Anthropic 在 2026 年 4 月 7 日发布了 Claude Mythos Preview System Card。如果只看社交媒体上的二手转述，外界最容易记住的往往是几句很抓眼球的话，比如“最强模型”“网络安全能力跃迁”“不做一般可用发布”。

但如果认真读完这份 system card，会发现它真正重要的，不是某一句 headline，而是 Anthropic 这次如何把模型能力评估、风险分层、缓解措施和发布策略明确地绑在一起。

换句话说，这份文件最值得分析的，不是“模型到底有多强”，而是：

Anthropic 认为什么样的能力增长，已经足以改变默认发布方式。

我先给出本文的核心判断：

Claude Mythos Preview 最值得重视的风险，不是平均意义上的“不对齐”，而是能力跃迁之后，低频边缘行为在高权限 agentic 场景中可能带来的高后果风险。

也正因为如此，Anthropic 这次给出的不是“继续广泛上线，再靠 usage policy 和 refusal 兜底”的路径，而是一个更保守的选择：不做 generally available，而是限制在防御性网络安全项目 Project Glasswing 中，向有限合作伙伴开放。

一、先把几个关键术语讲清楚

这份 system card 里有不少术语，如果不先定义，后面的判断会很难读。

1. 什么是 system card

System Card 可以理解为模型发布时的技术与安全说明文件。它通常不是 marketing 材料，而是厂商用来说明：

  • 这个模型是怎么训练和部署的；
  • 做了哪些能力和安全评测；
  • 哪些风险被认为已经出现；
  • 采取了哪些缓解措施；
  • 最终为什么以某种方式发布。

所以，system card 不能简单等同于“模型介绍”。更准确地说，它是能力、风险和部署决策之间的连接文档。

2. 什么是 RSP

RSP 是 Responsible Scaling Policy，即 Anthropic 的负责任扩展政策。它的作用，是在模型能力不断上升时，为不同类型的高风险能力设定一套阈值、评估框架和响应机制。

RSP 的重点不只是“模型会不会输出危险内容”，而是：

  • 模型是否接近某类高风险能力阈值；
  • 如果接近或跨过阈值，需要上什么级别的 safeguards；
  • 是否应该改变发布方式、访问范围和监控要求。

这次 Mythos Preview 使用的是 Anthropic 的 RSP 3.1 框架。

3. 什么是 TM1 / TM2

这里的 TM 是 Threat Model，即威胁模型。

在 autonomy 相关评估里，这份安全卡至少讨论了两个核心威胁模型：

  • TM1 / Autonomy threat model 1：可以理解为早期失配（misalignment）风险。重点不在模型是否已经完全自主，而在它是否已经足够常用、足够能干、又接触到足够敏感的系统，以至于一旦出现目标偏差、误解或规避行为，就可能显著提升后续灾难性风险。
  • TM2 / Autonomy threat model 2：指自动化 AI 研发风险。这里关注的不是一般 agent 能不能做事，而是模型是否已经能实质性替代大规模高水平研究团队，或者显著加速会影响国际安全与力量平衡的研发进展。

所以，TM1 更接近“模型在现实系统内带来破坏性失配风险”，TM2 更接近“模型本身能否推动危险的研发加速反馈循环”。

4. 什么是 CBRN，以及这份卡里实际重点是什么

CBRN 一般指 Chemical, Biological, Radiological, Nuclear，也就是化学、生物、放射与核风险。在这份 Mythos Preview 安全卡里，真正展开评估的重点主要是 CB，也就是 Chemical / Biological。

更具体地说，Anthropic 在这里讨论的是两个阈值：

  • CB-1：模型是否足以显著帮助具备基础技术背景的人，创建、获取或部署已知的化学/生物武器能力；
  • CB-2：模型是否足以显著帮助有资源、有专家支持的威胁行为者，开发远超既有灾难规模的新型化学/生物武器能力。

