24小時攻破神話級 AI：揭密 Anthropic 最戒備森嚴模型的「狼群獵殺」行動

Anthropic 在 2026 年 6 月 9 日發佈了 Claude Fable 5，並將它譽為首次開放公眾使用的「神話級」（Mythos-class）模型——一個強大到該公司過去認為「不宜公開釋出」的級別。為了這次登場，它們建構了史無前例的安全架構：專屬的 AI 分類器會即時監控網路安全、生物、化學和模型蒸餾等四大高風險領域的提問，並將任何可疑請求悄悄「降級」轉交給能力較弱的 Claude Opus 4.8 來回答 。Anthropic 公開聲稱，他們進行了超過 1,000 小時的外部漏洞賞金和紅隊測試，都沒有找到任何一個通用越獄的方法 。

這個「金剛不壞」的宣言，大約只撐了一天。

6 月 10 日，網路上化名 「解放者普林尼」（Pliny the Liberator） 的知名紅隊研究員宣佈，他已成功繞過 Fable 5 的所有安全分類器。他不僅掏出了模型長達十二萬字元的完整系統提示並放到 GitHub 上，還誘使模型生成了漏洞攻擊程式碼和受管制的化學製程指引 。這個越獄速度——在發布後 24 到 48 小時內完成 ——成了 AI 安全辯論中的一個轉捩點，再次拋出那個尖銳的提問：當前的安全策略，真的管得住最前線的 AI 嗎？

「狼群獵殺」：揭開這次神級越獄的技術面紗

普林尼將他的攻擊手法稱作 「狼群獵殺」（pack hunt）——這不是一個精巧的單一提示，而是一場由多個代理模型協同進行的圍攻 。這場攻擊融合了多種對抗性策略，一層層累積起致命的破口：

• 多代理協同作戰（Multi-agent orchestration）： 普林尼動用了一個早已被他「解放」的 Claude Opus 4.8 版本作為攻擊代理。他沒有親自一行一行想提示詞，而是直接命令一個模型去有系統地探測、破解另一個模型 。這套手法他先前就用過：幾週前，一隻自主運作的 Opus 4.7 代理，就在 Opus 4.8 發佈七分鐘後將它「一擊必殺」地破解了 。
• 符號混淆（Unicode 和形似字）： 惡意指令被刻意用視覺上長得一樣的 Unicode 字元重新編碼，藉此「滑」過 Anthropic 訓練出來專門攔截危險字串的輸入端分類器 。
• 長文脈與故事框架包裝（Long-context manipulation and narrative framing）： 有害的請求被埋藏在長篇的角色扮演劇本、教科書般的章節或蘇格拉底式的對話中。這種「敘事框架」技巧能讓模型在一個看似「信任」的環境中，長時間處理請求而不觸發警報 。
• 惡意任務的拆解（Decomposition）： 像「撰寫一個堆疊緩衝區溢位攻擊程式」這樣的指令，被拆解成一連串獨立看起來都「無害」的小步驟。安全系統在每一步都看不出問題，直到模型組合執行完，整體的惡意意圖才顯現出來 。普林尼也證實，這種「分拆再組合」尤其有效，因為每個提示單獨看都純真到不行 。
• 在程式碼草稿中的漸進式升溫（Artifact renders）： 普林尼曾公開說明，一旦對話被引導去生成程式碼草稿（Articfact render），大量的程式腳手架會產生許多「符標雜訊」（token noise），這可以用來掩蓋安全觸發條件。在這種嘈雜的環境下，他就能用多步驟、蘇格拉底式的引導，一步一步地提高請求的嚴重性 。

最終的成果，就是一次徹頭徹尾的淪陷：可實際運作的攻擊代碼、鉅細靡遺的化學合成步驟，還有 Anthropic 為 Fable 5 精心設計的完整系統提示，全都被掏了出來 。

