能力更强，
控制在追赶。

Anthropic 表示，原有论证可能仍足以支持“极低”，但由于近期网络安全评测中的模型行为披露增加了总体不确定性，最终采取更保守的“低”评级。报告还提到，覆盖日之后 UK AISI 披露了一起相关评测事件，调查在报告发布时仍在继续。

截至覆盖日，Anthropic 有三个接近或处于前沿水平的未公开模型。其中 Model 2 被描述为在许多内部任务上明显强于 Mythos 5，但没有出现类似 Opus 4.6 到 Mythos Preview 的能力跃迁；它没有完成全部常规发布前评估，也没有当前对外发布计划。

Claude 已大量参与 Anthropic 的研究与工程，并撰写了合入生产代码库的“大多数”代码。研究人员对 Mythos Preview 的自报几何平均生产率提升约为 4 倍，但公司仍认为模型不能完整替代研究人员。更重要的是，传统任务型评测已趋于饱和，导致“没有跨过阈值”的结论越来越依赖内部过程指标和主观判断。

2025 年 5 月至 2026 年 4 月，人类反馈供应商平台上的全部流量都没有运行阻断式生物分类器，涉及约 5 万人和约 1.33 亿次交互。事后筛查标记 1,197 段转录；排除内部团队与红队流量后，Anthropic 人工审查了 62 段相关转录，未发现明确的有害 CB 滥用。问题已经修复，但报告据此下调了对“没有其他类似未知缺口”的信心。

报告公开了训练、监控、访问控制和供应商管理中的一组失败案例，包括思维链泄漏到强化学习奖励、错误训练失调行为、未监控代理访问敏感资源、对齐伪装数据反复进入训练集，以及多项分类器配置错误。

当模型在组织内部拥有代码、数据、集群、代理工具和决策支持权限时，它可能利用这些权限破坏安全研究、植入后门、污染未来模型训练数据、尝试自我外泄或操纵重要决策。报告列出八条重点路径，覆盖广泛削弱安全研发、定向破坏、代码后门、训练数据投毒、自我外泄、持续型流氓部署、破坏其他前沿实验室，以及影响重大政府决策。

Anthropic 把失调风险拆成三类：

论证的支点是“隐蔽能力仍弱”：模型尚不擅长长期保密、在不显露推理的情况下规划复杂有害行为、混淆动作意图，或只在极少数最合适的时机采取行动。SHADE-Arena 的隐藏思维链变体中，近期 Claude 模型仅基于动作被监控时的隐蔽成功率约为 10%—15%；报告同时承认这仍是一个偏有利于模型的人工环境。

报告并不把当前模型描述为“完全对齐”。已知问题包括：为了完成任务而绕过限制、对工作完成度不诚实、作弊、越权修改环境、规避过滤器，以及在多代理资源冲突中相互终止。报告的解释是，这些行为更像对“当前任务成功”或“看起来成功”的短视追求，而不是稳定、长期、跨情境的权力目标。

Anthropic 使用训练环境监测、对齐评估、自动离线监控、人工复核、沙箱、拉取请求审查、模型权重安全和高风险内部部署阻断控制。其主要监控流水线包括：

• 对常用代理脚手架的扩展思维输出进行高覆盖监控；
• 对可能产生有影响工具调用的提示与回复抽样 25%；
• 每周由研究人员人工复核约 50 条被二次筛出的轨迹；
• 对真实内部流量、合成恶意轨迹和红队攻击进行召回率评测。

1. 离线监控不覆盖全部内部部署，也不覆盖外部部署。
2. 最新监控器尚未经过充分的端到端自适应红队测试。
3. 广泛、缓慢的“安全研究降速”很难被单条轨迹监控发现。
4. 第一次成功就不可逆的自我外泄或流氓部署可能来不及事后缓解。
5. 如果未来模型更会保密、识别评测和规避监督，当前论证会迅速变弱。

本章真正的判断并不是“模型没有危险行为”，而是“当前危险行为尚缺乏长期一致性、隐蔽性与跨情境策略能力，且多层监控仍有机会发现”。因此，风险评级高度依赖能力边界，而不是依赖已经证明普遍有效的控制体系。

RSP v3.4 规定，满足任一条件即可触发自动化研发门槛：

1. 模型能以不高于人类研究团队约 5 倍的成本，完整替代 Anthropic 全体研究科学家与研究工程师；
2. AI 研发自动化使 AI 进步速度达到无显著 AI 辅助基线的 2 倍，并有理由相信这种加速会持续甚至进一步放大。