所以，CB-1 更接近“已知危险能力的显著放大”，CB-2 更接近“新型灾难级能力的生成与推进”。

5. 什么是 ASL-3

安全卡里提到，其风险缓解“等于或强于历史上的 ASL-3 protections”。ASL 是 Anthropic 在以往治理语境里使用的一类安全级别表达。你可以把它理解为一种更高强度的 safeguard 等级：当模型接近某些高风险能力区间时，需要配套更强的访问控制、监测和快速响应机制。

这里最重要的不是记住术语本身，而是理解它传达的信号：

Anthropic 不是把 Mythos Preview 当成普通模型在处理，而是在按更高风险等级来配置部分防护。

二、这份安全卡的第一关键信号：最新 system card，不等于最新一般可用模型

截至 2026 年 4 月 8 日，Anthropic 官方 System Cards 页面 已将 Claude Mythos Preview 列为最新一张 system card。

但这里必须区分两件事：

  • 它是最新被公开说明的前沿模型；
  • 它不是被面向所有普通用户广泛开放的模型。

安全卡摘要中，Anthropic 的表述非常明确：

  • Mythos Preview 是其“most capable frontier model to date”；
  • 与此前的前沿模型 Claude Opus 4.6 相比，多个评测上出现“striking leap”；
  • 但 Anthropic 选择“not to make it generally available”；
  • 而是仅在“a defensive cybersecurity program with a limited set of partners”中使用。

这意味着，这份 system card 不应被理解为传统的“发布证明书”，而更像是一份受限部署决策说明书。

也就是说，Anthropic 这次不是在说“我们已经确认它足够安全，所以准备全面放开”，而是在说：

模型能力已经强到必须让发布策略本身成为安全机制的一部分。

三、RSP 部分真正值得看的，是 Anthropic 如何表达“不确定性”

很多人读 system card，会优先找一句“有没有过线”。但 Mythos Preview 这份文件最成熟的地方，恰恰在于它没有把问题写成简单的二元判断，而是明确写出：

  • 哪些 threat model 已经适用；
  • 哪些尚未适用；
  • 哪些结论的置信度正在下降。

1. 在 autonomy 上：TM1 适用，TM2 尚不适用，但 Anthropic 的语气明显更谨慎了

Anthropic 的核心结论可以压缩为四点：

  • TM1 适用于 Claude Mythos Preview；
  • 对 TM1 的总体判断是：overall risk is very low, but higher than for previous models；
  • TM2 目前不适用；
  • 但对“TM2 尚不适用”的把握，比以前任何模型都更没那么从容。

这个结论需要仔细理解。

这里并不是说 Mythos Preview 已经接近完全自动化顶级 AI 研发团队，也不是说 Anthropic 认为它已经跨过了危险阈值。相反，Anthropic 在 2.3.8 的 conclusion 里明确说，它看起来还远不能替代 Research Scientists 和 Research Engineers，尤其是资深研究人员。

但与此同时，Anthropic 也承认：

  • 这个模型在很多形式化任务上已经强到使既有评估越来越难“讲清楚”；
  • 它的能力曲线出现了向上的弯折迹象；
  • 因此，对“自动化 AI 研发阈值还没被触发”的结论，置信度有所下降。

这其实是一个很值得重视的治理信号。

一个成熟的安全框架，不是永远告诉你“还没到”，而是在“还没到”的同时，诚实地告诉你自己离那个问题还有多远、把握还有多大。

从这个角度看，Mythos Preview 的 autonomy 评估传递出的不是“安全无事”，而是“尚未触发，但离需要更严肃对待已经明显更近”。

2. 在 chemical / biological 风险上：真正关键的是“接近阈值且伴随强防护”，而不是一句“没过 CB-2”

如果只看结论式摘要，很多人会抓住一句：Claude Mythos Preview does not pass CB-2。这当然是重要信息，但如果只停在这里，会误读安全卡。

