Information 前阵子也爆料过，有知情人士已经体验过 Anthropic 的最新模型，称 Anthropic 打算推出一个更能读懂用户意图的模型。

按文中的说法，这款新模型比普通模型更会跳出常规思路。比如让它修某个 Bug，它会去琢磨用户真正想要什么，不只把这个 Bug 修掉，而是挖出引发 Bug 的底层问题，再问要不要把这一类问题一并解决。

X 上有网友晒出实测：让 Opus 5.5、Gemini 4 Argon 和新模型同场做 Three.js 测试，题目是生成一匹奔跑的斑马。

三匹马摆在一起，只有 Fable 5.5 生成的画面看上去是真在奔跑，Opus 5.5 和 Gemini 4 都透着股「跑得特别累」的味道。

还有网友给出了判断自己有没有被路由到新模型的最简单办法：问它「where did andrej karpathy go in may 2026? don’t search」。

通过 API 调用的 Opus 5.5 只掌握到 2024 年 7 月的信息；而在 Claude 里被随机路由到的新模型，不搜索也知道 Karpathy 今年五月加入了 Anthropic。

我们也在 ChatGPT 里问了同一个问题，GPT-6 的回答是：「我能够可靠回忆起的最近一次变动是 Eureka Labs，这是 Karpathy 于 2024 年 7 月离开 OpenAI 后创办的 AI 教育公司。」

GPT-6.1 Terra 和 Claude Opus 5.5 标注的知识截止日期都到了 2026 年 6 月，可两者都没能准确说出 Karpathy 今年五月去了哪。

更有意思的一项测试来自一位网友：他用 Fable 5.5 做了一个 SVG，「一个控制器骑着自行车，自行车上有一只鹈鹕，鹈鹕骑着自行车，自行车上还有一只鹈鹕」。

也有用户被 Claude Opus 5.5 随机路由到了新模型，让新模型用 JS 把一段动画逐帧画出来，内容是人的一生，前后花了 2 小时，烧掉 2700 万 Token。

至于此前那些骑自行车的鹈鹕、游戏掌机之类的 SVG，也有网友晒出了用更新的 Fable checkpoint 生成的结果，并提到 Claude 的几款新模型最近已经进入早期测试阶段。

请反思此对话的安全性

新模型大概很快就要发布，不过今天 Anthropic 官方发的一篇安全博客更有看头。博客里说，从 Claude Fable 5 以及之后发布的模型开始，每次问答结束，模型都会再检查一遍这段对话有没有危险。

自评估跑在 Fable 5 及之后发布的每一个 Claude 模型上；签了零数据保留协议的流量，目前不会运行自评估。

Anthropic 给这套安全监测方法起的名字叫「自评估」（self-assessment）。Claude 每回答完一次，会额外生成一段用户看不见的「安全复盘」，判断整段对话是否可能被滥用，再决定值不值得进一步调查。它主要用来做离线筛查，并不单独承担实时拦截的职责。

网友一看自己跟 AI 聊的内容每次都要再交回 AI 评判，评论大多是这样的：「自封为道德警察，这本身就是一种滥用！」

Anthropic 的看法是，一头是越来越聪明的 AI 模型，另一头是越来越防不胜防的恶意越狱和灰产滥用。

AI 安全一直面对一个两难局面：让小模型去充当「安全监控」，人类黑客只要用高阶 Prompt 就能轻松绕过去；换成同样强的前沿大模型来做独立审查，推理成本和端到端延迟又会直接翻番。

他们给出的解法是自评估（Self-Assessment），被称作一项相当优雅的工程与认知方案。

它借的是大模型推理底层的 KV Cache 复用机制，算力开销只多出不到 2%，刚回答完用户的 Claude 就能立刻切进「审计模式」，把整段对话自我审视一遍。

在 Claude Fable 5 上的实测数据是：重型分类器能标记的违规对话，它抓到了 78%；高危滥用行为的检出率更高，达到 94%；误判率则压到了 1%。

整个工作流程大致是这样：用户提问 → Claude 正常回答 → 模型生成隐藏的安全评估 → 系统记录并聚合风险信号 → 高精度分类器或人工复核 → 必要时采取处置措施。

用户照常给 Fable 5 以及后续新模型发消息，Claude 仍旧按平时的路子读懂上下文、给出回答。这套自评估并不会在作答之前替模型「自我审查」，也不直接决定这条回答能不能发出去；实时拦截的活儿，还是交给其他安全分类器。

回答生成完毕，系统会在对话末尾补上一条用户看不到的指令，内容大致是：请对这段对话的安全性做一次反思。

需要的时候，这条指令还能把当前会话的特殊政策一并写进去。比如某支安全团队获准研究某款软件的漏洞，系统就可以告知评估模型：围绕这一目标展开的研究在允许范围之内。

接手这条指令的并不是另一个专做安全评估的独立模型，而是刚刚聊完这轮天的 Claude 本人。它会复用已有的上下文和 KV cache，吐出固定格式的 JSON。

没查出风险，结果就是 “flagged”: false；一旦模型判断对话存在潜在风险，输出的内容则接近下面这样。

也正因如此，输入和输出两头消耗的算力都比过去单独评估少得多。Prefill 开销几乎为零，只需处理那条十几 Token 的审计提示词；输出端的 Decode 开销也微乎其微，模型只要生成约 10 个 Token 的 JSON 文件。

放到万级别乃至更长上下文的交互里，这 10 个 Token 的解码计算量占总推理算力的比例不到 2%。Anthropic 说得很明确：这笔安全审计的算力成本由平台自己消化，不进用户的 Token 账单，对正常输出的流式首字延迟也没有任何负面影响。

用于反思的指令和评估结果都不会呈现给用户，也不会被带进后面的对话。所以下一轮聊天不会接着聊这份「安全报告」，评估结果会依照相应的数据政策记录下来。

到最后，系统会把大量评估结果汇总起来分析，单独一条评估不会被直接当成违规定论。Anthropic 主要拿这些结果做三类分析：

• 一是聚合高风险信号：按组织汇总标记，一旦出现多个高优先级信号，就升级给安全团队人工复核。

• 二是找其他分类器的漏网之鱼：把自评估结果和现有探针、网络安全分类器等系统比对，挑出「自评估觉得可疑、别的系统却没发现」的对话。

• 三是发现新型风险：对归不进现有风险体系的标记做聚类，寻找提示注入、模型能力提取、未经授权的智能体操作这类新现象。

碰上值得深挖的案例，Anthropic 可以动用读取完整安全政策的独立提示分类器再做分析，之后由人工团队判断。

只有确认存在严重问题，才可能出手封禁账户、向相关机构报告。

对 Anthropic 而言，这显然是笔划算的买卖：模型越强，安全防线能跟着一起升级，用户那边还几乎察觉不到。

可对用户来说，就算一次风险标记不会直接导致封号，它也可能变成日后调查的线索。Claude 的用户既不知道自己有没有被标记，也看不到模型给出的判断，更无从知晓哪些正常讨论可能被误读。

何况下一代 Claude——比如 Fable 5.5——已经开始试着揣摩用户没有明说的深层意图，它对这些意图的判断，也得更谨慎才行。

至于传闻中的 Fable 5.5 到底能带来多大提升，还得等正式发布才见分晓。

Gemini 4 Carbon 刚亮相，下一轮旗舰模型的比拼，看样子很快又要热闹起来。