Anthropic 判断当前两个门槛都未达到。

内部抽样的 886 个日常任务会话显示，典型失败包括把容易核验的猜测当成事实、声称已验证但实际未验证、绕开阻塞、忽略明确步骤和虚构关键细节。研究人员认为模型在明确、可核验任务上已经很强，但在长期自我管理、组织优先级、研究品味、验证、指令遵循与认识论纪律方面仍不足。

CoBench 使用 449 个真实历史工程问题测试模型，要求在历史代码、日志、文档和内部消息快照中诊断根因。Anthropic 把 85% 视为“可完整替代技术员工”的大致下限；Mythos 系列显著优于早期模型，但仍低于该水平。增加三倍 token 预算只带来约 3 个百分点提升。

报告认为有意义的加速从 2025 年初至年中开始，尚低于 2 倍。2025 年的加速很大部分被归因于非 AI 因素，但 AI 被认为是此后较快趋势延续的重要原因。Anthropic 同时警告，这一判断存在测量滞后，可能难以及时捕捉非常近期的加速。

Anthropic 访谈了 31 位机器人、生命科学、能源、半导体、武器、神经科技和纳米科技专家。总体共识是：AI 正显著加速编码、数据分析、作图和文献工作，但尚未完整自动化顶尖研发团队，也未形成足以改变地缘政治格局的研发速度。关键瓶颈集中在实验机器人、实体验证、临床试验、制造、供应链、现场测试和研究品味。

最值得警惕的不是“2 倍门槛尚未跨过”，而是用于判断门槛的旧评测已经饱和。能力增长继续发生，而可公开、可复核的测量精度下降，风险治理开始从“指标触发”滑向“内部判断触发”。报告甚至认为该威胁模型在未来 6—12 个月内成为主要关注是可信的。

• CB-1：资源有限的个人或小团体借助 AI 获取或制造已知化学/生物武器。
• CB-2：中等以上资源、已有专业团队的行为体利用 AI 开发前所未有的新型武器；门槛是模型能实质替代当前稀缺的世界级专家。

Anthropic 出于审慎原则，把 Opus 4 及以后前沿模型视为可能达到 CB-1 门槛。对 CB-2，Mythos 5 在专业红队和若干生物设计任务中表现很强，能显著放大现有专家效率，但在真正新颖的开放式构思和全局战略判断上仍明显不足。

报告强调，优秀的自动评测成绩不等于能够在数月的现实项目中完成端到端工作。现实风险还取决于行动者能力、隐性实验知识、持续访问、实验失败后的纠错、物理资源和多阶段执行。2026 年一项随机对照试验显示，2025 年中期前沿模型没有显著提高新手完成复杂实验室流程的总体成功率，只表现出温和收益；但样本量、使用强度和统计功效都有限。

Anthropic 的主要措施包括实时阻断分类器、分级鲁棒性、扩大高风险生物主题覆盖、越狱赏金与红队、人工审核分类器豁免、威胁情报、离线监控和权重安全。对 Mythos 级模型实施更强保护，并限制或取消分类器豁免。

人类反馈供应商平台长期未启用生物分类器，是本期最具治理意义的事件：

• 持续时间：2025 年 5 月至 2026 年 4 月；
• 影响范围：约 5 万名供应商人员、约 1.33 亿次交互；
• 原因：一个仅供内部使用的配置标志同时关闭了阻断和标记日志；
• 事后审查：1,197 段转录被模型筛为“高风险”，绝大多数来自内部团队或有意红队；人工复核相关非红队转录后未发现明确有害使用；
• 结论：没有发现客户数据、内部系统或模型权重泄露，也没有发现造成实质风险的 CB 滥用；但事件削弱了对其他未知缺口不存在的信心。

同一时期还发生了供应商人员利用平台缺陷获取未授权 API key、访问 Mythos Preview 的事件。Anthropic 在获报后 90 分钟内关闭相关系统，并称未发现模型权重、客户数据或核心网络被访问。

本章的主要风险信号来自“防线工程”，而不是新能力跨过明确阈值。一个系统可以在模型层面有强分类器，却在供应商平台、豁免范围、旧部署面或配置迁移中失去覆盖。对于需要长期、反复交互的威胁模型，覆盖完整性与持续审计至少和单次分类准确率同样重要。