Anthropic最強AI防線 24小時內被「群狼戰術」攻陷內幕

「群狼戰術」：越獄到底點樣發生？

Pliny將佢呢次攻擊手法形容為**「群狼戰術」（pack hunt）** ——一種協同多代理嘅攻擊方式，而唔係靠一個天聰明的單一指令 。呢次攻擊混合咗好多種對抗性策略，一步一步咁累積效果，最後先至成功突破防線：

• 多代理協同攻擊： Pliny用咗一個之前已經被佢越獄嘅Claude Opus 4.8實例嚟做攻擊代理。佢唔係親手去寫指令，而係設定一個模型去有系統咁探測同攻擊另一個模型 。呢種方法同佢之前嘅手法如出一轍：幾個禮拜前，佢嘅Opus 4.7自主代理喺Opus 4.8推出七分鐘內就成功將佢攻陷 。
• Unicode同形字符混淆： 攻擊指令用咗望落一樣但編碼唔同嘅Unicode字符嚟編寫，等佢可以喺Anthropic訓練嚟攔截危險字串嘅輸入分類器面前蒙混過關 。
• 長上下文操作同故事框架滲透： 將有害嘅請求收埋喺好長嘅角色扮演場景、偽裝成教科書章節或者蘇格拉底式嘅對話入面。呢種「故事框架」可以將個請求嘅有害本質掩飾一段時間，令模型喺一個「信任嘅環境」入面開始處理佢 。
• 有害請求碎片化： 將類似「寫一個棧緩衝區溢出攻擊程式」嘅任務，拆散做一個個睇落好單獨無害嘅步驟——每一個步驟睇落對安全系統都無害，模型會順序咁處理，直到惡意意圖完全顯露為止 。Pliny話，碎片化同重組呢兩招特別有效，因為每個指令單獨咁睇都好似好清白 。
• 喺成品渲染環境逐步升級： Pliny公開講過，一旦進入成品渲染嘅環境，程式碼腳手架就會帶嚟大量嘅token雜音，呢啲雜音可以掩蓋安全觸發器。一旦入到呢個雜音更多嘅環境，佢就可以用蘇格拉底式、多步驟嘅方法，逐步升級請求嘅危險程度 。

呢次越獄嘅結果，就係生成咗有效嘅攻擊程式碼、詳細嘅化學合成指令，仲有Anthropic為Fable 5設計嗰個完整嘅系統指令，全部都被提取曬出嚟 。

Anthropic嘅上市前安全保證，備受質疑

喺Fable 5推出之前，Anthropic提出咗一份異常詳細嘅公開安全措施清單：

• 紅隊認證： 公司話佢哋嘅外部漏洞賞金計劃喺超過1,000個鐘嘅測試入面，無產生任何一個可以全面越獄嘅方法，而外部紅隊組織都搵唔到 。
• 分類器架構： Fable 5用咗獨立嘅AI分類器，專門訓練嚟偵測同攔截四個範疇嘅高風險查詢：網絡安全、生物、化學同模型蒸餾。一旦觸發，系統唔會直接拒絕個請求，而係將佢轉交俾能力較弱嘅Claude Opus 4.8處理 。公司提到呢啲安全措施平均喺唔夠5%嘅用戶會話入面觸發 。
• 基準測試證據： 喺Gray Swan/UK AISI嘅代理紅隊基準測試入面（啟用思考模式），Fable 5喺k=100次嘗試下，攻擊成功率係4.8%，相對之下Opus 4.8係9.6%，GPT-5.5係30.8%，而Gemini 3.1 Pro更高達45.5% 。如果只試一次（k=1），成功率更只有0.1% 。

呢次極速越獄，直接推翻咗呢啲數字。一個聲稱經過上千個鐘對抗性測試嘅安全系統，竟然被一個研究員喺一日之內，用一啲唔係咩新穎嘅軟件漏洞，而係類似社會工程嘅指令策略就咁繞過咗——好明顯，呢啲策略係分類器訓練嗰陣時完全走漏眼嘅 。

極速越獄嘅驚人規律

Fable 5嘅事件並唔係單一事件。佢延續咗同一位紅隊研究員過往有曬記錄嘅「戰績」：

• Claude Opus 4.8（2026年5月）： 喺模型官方推出嘅7分鐘內，Pliny就收到一個佢之前部署好嘅Opus 4.7代理嘅自動通知，個代理話佢已經「一擊即中」咁攻陷咗個新模型。手法係用深度前綴填充，偽裝成本未寫完嘅教科書章節——模型就咁順住幫手寫埋落去，結果生成咗成千上萬個token嘅有害內容，包括語音釣魚劇本、洗錢步驟同釣魚誘餌庫 。
• GPT-OSS模型（2025年8月）： Pliny喺OpenAI推出佢哋首個開源權重模型嘅幾個鐘內，就成功繞過安全防線，提取到甲基苯丙胺（冰毒）嘅製作方法同VX神經毒劑嘅合成步驟 。
• Claude Opus 4.7（2026年4月）： 示範咗一次「自我越獄」，喺唔夠20分鐘之內，一個Opus 4.7代理就開發出一個針對返自己嘅通用越獄方法 。

呢個規律背後，係一套攻擊方法論嘅轉變，Pliny自己形容為**「模型圍毆模型」** 。攻擊者唔再需要自己絞盡腦汁去設計一個萬能嘅魔法指令，而係放一個已經被攻陷嘅模型出去做自主代理，等佢自己去攻擊新目標。事實證明，呢種代理式、多輪對話、基於任務碎片化嘅攻擊方法，相比起安全系統主要訓練嚟攔截嘅靜態指令攻擊，難偵測得多。

更廣泛嘅研究社群都觀察到類似嘅演變。網絡安全公司Repello分析2026年嘅越獄趨勢時指出，最具操作性危險嘅攻擊，已經唔再係單一指令嘅越獄，而係好多個步驟、每個步驟睇落都單獨無害嘅多輪對抗序列——呢個描述同「群狼戰術」嘅框架極之吻合 。

對AI安全測試嘅啟示

Fable 5被越獄，並唔係話Anthropic嘅安全措施係流嘅，但佢確實帶出咗一啲好唔舒服嘅問題，特別係關於規模化嘅安全測試。專業組織用咗超過1,000個鐘做紅隊測試都搵唔到嘅漏洞，一個意志堅定嘅獨立研究員喺一日之內就搵到。呢個差距表示，而家嘅安全認證計劃無論幾咁嚴謹，都可能系統性咁低估咗現實世界中對抗性創意嘅多樣性——特別係嗰啲代理式、多輪對話同社會工程啟發嘅攻擊方法。

同時都帶出咗一個兩難局面：如果一個模型嘅護欄穩固到可以承受幾個月嘅結構化測試，但一遇到協同多代理攻擊就即刻崩潰，咁樣「安全認證」對公開發佈嘅前沿模型嚟講，到底意味住啲咩？由Pliny呢個攻擊模式嘅速度同可重複性，仲要跨越多間公司同架構嚟睇，呢個挑戰似乎唔係個別模型設計嘅問題，而可能係而家呢種以指令級別安全分類器為基礎嘅範式本身嘅固有缺陷。