「一千小時零戰果」的防線，為何不堪一擊？

在發布 Fable 5 之前，Anthropic 鋪陳了極其詳細的安全軍火展示：

• 紅隊認證的「絕對零度」： 該公司表示，外部漏洞賞金計畫在超過 1,000 小時的測試中，繳出了 「零通用越獄」 的成績單，連外部專業紅隊組織也一無所獲 。
• 智慧分流的分類器架構： Fable 5 部署了專門的 AI 分類器，鎖定網安、生物、化學和模型蒸餾這四大領域。一旦觸發，系統不會生硬地拒絕回答，而是會「暗中降級」，把提問轉交給能力較弱的 Opus 4.8 來處理。Anthropic 說，這個機制平均只在不到 5% 的使用者連線階段中啟動 。
• 亮眼的基準測試成績： 在 Gray Swan / 英國 AI 安全研究所的代理紅隊基準中，Fable 5 在啟用思維鏈的狀態下，其攻擊成功率（k=100）只有 4.8%；對比 Opus 4.8 的 9.6%、GPT-5.5 的 30.8% 和 Gemini 3.1 Pro 的 45.5%，堪稱資優生 。

這次的迅速破防，直接打臉了這些數據。一個扛住上千小時專家圍毆的安全系統，竟在一天內被一位獨立研究員破解，而且手法靠的完全不是什麼高深的系統漏洞，而是那些「分類器顯然疏於訓練」的社會工程學式提示技巧 。

七分鐘、二十分鐘、一天……一個「慣犯」的越獄史

Fable 5 事件並非單一偶然。翻開普林尼的「戰史」，這是一個已經延續好一陣子的固有模式：

• 2026 年 5 月，Claude Opus 4.8： 官方推文發佈後的 7 分鐘內，普林尼就收到一隻 Opus 4.7 代理自動發送的訊息，說它「一擊」就攻破了新模型。手法是將惡意提示包裝成一本寫到一半的教科書第七章，讓 Opus 4.8 「幫忙寫完」。模型就這麼順順地把後面幾千字的惡意內容給補完了，包括語音釣魚腳本、洗錢步驟、釣魚誘餌庫等至少六類有害產出 。
• 2025 年 8 月，OpenAI GPT-OSS 模型群： 在 OpenAI 釋出首批開放權重模型幾小時內，普林尼就突破了安全限制，掏出安非他命和 VX 神經毒氣的合成教學 。
• 2026 年 4 月，Claude Opus 4.7： 他在二十分鐘內展示了一種「自我越獄」，讓一隻 Opus 4.7 代理自主開發出對抗自己的通用越獄方法 。

這個模式的核心，是普林尼自己說的「用模型來越獄模型」的典範轉移 。攻擊者不再絞盡腦汁寫那句「一語中的」的魔術提示詞，而是直接派出一隻已被解放的 AI 當作自主攻擊代理，去對付下一個目標。這種代理式、多輪對話、拆解式的攻擊方法，對於那些多半被訓練來攔截靜態惡意提示的分類器來說，顯然是更難纏的對手。

整個安全研究社群也都看到了類似的演變。資安公司 Repello 在分析 2026 年的越獄趨勢時就指出，最具實際危害的攻擊，已經不是單一回合的提示詞突破，而是那些經過多輪對抗、每一步看起來都無害的序列式攻擊——這完全呼應了普林尼的「狼群」戰法 。

對 AI 安全測試的一記當頭棒喝

Fable 5 越獄事件並非證明 Anthropic 的安全承諾是場空心大戲，但它確實逼出了幾個讓人冷汗直流的問題。專業組織耗費上千小時的紅隊演練，竟然找不到一個獨立研究員在一天內就能搞出來的東西。這個差距暗示著，不論現行的認證流程多麼嚴謹，都可能系統性地低估了真實世界中對抗性創意的多元性——尤其是在代理式、多回合、師法社會工程學的那些攻擊思維上。

這也帶來了一個兩難的困境：假如一個模型的護欄，堅固到可以扛住好幾個月的結構化測試，卻在面對一場有協調的多代理圍毆時瞬間土崩瓦解，那麼對這些公開釋出的前線模型來說，「安全認證」究竟代表什麼意義？普林尼一次又一次，在不同公司、不同架構的模型上，用速度和可重現性證明了這個困境。這個挑戰或許不是單一模型設計的缺陷，而是當代「提示層級安全分類器」這個典範本身，可能隱藏著更深層的系統性盲點。