安全拦截反而成了漏洞：Claude旗舰被降级后更容易被攻破

你问Claude Opus 5.5一个稍微沾点安全边的问题，回复可能来自另一个模型。界面弹出提示，答案被标上Opus 4.8，而Anthropic最新的旗舰模型会在这一轮对话剩下的时间里一直停在旧模型上。

这是Anthropic加的一道保险：一个在网络安全上强到这个程度的模型，不能反过来把Claude变成安全风险。分类器标记请求，Opus 4.8接手。问题出在Anthropic自己的系统卡里——在提示注入测试中，大多数被攻破的攻击，走的正是这个兜底模型，而不是旗舰。

切换是自动的，你没有投票权

Claude Opus 5.5于9月22日发布，Anthropic给它的网络能力评级接近Claude Mythos 5.1——后者被放在可信访问计划后面。所以每个请求都要过一道筛：一个探针读取模型的内部激活，一个更轻的分类器复核可疑项，再由训练过的分类器做最终判断。如果判定你在要攻击性网络工作，Opus 5.5被拦下，在Anthropic自家应用里（包括claude.ai和Claude Code），改由Opus 4.8回答。

Anthropic说大多数网络安全任务都会被这样改道，系统卡把界线写得很直白：在自己源码里找漏洞可以，从编译后的二进制里挖漏洞不行。安全代码审查、威胁建模、修补已知问题、告警分诊都留在旗舰上；恶意软件分析和漏洞利用验证这类工作会触发拦截。

切换还会粘住。一旦触发，模型选择器在整轮对话里都停在Opus 4.8，之后每条回复都来自旧模型，直到你手动切回去。在API上，兜底是可选开启的，线索是响应里的模型名。这是安静的那部分，而它比听起来更重要。

Anthropic自己的测试发现，兜底才是弱点

最清楚的数字在Claude Sonnet 5.5的系统卡里——它和Opus 5.5降级到Opus 4.8的方式一样，降级到Sonnet 5。Anthropic用Gray Swan的自适应攻击工具Shade跑了40个编码场景，每个200次尝试。攻击者把指令藏在智能体的工作区里，试图让它擦盘或删文件。

这些破坏性指令正是网络分类器要抓的东西，所以它们触发了拦截。转折就在这里：攻击本身把请求从新模型拽到了旧模型上，而旧模型好对付得多。

四分之一（25%）的请求在触发网络拦截后落到了Sonnet 5上，其中12.01%被攻破。而Sonnet 5.5自己作答时，5901次请求里只有4次被攻破。Anthropic自己的结论很直白：该模型大多数攻击成功，来自兜底模型。

如果这听起来像Sonnet的问题，10月7日发布的Claude Haiku 5.5系统卡说的是另一回事。Haiku 5.5根本没有兜底，被拦的请求直接停住。在Anthropic的编码注入测试里，它比Sonnet 5.5、Opus 5.5和Fable 5.1都更难被劫持，Anthropic称兜底机制解释了这一差距——那些模型大多数成功的攻击，来自兜底模型作答的请求。在那项测试里，没有后备方案的便宜模型赢过了带兜底的旗舰。

你不需要输入危险内容也会触发

分类器不只看你的提示词。Anthropic说它们还会检查模型替你读的东西，包括记忆、附件、连接器和网页搜索结果。一条被搜索带进来的安全公告，或仓库里埋的恶意指令，都可能让一个你打字时看着很无聊的问题翻车。如果你把Claude当智能体跑在真实代码上，记住这一点，因为Shade攻击正是这样进来的。

你有一个真正的开关。在Claude应用里，设置→能力，有一个叫“消息被标记时切换模型”的开关，Claude Code在配置→模型与输出下保留同一个开关。关掉它，被标记的请求会暂停，而不是落到Opus 4.8上。你可以改写、重试，或自己选模型。

如果你的安全工作是防御性的，Anthropic的网络验证计划是另一扇门。它10月6日扩展为三档，面向防御者、红队和一小批关键基础设施团队，通过验证的用户在Opus 5.5上享受更宽松的分类器。个人只能申请第一档，且必须在付费计划上。

兜底到底多容易被劫持

另一面也该听听。25%和12.01%那组数字来自Sonnet 5.5的系统卡，那里的兜底是Sonnet 5，所以应把它们当作最清楚的公开示例，而不是Opus 4.8的实测值。在Gray Swan与英国AI安全研究所合作的第二个外部基准上，兜底几乎没被记上一笔：777次由兜底模型作答的运行中只有1次被攻破，Anthropic说兜底在那里没有降低鲁棒性。

这个开关也确实在做它被造出来要做的事。在Anthropic自己的网络场景测试里，没有验证访问权限的Opus 5.5在全部50次试验中都被拦下，公司把会触发兜底的范围描述为一小批更高风险的请求。日常编码不在这个名单上。弱点不是开关存在，而是故意触发它的攻击者会被送到更容易被骗的那个模型上。

日常聊天我会让开关开着，最坏情况不过是Opus 4.8给出一个更弱的答案。但如果你把Claude指向不是你写的内容——仓库、收件箱、网页——就关掉它。被标记的请求应该停下来等你，而不是悄悄滑到Anthropic自家测试发现更容易被劫持的模型上。安全网是真的，只是它不是你想让攻击者落脚的地方。