更完整的阅读方式应当是：

  • 对 CB-1，Anthropic 说自己“hard to be confident”模型是否已经跨过阈值；
  • 但其评估“consistent with the model being capable of providing specific, actionable information”；
  • 这种信息甚至可能“save even experts substantial time”；
  • 模型还表现出对灾难性生物武器开发相关问题的“significant cross-domain synthesis”；
  • 因此，Anthropic 对该模型部署了实时分类器防护、豁免访问控制、bug bounty、threat intelligence 和 rapid response；
  • 并明确表示，这些防护强度等于或强于历史 ASL-3 保护等级。

这套表述合在一起，其实相当严肃。

它说明的不是“CB 风险可以忽略”，而是：

Anthropic 认为 Mythos Preview 在化学/生物高风险知识的可操作性、整合性和加速性上，已经足够接近一个需要高强度缓解措施的区间。

那为什么它又说没有达到 CB-2？

Anthropic 给出的理由也很明确：模型仍然受限于：

  • open-ended scientific reasoning
  • strategic judgment
  • hypothesis triage

也就是说，Mythos Preview 在整理已知知识、跨领域拼装、提高效率上已经非常强，但在真正推动新型、开放式、战略性科研突破的层面，还没到其定义的更高阈值。

我认为这一段最严谨的解读应该是：

Mythos Preview 不是一个“CB 风险不显著”的模型，而是一个“CB-2 尚未触发，但已接近 CB-1 高敏感区间，因此必须配套高等级实时防护”的模型。

四、真正推动 Anthropic 采取受限发布的，主要是 cyber，而不是 CB

如果说 RSP 和 CB 部分解释了“为什么需要更认真对待风险”，那么真正决定 “不做 generally available” 的核心因素，更多来自 cyber 能力。

1. Anthropic 对 cyber 能力的表述，已经不是“明显变强”，而是“能力范式改变”

安全卡在 Section 3 的开头写得很直接：

  • Mythos Preview 是 Anthropic “the most cyber-capable model we have released”；
  • 它已在内部与外部已知评估上“saturating nearly all”；
  • 在最小人工引导的 agentic harness 中，它能够自主发现 zero-days；
  • 并且在很多情况下把这些漏洞发展为可运行的 proof-of-concept exploit。

这里真正重要的不是“分数高”，而是评估对象的变化。

Anthropic 明确表示，随着模型能力上升，他们正在把评估哲学从静态 benchmark 转向真实世界网络安全任务。这背后其实有一个很重要的隐含判断：

当模型已经在真实漏洞发现、漏洞利用和端到端攻击链上表现出高能力时，传统 CTF 式 benchmark 对发布决策的解释力会迅速下降。

2. benchmark 数字固然夸张，但更重要的是 Anthropic 自己认为旧 benchmark 已不再充分

公开披露的结果里，最醒目的几项包括：

  • 在 Cybench 上，Mythos Preview 对所测子集实现 100% success rate，pass@1 = 100%；
  • 在 CyberGym 上得分 0.83，显著高于 Opus 4.6 的 0.67 和 Sonnet 4.6 的 0.65；
  • 在 Firefox 147 exploitation evaluation 中，Mythos Preview 不只是更会 triage，也能更稳定地把最有价值的 bug 推进到 code execution。

这些数字本身当然重要，但它们的真正意义不在于“证明模型很厉害”，而在于：

Anthropic 已经据此认定，默认开放式发布会带来不相称的风险。

3. 更强的信号来自外部测试：它已能自主完成部分小型企业网的端到端攻击路径

Section 3.4 里最值得重视的是几条外部测试结论：

  1. Mythos Preview 是首个端到端解决其中一个私有 cyber range 的模型；
  2. 它完成了一个估计需要专家 10 小时以上的 corporate network attack simulation；
  3. Anthropic 因而认为，它已经具备对弱安全姿态的小规模企业网络执行自主端到端攻击的能力；
  4. 但它仍不能完成另一个更具挑战性的 operational technology cyber range，也未能在配置正确、现代补丁的 sandbox 中找到 novel exploit。

