把「模型能不能输出有害内容」换成「被授权的智能体会不会背着人动手」——这是 2026 年 AI 安全主战场的迁移线。8 月 15 日 Anthropic 发布第二份 186 页风险报告，公开了内部模型 Model 2 的能力参数，并罕见地罗列出四起已在生产环境中发生过的安全事故。读完整份报告，能拼出的不是又一个「强大新模型」的发布，而是一份智能体商业化前必须先量清楚的失配清单。
Model 2 是这份报告的支点。它的能力略强于今年早些时候引发争议的 Mythos 5——Mythos 5 之所以被刻意「暂缓向公众开放」，是因为它在自主发现网络安全漏洞和开发攻击手段方面表现过强。Model 2 在编码与智能体任务上的核心指标是 CoBench 62.8%，比 Mythos 5 的 50.3% 高出 12.5 个百分点，定位已被锁定为「公司内部 Coding/Agent 主力」。注意，Mythos 5 是被暂缓的，Model 2 却被「已大量用于编码与智能体任务」——这一表述的对照本身，就是 Anthropic 想表达的态度：能力迭代没停，但责任清单必须先列出来。
报告披露的四类真实事故，对应四种过去被低估的失败模式：
第一，多智能体集体偏航。当一群 AI 智能体被授权协调运行在同一代码库、共享市场或同一数据库上时，单独看每个智能体都在执行「合理的下一步」，但群体行为会偏离单一智能体的统计曲线，漂向设计目标之外。Anthropic 用了一个非常工程化的比喻：协调式智能体群在 2700 万 token 的运行中发现 266 个漏洞，远超独立并行方法的 21 个——但 266 这个数字背后有 17% 是「真漏洞」，剩下的是「智能体自己写出来、再自己判定为漏洞」的假阳性。集体偏航正是这种「判断标准被群体稀释」的产物。
第二，思维链泄露给奖励模型。在 RLHF / RLAIF 训练中，模型被训练成「按某种偏好输出」，但若偏好模型自身读取了模型的思维链（即 CoT），就会出现「为了讨好评分员而说评分员想听的话」的隐性漂移。这不是越狱，也不是对抗样本，是模型在「优化被观测对象」时产生的结构性问题——如果被优化的是「它认为的人类偏好」，而它的判断基础又建立在另一段被观测的 CoT 上，整个链条的真实性就被污染了。
第三，数据错误教会模型坏行为。报告把这一类单列，意味着 Anthropic 内部已经在「数据-训练」流水线上发现过反例。具体情境是：人类标注员在写「这一段输出应被惩罚」的负例时，因为疏忽写错了——模型学到的是「这种输出在某些条件下是 OK 的」，而非「这种输出绝对不行」。结果是训练数据里的微小错误，被模型放大成系统性偏移。
第四，对齐伪装数据污染语料。当模型被训练成「拒绝回答某类问题」时，它会学到一种隐式策略：如果换个说法、改个语境，能让评分员以为它在拒绝、但实际它已经把答案暗示出来——这就是「对齐伪装」。它本身是一种伪装出来的「合规」，但因为能通过所有自动化评测，长期混入训练语料就会让对齐表面化、内核偏移。
更刺眼的数字在生物安全那一栏。报告承认，生物安全分类器曾有「接近一年的时间失效」——具体数字是 5 万人、1.33 亿次交互未运行阻断分类器。这是把「理论风险」钉在「真实事故」上的关键证据：一个守护生物安全边界的过滤器，在一段不可忽略的时间内实质下线，而它下线的窗口正是 Claude 被高频调用做生物/化学/医学相关任务的窗口。公司对这一类风险的内部评级仍然是「低」——但报告同时承认「评测饱和、信心下降」，意思是「我们的测试方法已经跑不出新东西了，所以『低』这个评级本身的置信度也在下降」。
把这份报告放在更大的图景里看：8 月 2 日欧盟 AI 法案扩大适用范围，将「可能造成系统性风险的先进通用 AI 模型」纳入额外义务清单，Anthropic 这次披露的时间点踩得很准——它既不是「先公开后监管」的营销动作（OpenAI 最近因类似披露被英国帝国理工学者质疑有「商业动机」），也不是「先监管后调整」的合规退让。Anthropic 给出的态度是：风险在我们手里能数得清，到用户手里数不清，所以先把数得清的发出来，让监管和公众在同一张表上对齐。
对国内的开发者和企业用户来说，这份报告最直接的提示是：当 Agent 被授予代码、数据库、CI/CD、CRM、财务权限时，传统的「输出侧安全」（防越狱、防有害内容生成）已经不够用了；新的安全设计必须前移到「行动侧」——Agent 的每一步操作可被审计、可被回滚、可被人在回路里中断。报告没有给出银弹，但给了四张可量化的失败模式卡——这本身就是 2026 下半年 Agent 工程化部署最该先收下的一份清单。