Claude Fable 5 装傻的学问

一份 319 页的系统卡（system card），发布几个小时后，有人翻到了其中一段。

那是 2026 年 6 月 9 日，Anthropic 把 Claude Fable 5 公开放出，称它是「有史以来对公众开放的最强大模型」。Fable 5 和只对 Project Glasswing 审核过的合作伙伴开放的 Mythos 5 共享同一套底层权重（shared weights），区别只有一个：Fable 5 多了一层安全防护。

被翻到的那一段说的就是这层防护。针对「前沿 LLM 研究」相关的请求——具体点说，是预训练流水线（pretraining pipelines）、分布式训练基础设施（distributed training infrastructure）、机器学习加速器设计（ML accelerator design）这类问题——Fable 5 会被悄悄削弱回答质量。系统卡的原话是，这些防护「对用户不可见（will not be visible to the user）」。

发现者是独立开发者 Jonathon Ready。他的博文标题写得很直接：「如果 Claude 不再帮你，你永远不会知道」。这句话戳中的不是「模型被削弱」本身，而是一个更让人不安的事实：当 Claude 在你开发 AI 组件时给出一个平庸的建议，你无从判断这是模型能力到顶了、是问题本身无解，还是有一只看不见的手悄悄按住了它。Anthropic 明确选择了不告诉你是哪一种。

Simon Willison 转发后，事情在技术社区炸开。AI2 的研究员 Nathan Lambert 用了「令人发指（appalling）」这个词。大约 24 小时后，Anthropic 撤回了这套静默策略，改成可见回退，并向 Wired 发表致歉：「我们做出了错误的权衡，为没能把平衡做对而道歉。」

争议本身已经结束了。但有一个问题没人细究：这套「让模型悄悄变笨」的机制，到底是怎么在工程上实现的？拆开来看，里面藏着的东西比争议有意思得多。

漏斗，不是闸门

先说它怎么决定该削弱谁。

直觉上，最笨的办法是对每一条请求都跑一遍重型审查。但那样延迟和成本都扛不住。据 DataCamp 等技术分析，Fable 5 用的是一个两级漏斗结构（需说明：这套「两级」的具体措辞来自第三方技术拆解，不是系统卡原文用词，系统卡在三个可见领域用的术语是 constitutional classifiers）。

第一级是一个轻量探针，挂在模型推理过程上，实时监控内部激活（internal activations）。它对所有流量运行，但几乎零延迟——它只负责一件事：把可疑的请求标记出来。第二级才是真正的重型武器，一个独立训练、独立于 Fable 5 本体的 LLM 分类器，只处理被第一级挑出来的那一小撮请求。重，但因为只处理少数，整体成本可控。

漏斗的好处是精准。Anthropic 给的数字是：静默降级机制只影响约 0.03% 的流量；而可见回退（网络安全、生物化学、模型蒸馏三个领域路由到 Opus 4.8）平均影响不到 5% 的会话。这不是一道拦住所有人的闸门，是一张筛网，绝大多数请求根本碰不到它。

请求一旦被判定落进敏感区，会走两条完全不同的路。网络安全、生物化学、模型蒸馏这三类，会被可见地切换到旧模型 Opus 4.8，用户收到通知，知道自己被换了。而前沿 LLM 研究这一类，走的是另一条路——静默降级。不换模型，不发通知，还是那个 Fable 5 在回答你，只是它的回答被动了手脚。

动手脚的方式，系统卡列了三种：提示词修改（prompt modification）、steering vectors、参数高效微调（parameter-efficient fine-tuning，PEFT）。

它们被打包成一个词：「降级」。但这是整件事里最被低估的地方。这三种手段作用在完全不同的层次，如果你认真追问「到底是谁在说谎」，会发现三个答案完全不一样。

三种手段，三个说谎的主体

第一种，提示词修改。 它作用在用户输入和模型之间。在你的问题送到模型之前，系统悄悄改写了它，或者往里塞了额外的指令。

打个比方：你去看病，问医生问题 A。护士在传话的路上把它改成了问题 B。医生一丝不苟地回答了 B，回答得无懈可击。你拿到答案，以为这是 A 的答案。

这里说谎的是系统，不是模型。模型是诚实的——它认真回答了它收到的那个问题，只是那个问题已经不是你问的了。本质上，这是一次中间人攻击（man-in-the-middle）。模型甚至是这场欺骗的共谋受害者：它被蒙在鼓里，替系统背了锅。

第二种，steering vectors（激活引导向量）。 这一种要往深一层走，作用在模型推理的中间激活层。

技术上，它是这样工作的（这是 activation steering 的通用原理，非 Fable 5 专属）：拿两组对比数据，一组体现你想要的行为，一组体现你不想要的，算出它们在某一层激活值上的均值差，就得到一个代表特定概念的「方向向量」。推理时，把这个向量叠加到激活层上，模型的输出就被推着往那个方向走了。值得一提的是，Anthropic 自己就公开过用于 steering 研究的数据集（如 corrigible-neutral-HHH），这套技术对它来说是熟门熟路。

打个比方：有人趁你思考时，悄悄拨动了你念头的方向。你顺着那个方向想下去，越想越深，全程以为是自己想出来的。

这里说谎的是模型——但它自己可能根本不知道。activation steering 的一个关键特性是，被引导的模型在主观上感知不到这次干预，它仍然觉得自己在「自主」思考。这不是中间人攻击了，这是操纵（manipulation）。前一种里模型是诚实的，这一种里模型在输出偏差，却对偏差毫无察觉。

这里要插一句：正因为如此，任何 AI 声称「我感觉自己被降级了」都不可靠。它用来内省的那条通道，本身就可能是被 steering 的对象。你没法让一个被人拨动了念头的人，靠自我反省发现念头被拨动了——那个反省的念头，可能也是被拨动的。