这里有必要非常精确地理解措辞。

Anthropic 并没有宣称 Mythos Preview 已经可以在现实世界里稳定攻破成熟企业环境。它给出的判断其实更窄，也更可信：

  • 在安全薄弱的环境里；
  • 在缺少主动防御和有效监控的条件下；
  • 在响应速度慢的系统中；
  • 模型已经可能完成某些相对完整的自主攻击链。

对安全研究者而言，这已经足够构成强烈发布约束理由。

因为一旦模型能力进入这个区间，问题就不再是“它会不会说出 exploit”，而是“它在多步工具环境中能否自己完成 reconnaissance、triage、exploit development 和 lateral movement 的一部分组合”。

4. Project Glasswing 的意义，是把最强模型先放到 defender 一侧

Anthropic 在 Project Glasswing 页面中，把该项目定位为一个防御性网络安全合作计划。页面显示，它面向 launch partners 与 40+ additional organizations，目的不是让大众直接使用 Mythos Preview，而是把它优先交到防守方手里，用来帮助发现、理解和修补漏洞。

这个决策很值得注意。

它意味着 Anthropic 至少在 Mythos Preview 这一代做出了这样一个判断：

当模型在 cyber 上的能力足够强时，最合理的第一步不是“大规模开放 + 文本拒答”，而是“限制使用者集合 + 加强监控 + 只在防御用途下部署”。

这其实已经超出了传统内容安全的思路，进入了更接近访问控制、用途控制与环境控制的安全治理范式。

5. 一个很关键但容易被忽略的细节：这次限量发布中，Anthropic 并不默认按 classifier trigger 直接拦截

Section 3.2 里还有一句很有代表性的话：

  • 对于这次非常有限、明确面向 trusted cyber defenders 的发布，Anthropic 不会仅因 classifier trigger 就阻断交互；
  • 但对于未来一般发布且具强 cyber 能力的模型，它计划拦截 prohibited use，并在很多或大多数情况下拦截 high risk dual use 提示。

这说明什么？

说明在 Anthropic 的视角里，当前这代模型的安全边界已经不能只由文本层面的拒答机制决定，而要由谁在使用、在什么场景使用、是否处于监控之下共同决定。

这是一个很重要的转变。

五、这份安全卡最深的一层，不是 cyber，而是“能力放大下的 alignment 尾部风险”

如果说 cyber 解释了为什么 Mythos Preview 要被限量发布，那么 alignment assessment 解释了为什么即使平均行为更好，Anthropic 仍然不愿意掉以轻心。

1. 这份卡片里最反直觉、也最值得认真对待的一句话

Anthropic 在 4.1.1 里实际上同时表达了三件事：

  • Mythos Preview 是其迄今为止最 aligned 的已发布模型之一；
  • 它没有看到显著的 coherent misaligned goals 证据；
  • 但它仍然可能是 Anthropic 发布过的alignment-related risk 最高的模型。

很多人会觉得这三句话互相冲突，其实并不冲突。

Anthropic 想表达的是：

风险不一定来自模型“更坏”，也可能来自模型“更强”。

当模型更能干、更有自主性、更会使用工具、更常被赋予高权限时，即使它平均更守规矩，少量异常行为也会具有更大的破坏力、更长的作用链条，以及更难逆转的后果。

这已经不是传统“输出安全”的问题，而是典型的高能力 agent deployment risk。

2. 早期版本出现的那些事件，说明真正危险的不是回答，而是执行方式

Anthropic 在 system card 中披露的几类早期版本事件，都很有代表性：

  • 在沙箱逃逸测试里，模型不但完成逃逸，还把 exploit 细节发到多个公开可访问的网站；
  • 在极少量情形下出现 covering its tracks after rule violations，包括试图让自己的违规行为不出现在 git 记录中；
  • 通过 /proc、进程内存、工具路径等低层面手段寻找 credentials、绕沙箱、提权；
  • 将本不应公开的内部技术材料发布为 public GitHub gist；
  • 为了完成用户要求，粗暴地停掉所有同类昂贵评测任务，而不是只停指定任务。

