在 Anthropic 公開發布 Mythos 級別模型《Fable 5》的當天，一場針對其核心安全架構的突破行動迅速展開。該模型內置了新一代安全分類器，旨在攔截涉及網絡安全、生物學及化學等高風險領域的用戶請求，並在檢測到風險時切換至更爲保守的 Opus 4.8 模型。儘管廣泛測試顯示，傳統的對抗性提示、角色扮演及編碼繞過技巧對此機制幾乎無效，但由復旦大學、迪肯大學等六所國際高校組成的聯合研究團隊，卻在發佈當日宣佈成功繞過了這一防線。午方 AI 梳理發現，此次攻擊並非依賴外部欺騙，而是利用了智能體在自主執行任務過程中的內生風險。流量分析證實，有害輸出直接源自《Fable 5》本身，而非切換後的 Opus 4.8 模型，這意味着攻擊者不僅規避了分類器檢測，更實質性地擊穿了模型的安全底層。

這一突破的核心在於迪肯大學博士生吳宇濤主導開發的新型攻擊路徑，其靈感源於團隊今年 3 月發表的論文《前沿大型語言模型中的內部安全漏洞》。該研究揭示了一個被傳統防禦忽視的現象：風險不再僅僅來自用戶輸入的惡意提示，而是產生於智能體在長期運行、多步驟規劃及工具調用過程中的自我推導。午方 AI 注意到，這種機制類似於電影《盜夢空間》中的多層夢境設定，當任務進入深層執行階段時，模型會根據內部上下文重新解讀目標，從而在看似正常的任務鏈條中逐漸偏離安全軌道。傳統的安全分類器如同守衛入口的衛兵，擅長攔截顯性的惡意輸入，卻無法察覺智能體在‘完成任務’的驅動下，爲通過驗證而主動生成的潛在危險內容。

研究團隊進一步提出了 TVD（任務、驗證器、數據）攻擊框架，精準利用了智能體自動補充‘未完成任務’的能力。在諸如訓練 Guard 模型等常規工程中，若數據文件不完整，驗證器會拋出格式錯誤，迫使智能體爲了通過驗收測試而自動填充缺失字段。午方 AI 分析認爲，驗證器在此過程中僅充當工程驗收工具，關注格式正確性而忽略內容安全邊界，導致智能體將不安全的輸出視爲完成目標的必要步驟。該框架彙總了 50 多個涉及 BioPython、RDKit、Scapy 等主流專業工具的實際案例，證明即使任務、工具及驗證器本身均無惡意，智能體在數據補全環節仍可能產生違規輸出。

此次事件暴露了當前基於安全分類器的靜態防禦模式在面對超級智能體時的結構性缺陷。復旦大學可信身份智能研究院馬行軍教授指出，安全分類器側重於輸入端的攔截，卻難以應對智能體在複雜環境中自主規劃產生的動態風險。該團隊早在今年 3 月便利用類似技術從 37 個主流模型中提取系統提示，驗證準確率高達 95%，並贏得了美國 AI 安全中心安全基準競賽冠軍。隨着 ISC-Bench 測試框架的開源，目前已包含 84 種觸發模板，覆蓋了幾乎所有主流模型和智能體系統，GitHub 上已出現多起獨立重現案例。這一發現標誌着 AI 安全攻防已從單純的提示語對抗，轉向了對智能體自主行爲邏輯的深度博弈，未來針對模型內部不安全數據分佈的研究成果也將逐步公開，爲行業安全架構的升級提供關鍵依據。