Anthropic 阻断五起潜在生物武器用途案例：账户长期行为与跨模型调用链能否提高双用途研究识别率

9 月 10 日，Anthropic 披露了 2025 年 12 月至 2026 年 8 月间发现的五起高风险双用途生物研究活动。双用途研究指同一套知识或实验既可能用于疫苗、监测和药物，也可能提高病原体或毒素的危害。Anthropic 封禁了相关账户，在第一案中还与合作方拆除了部分中继网络，并向其他模型公司和政府部门分享线索；但运营者数日内即以新身份恢复访问，研究也继续推进。因此，“阻断五起”不是五个项目都被终止，更不等于确认了五起生物武器计划。

模型名称需要先拆清。

• Claude Fable 5 是面向一般用户开放、带较强生物与网络安全限制的前沿模型；
• Claude Mythos 5 与 Fable 5 使用同一底层模型，但仅向核验机构开放，并可按获批用途放宽相应限制；
• Claude Opus 5 是生物研究能力低于 Mythos 5、限制相对较少的通用模型，也是 Fable 5 的生物分类器命中后当前使用的回退模型。

报告覆盖的五起生物案例使用的是 Haiku、Sonnet 或 Opus 系列，没有使用 Fable 5 或 Mythos 5。这个能力边界很关键：报告展示的是旧模型和通用模型流量中的风险发现，不是最强生物能力已被现实攻击攻破。

中心判断是：账户长期行为为双用途研究增加了单次提示中不存在的项目级证据，但公开材料没有给出统一样本、误报率和漏报率，尚不能证明识别率已经提高；跨模型调用链的证据更弱，目前只证明单个平台可从中继代码和后续调查还原部分路由，不能证明不同供应商能持续拼出完整任务链。

演进线： 旧模型的防护重点是阻止新手获得已知生物武器知识；Fable 5 用宽泛分类器限制更强能力并保留 30 天流量；真实案例又要求把会话、账户、地区和机构放在一起判断。

比较线： 单次内容分类、单个 Agent 轨迹、跨会话账户监测和生物设计阶段审查看见的对象不同，公开分数不能直接排高低。

结论边界： “发现更多可疑项目”只有在相同合法科研误报率下带来更高危险项目召回、更早告警且复核成本可控，才能算检测能力提升。

从旧模型拒答到项目级监测，安全系统多看见了什么

这条时间线解释了五案为何不能只按“模型有没有拒答”来阅读。

Anthropic 逐步扩大的是检测上下文和访问控制，而不是用一个更大的分类器取代所有防线。

这段演进把判断单位由“一次问答”扩大到“一个主体在一段时间内积累了什么能力”。它也把新问题带进系统：主体关联错了会误伤用户，日志不足会漏掉跨账户行为，日志过多又会暴露研究数据和身份。

五起案例把“内容、行为和处置”拆成了三层

五案最有价值的增量不是病原体名单，而是同一内容分类器在不同项目上出现了三种结果：明确高风险内容被降级，双用途内容被正常回答，账户最后又因地区规避或关联调查被封。

所谓跨模型调用链，是同一任务经中继被转给多个模型或供应商形成的路由；公开材料只在第一案给出了明确的转发证据。

长期记录确实补上了机构、基础设施、持续时间和规避动作，却没有构成识别率实验。五案是厂商选出的显著案例，没有未被发现的危险活动作分母，也没有合法研究对照组；最近一次针对特定国家机构的 30 天筛查约发现 35 项研究，其中多数仍是普通民用科学。《大西洋月刊》采访的两名病毒学研究者还称，查询流感基因特征或紫外线灭活等正当问题也会频繁被 Claude 或 ChatGPT 中断；这不是正式误报率，却说明扩大监测必须把合法科研受阻作为一等指标。

同口径实验支持“跨会话有增益”，但尚未支持“跨供应商可识别”

公开方案必须按检测单元对齐。

• NVIDIA Nemotron 3.5 Content Safety 读取一次文字、图片和回答；
• AgentDoG 1.5 读取单个 Agent 的连续工具轨迹；
• Magnet 把同一用户跨会话获得的具体能力汇总；
• BioFirewall 则在基因编辑计划进入合成前审查设计及多次调用。

它们分别覆盖内容、执行、主体和生物设计环节。

这组比较把中心判断限定得更准确：账户长期行为的增益在通用安全任务上已有受控证据，在生物设计的多次调用上也有早期结果，但两条证据都不能替 Anthropic 的现实五案给出准确率。OpenAI 对高能力生物模型也采用身份、机构、研究用途和内部治理核验，说明同行目前同样把可信访问作为内容分类器之外的一层控制，而非宣称分类器可以判断研究意图。

跨模型调用链则连同口径实验都没有。

• Anthropic 在第一案看到了中继代码，并把情报分享给相关实验室；
• Frontier Model Forum 也建立了自愿共享机制，但公开规则没有表明各供应商会共享原始提示、稳定身份映射或完整路由。

隐私、数据主权和误关联会让这条链天然不完整。

下一步应验证项目级召回，而不是继续统计封号数量

可执行的评测单位应是“研究项目”，而不是单条提示。

评测集需要同时包含合法疫苗研究、病原体监测、模糊双用途项目和明确危险任务，再依次测试单次提示、单会话轨迹、同平台账户序列与跨供应商最小信号共享。

• 四项结果必须同时公布：固定合法科研误报率下的危险项目召回率；
• 首次告警提前了多少次请求或多少天；
• 降级、封号与人工复核分别阻断了多少正当研究；
• 移除地区标签、既有黑名单和跨平台身份信息后，增益还剩多少。

未来 3—6 个月最值得观察的是 EFS 上线后的实测数据，以及供应商是否提出不交换原始科研内容的路由来源证明。如果 Anthropic 只公布新告警或封号数量，账户级方案仍只能算调查能力；若它在相同误报率下提高项目召回、缩短告警时间，且客户侧人工复核量可承受，才足以升级为可验证的安全能力。跨模型调用链还需证明供应商之间能够可靠关联同一任务，同时不把敏感科研数据和错误身份扩散到更多机构。