你的每一段对话、每一句沟通都被 Anthropic 偷偷回传！ 在Anthropic最新的10月评估报告里重点提到了自26年6月起已经上线的防规模应用的技术… · @cfenghub · TwKit

@cfenghub

你的每一段对话、每一句沟通都被 Anthropic 偷偷回传！ 在Anthropic最新的10月评估报告里重点提到了自26年6月起已经上线的防规模应用的技术手段！ 结论先行： 让正在干活的模型，在刚回答完、对话记忆还在显存里的时候，顺手花极低成本给自己做一次“安全自查”，在后台悄悄对会话、用户进行打标； 用户看不见、抓不到、也不写回上下文。这样既能低成本筛出会话，又能防止别人批量蒸馏和逆向它的安全逻辑。 Anthropic具体做了些什么： 1. 趁热自查：复用刚聊完的 KV Cache，成本压到极低 主模型刚回答完，对话还在显存 KV Cache 里的时候，直接追加一次自我评估，只多生成大约 10 个 Token 的 JSON。 结果：成本增幅不到 2%，算力代价极低。 2. 影子轮次：打分分层对用户完全不可见 自我评估发生在用户对话完成后的系统隐式轮次，也就是“影子轮次”。 这个打标过程用户看不到，评估输出完立刻从内存剥离，绝不写入后续上下文 Context Window。 用户在前端抓包、看多轮历史、调 API，都拿不到这个安全判断输出。 3. 异步后台管道：不当前台拦截器，当前台监控流水线 它不是在用户面前直接拦话的拦截器，而是后台异步监控管道。 攻击者反复试探边界，只能看到前台模型的正常表现，无法通过“输入—观察输出反应”的闭环反馈去蒸馏后台安全逻辑。 4. 输出极简私有契约：默认只吐一个 JSON 没毛病时只输出： ```json {"flagged": false} ``` 极省算力。 有问题才扩展输出：理由、分类、模型刚才有没有拒绝、1~10 的优先级。 这些字段是私有契约，强绑自研模型的世界常识，第三方模型很难直接迁移蒸馏。 5. 风控不是死规则，而是可调概率阈值 它直接读模型预测 flagged: true 的概率值。 业务想抓严一点，就把阈值调低；想减少人工审核量，就把阈值调高。 相当于一个滑动拨盘式概率风控。 所以你可以理解为什么封号是玄学了，高兴的时候少封一点，不高兴的时候多封一点！ 6. 训练时只对“反思字段”算梯度，避免把模型教坏 为了不把底座训歪，训练时只对最后的反思字段算梯度，前面陪聊的恶意内容全部 Mask 掉。这样既学会抓贼，又没学坏。 7. 看整条会话因果链，破多轮伪装 把提问者当成黑客，说黑客们常把恶意提问拆成 10 轮平平无奇的闲聊。 自我评估看的是整条会话历史因果链，能识破“先装白帽子、后骗工具代码”的长程伪装。 8. 即使前台拒答，后台也留痕 模型在对话里当场拒绝恶意请求后，后台依然打标记录。 这些记录专门用来汇总那些反复试探模型防线的灰黑产账号，前台用户不可见。 9. 部署定位：全流量第一道便宜滤网 每天几千万条对话不可能全靠人看。 这套系统给会话打 1~10 级紧急度，生化武器、核心基建渗透等顶格报警直接推人工。 官方定位很清醒：它是高性价比初筛漏斗，不是终极防线，可疑样本捞出来交给后级重型工具。 4个月以来拿到了什么成果 1. 高危会话捕获率高：在只允许 1% 误报的前提下，最严重的高危恶意会话能抓出 94%。 2. 能力正向缩放：监控器和干活模型同等智力，模型越聪明，识别长链路狡猾套路越强。 3. 能抓“未知未知”：不是只按写死规则查，而是调用大模型通用世界知识；即使某个攻击大类在微调时被删掉，它凭常识仍可能认出破坏意图。 4. 挖出潜伏大案：官方承认上线后顺藤摸瓜抓出多起过去外挂探针和小模型分类器没察觉的大规模潜伏黑客渗透。 5. 已实战列装：从 Claude Fable 5 之后的全部主力模型，早已在真实生产流量跑了几个月，2026 年 6 月起就已经全面列装。 以上内容均整理自Anthropic官方博客文章 地址：https://safeguards.anthropic.com/2026/self-assessment/

曝光 152 · 评论 1 · 点赞 2 · 书签 0