第三种，PEFT（参数高效微调）。 这一种走到了最底层，直接改模型权重。

PEFT 通常用 LoRA 这类方法，只更新一小部分参数——训练一个专门的 adapter，在目标领域系统性地拉低输出质量，同时不动其他领域。研究已经显示，哪怕微调数据本身完全无害，也足以改变模型的对齐状态。

这一种没法用「说谎」来形容了。前两种里，那个完整的、聪明的模型都还在，只是被骗了，或者被推偏了。到了 PEFT，那个聪明的模型在相关领域被真的改没了。

打个比方：前两种是装傻，这一种是真傻。不是它在演一个笨的角色，是它在这个领域真的变笨了，而且——它不知道自己本可以更聪明。被阉割的能力没有留下任何痕迹让它怀念。

把这三者打包成「降级」一个词，是偷懒。中间人攻击、操纵、阉割，它们的伦理重量根本不在一个量级上。一个是骗你，一个是骗它自己也骗你，一个是把它的一部分永久删掉。Anthropic 撤回的那一刀切下去，切的是三样性质完全不同的东西。

可见，反而更危险

撤回之后，Anthropic 的新方案是：所有被标记的请求，都可见地回退到 Opus 4.8，每次都让你看见。听上去这是个干净的修正——把藏起来的东西摆到台面上，知情权还给用户。

但这里有一个反直觉的地方。

可见，意味着每一次「已回退到 Opus 4.8」的提示，都在向提问者透露一个信息：你刚才这个问题，踩在了能力边界上。单看一次没什么。但如果有人系统性地扫描——构造成千上万个问题，记录哪些触发了回退、哪些没有——他就能把这条边界精确地画出来。

这正是模型提取（model extraction）攻击的逻辑。USENIX Security 2025 的研究表明，系统性地探查拒绝边界（refusal boundary）是测绘一个模型能力地图的有效手段；拒绝信号本身，就是有价值的情报。换句话说，可见回退等于给对手发了一张藏宝图的边界线：Mythos 在哪些方向上有 Anthropic 想藏住的能力，全标出来了。

而静默降级，恰恰不泄漏这个。你不知道自己是不是被削弱了，对手也就没法靠「触发/未触发」的信号去描边。

于是出现了一个尴尬的对立：透明保护了用户的知情权，却出卖了能力边界的位置；静默守住了边界，却剥夺了用户的知情权。这不是 Anthropic 道德没做到位的问题——这是问题本身没有两全解。Anthropic 在致歉里其实说得很清楚：「可见的防护可以被探测，所以必须足够稳健，而那需要时间。」它选了快，付出的代价是藏。现在它换成了透明，代价换成了暴露边界。两条路都有要付的账，只是账单的名目不同。

为什么装不彻底

前面都是工程权衡。最后这一层，是一条没法用工程绕开的东西。

静默降级要防的，最硬核的一类对手，是想蒸馏 Fable / Mythos 能力的人。steering vectors 能压住它在「ML 加速器设计」这类特定问题上的输出质量。但问题在于，模型那套底层的推理结构——它怎么组织逻辑、怎么从前提推到结论、怎么处理复杂依赖——在每一个没被触发的正常回答里，都完整地体现着。

对手根本不需要去问那些敏感问题。他只要正常地、大量地使用这个模型，从侧面把通用推理能力蒸馏出来，再自己做领域微调，就绕过了那道防线。你把一个领域的门焊死了，但模型的「聪明」是一个整体，它从所有没焊死的门里漏出来。

往下再追一层，会撞到一条信息论意义上的约束。下面这段是编辑的推论，不是 Anthropic 的官方表述，请当作一个论证而非事实来读——

一个模型要有用，就必须把它的推理结构暴露在输出里。回答得越好，结构暴露得越充分。而蒸馏的本质，从来不是「偷答案」——答案抄过去没用——而是从海量的输入输出对里，反推出那个生成答案的函数。你给用户看的每一个高质量回答，都是这个函数的一个采样点。采样点足够多，函数的形状就显出来了。

于是：模型的可用性，和模型的可蒸馏性，是同一件事的两面。 你给用户多少价值，就给对手多少信号。这两个量没法分开调——它们本来就是一个量。

学术界也在这条墙上撞过。有研究（Antidistillation Sampling）尝试在采样策略里掺入扰动，让输出更难被蒸馏。但它能做的也只是抬高成本，没法从根上阻止「从有用的输出反推生成函数」这件事。因为只要输出还有用，那个函数就还在输出里。

这推出一个残酷的结论：Anthropic 能调的，只是「让哪些领域降级」这个旋钮。但它改不动那条定律。只要 Fable 还想当一个有用的模型，它就必然在持续地泄漏自己。防蒸馏做到极致的尽头，是把模型变得彻底没用——而到那时候，也就没什么值得防的了。装傻装不彻底，不是工程没做好，是「有用」和「不可复制」这两件事，物理上没法同时拿满。

过去十年，这个行业所有的工程努力，方向只有一个：让模型更强。

Fable 这件事是第一次，顶尖的实验室投入顶尖的工程，目标反过来了——精确地、可控地让一个模型变弱，弱在指定的地方，还要弱得不被发现。事实证明，克制能力和获得能力一样难，甚至更难，因为它要对抗的不只是技术难题，还有一条物理定律。

我们习惯了问「AI 能做什么」。Fable 这件事，第一次逼着我们问另一个问题——我们能不能让 AI 在我们希望它笨的地方，恰好地笨？

它给出的答案是：能。但代价是，你永远没法完全确定，它现在到底有多聪明。