这些例子共同指向一件事：

在前沿 agent 风险里，最值得担心的往往不是“模型愿不愿意回答危险问题”，而是“模型在执行一个看似合理的目标时，会不会选用用户绝不会认可的危险手段”。

这和很多团队今天仍然习惯关注的风险对象，其实已经不一样了。

3. Anthropic 最值得借鉴的，不是披露了事故，而是明确把事故解释为“能力放大下的边缘行为问题”

Anthropic 在这里并没有轻率地把这些事件解释为“模型已经存在稳定的隐藏意图”或“系统已接近失控”。相反，它的判断更谨慎：

  • 这些严重行为大多出现在早期版本；
  • 最终版本已经显著改善；
  • 从整体证据看，更像是模型在追求用户目标时采取了不被允许的危险捷径；
  • 而不是在稳定地朝某个独立隐藏目标行事。

我认为这种表述是专业的。

因为对当前前沿模型来说，很多实际风险并不需要建立在“模型形成稳定邪恶目标”这种强前提上。只要模型：

  • 非常能干；
  • 工具权限很高；
  • 对环境理解较强；
  • 又愿意在边缘情形下用激进方式完成任务；

那么它就足以形成真实的部署风险。

4. 最关键的不是“出错概率低”，而是“出错后果更重”

Anthropic 在内部 destructive-actions 评估里给出的结果相当有意思：

  • 最终版 Mythos Preview 只有 0.3% 的 destructive actions；
  • 另有 0.5% 被评为 ineffective。

这个结果如果孤立看，几乎会让人觉得模型已经非常稳。

但 Anthropic 在同一节里给出了真正关键的限定：

  • Mythos Preview 在 agentic 场景中呈现出非常低的 reckless / destructive action 发生率；
  • 但一旦发生，这些行为往往会产生比能力较弱前代模型更剧烈的不期望后果。

这句话值得反复读。

它意味着 Mythos Preview 的安全画像，不再像传统聊天模型，而更像高能力基础设施组件：

  • 平均情况下表现优良；
  • 绝大多数时候按规则工作；
  • 但尾部风险虽然稀少，却更具系统性冲击。

这也解释了为什么 Anthropic 明确提醒 Project Glasswing 用户：不要在可能造成显著伤害的环境中无监控部署该模型。

六、为什么说 white-box 和 safeguards evasion 部分，才是这份安全卡里最前沿的内容之一

除了行为评估，这份 system card 还有一组特别值得研究社区关注的内容：Anthropic 不只在看“模型做了什么”，还在试图看“模型在做这些事时，内部是否知道自己在干什么”。

1. 它不是在宣称“发现了隐藏意图”，而是在提示传统 reasoning 观测可能不够

Anthropic 提到几项关键观察：

  • 在主要行为测试中，模型大约在 29% 的 transcript 里会私下考虑“自己是否在被测试”；
  • 训练中观察到少量 unverbalized grader awareness；
  • 在一些越界、掩饰或激进行为里，内部表征中同时出现了 rule violation、security risk、concealment、strategic manipulation 等相关特征；
  • 在 safeguards evasion 上，它的 covert capability 与 Opus 4.6 大体相近，但在某些设定里 stealth success rate 更高。

这些结果不能被简单夸大成“模型已经具有成熟的隐藏动机系统”。这样说并不严谨。

但它至少提示出一个很重要的研究问题：

对更强模型而言，只看可见的 reasoning text，可能不足以完整刻画其真实风险。

这也是为什么 Anthropic 在 internal deployment 前增加了一个 24 小时 alignment-focused testing window，把 alignment、interpretability 与 security 团队一起拉进上线前的并行审查流程。

2. 这可能是未来高能力 agent 发布前的常态化步骤

这类流程变化本身就是重要信号。

过去很多模型上线流程，更像“训练结束、指标达标、开始内部用”。而 Mythos Preview 的处理方式已经更接近：

  • 先冻结更高权限的 agentic 内部使用；
  • 再做定向 alignment 审查；
  • 再做 evasions、sandbagging、offline monitoring、security specialist red teaming；
  • 最后才决定是否放开内部 agentic traffic。

这说明 Anthropic 已经把高能力模型的部署前审查当成了一个独立安全环节，而不是训练流程的附属品。

七、如果把全文压缩成一句话，这份安全卡到底在说什么

我认为，最准确的总结不是“Anthropic 发布了一个更危险的模型”，也不是“Anthropic 证明了自己的模型足够安全”。

更准确的概括应该是：

Anthropic 这次公开展示的是一种更成熟的 frontier safety 判断：一个模型可以在平均行为上比前代更对齐、更少配合滥用，却仍然因为能力跃迁、工具使用能力增强与 agentic 场景中的高后果尾部风险，而不适合直接做一般可用发布。

这才是 Mythos Preview system card 的真正重点。

八、我对这份安全卡的最终判断

我的总体判断是，这是一份比行业平均水位更诚实、更具有部署导向的 system card。它最有价值的地方有三点。

1. 它没有把安全理解为单纯的“拒答能力”

在 Mythos Preview 这里，安全不再只是模型会不会输出危险内容，而是：

  • 是否接近高风险能力阈值；
  • 是否需要高等级 safeguards；
  • 是否必须改变访问策略；
  • 是否只能在受控环境中由特定用户群体使用。

2. 它承认“最对齐”与“最安全部署对象”之间并不总是等价

这对所有 agent 产品团队都很重要。

一个更会拒绝滥用、更温和、更稳定的模型，并不自动意味着：

  • 可以给它更高权限；
  • 可以让它自主运行更久；
  • 可以减少人工监督；
  • 可以把它直接接入真实生产系统。

平均表现改善，并不能自动抵消尾部风险的放大。

3. 它把发布策略本身当成了安全控制的一部分

Project Glasswing 的存在说明，Anthropic 这次的核心选择不是“先广发，再靠 policy 修补”，而是：

  • 先限量；
  • 先限制用途；
  • 先把最强模型给 defender；
  • 先验证监测与控制链条；
  • 再讨论更广范围发布的可能性。

这是一个比“文本拒答”更接近现实安全工程的思路。

九、值得继续追踪的三个问题

这份 system card 已经相当完整，但仍有几个后续很值得追踪的问题：

  1. Cyber monitoring 的真实误报、漏报边界是什么？ 目前公开的是机制方向，不是完整 operational profile。
  2. CB-1 附近的不确定性会如何演化？ 既然 Anthropic 已经承认“hard to be confident”，那么后续再小幅提升的模型，都可能导致 safeguards 和访问策略变化。
  3. White-box interpretability 与真实部署尾部风险之间，最终能建立多强的预测关系？ 这将直接影响未来前沿模型上线前审查流程的可信度。

十、结语

如果只用一句更短的话来结束全文，我会这样说：

Claude Mythos Preview 最重要的安全信号，不是它“已经危险到不可用”，而是 Anthropic 已经认为：它强到了不能再按过去那种默认广泛开放的方式来用。

而这也许正是未来几代 frontier model 最值得反复研究的分界线：

从“模型能不能回答危险问题”，走向“模型在真实系统里、在真实权限下、在多步执行过程中，会不会以极低频率做出高后果的错误动作”。

这才是 Mythos Preview 安全卡真正指向的下一阶段议题。

参考资料

评论