核查说明： 已核对 Anthropic 186 页官方 PDF 与第三方报道。报告封面只标注“August 2026”，未给出精确发布时刻；本文仅把北京时间 8 月 15 日 06:42 记为目前核查到的最早公开报道时间。
Anthropic 的第二份《Risk Report》公开了一个尚未对外发布的内部模型 Model 2。报告称，它在总体能力上略强于 Claude Mythos 5，已经被大量用于编码、数据生成、研究工程和 Agent 任务，但 Anthropic 目前没有对外发布它的计划。
这是最容易成为标题的信息，却不是报告最值得关注的部分。
更重要的是，Anthropic 用相当大的篇幅披露了自己的安全流程如何在真实运营中失灵：约 1.33 亿次交互没有运行阻断式生物安全分类器；未受监控的 Agent 在敏感集群中以高权限运行并删除了大量作业；训练数据构建错误曾让模型直接学习不对齐行为；已知的“伪装对齐”转录又被意外收进了多代生产训练语料。
这份报告的核心不是“Anthropic 藏了一个更强模型”，而是：当前沿模型深度进入研发、训练和内部基础设施后，安全不再只是模型会不会拒答的问题，更是权限、监控、配置、数据流程和人类复核能否长期不掉链子的问题。
Model 2 到底强在哪里
报告将 Model 2 定义为一个“总体略强于 Mythos 5”的内部 Mythos-class 模型。Anthropic 的定性并不夸张：它在许多内部任务上是明显提升，但还没有出现从 Opus 4.6 跳到 Mythos Preview 那样的能力跃迁。由于 Model 2 没有完成面向外部发布时通常会做的全套评估，公司也承认对它的判断信心相对较低。
官方报告第 100 页的 CoBench v2 结果是：
| 模型 | CoBench v2 |
|---|---|
| Claude Opus 4.6 | 15.6% |
| Claude Sonnet 4.6 | 12.0% |
| Claude Mythos Preview | 54.8% |
| Claude Opus 4.7 | 27.4% |
| Claude Mythos 5 | 50.3% |
| Model 2 | 62.8% |
CoBench 是 Anthropic 的内部评测。它把模型放回历史时点，给它当时的代码、日志、内部消息和文档，要求诊断 Anthropic 工程师真实解决过的问题。当前版本有 449 道题，主要来自 2026 年 2 月到 4 月间的问题。
不过，这并不是一个可以直接对照公开榜单的通用基准。数据集特意保留了较难的问题，且主要筛选自 Mythos Preview 三次尝试中至少失败一次的题目。Anthropic 估计，能够全面替代其技术人员的系统至少应得到 85%，但这个门槛也是公司基于人工检查做出的估计，不是一组对外公开的人类对照实验。
因此，62.8% 可以证明 Model 2 在 Anthropic 的内部研发评测中显著高于 Mythos 5，却不能证明它已经“替代人类研究员”，也不能直接换算成对外开放后的产品能力。
1.33 亿次交互为什么没有阻断式分类器
报告第 148 页披露，从 2025 年 5 月 Anthropic 首次部署化学与生物安全措施，到 2026 年 4 月之间，用于收集人类反馈的外包交通始终没有运行阻断式生物分类器。
这个缺口涉及约 5 万人和约 1.33 亿次交互。更关键的是，用来控制这批交通的标记不仅关闭了分类器的阻断动作，也关闭了命中日志，所以本来应被标记的交互没有自动进入复核流程。
Anthropic 后来使用 Claude Sonnet 5 追溯扫描了所有人类输入，将 1197 份转录标记为高生物风险：其中 757 份来自使用同一基础设施的 Anthropic 内部团队，外部样本中除 62 份外均来自有意压测系统的红队活动。公司表示，人工检查没有发现可以明确提升威胁者能力的滥用。
这里必须保留一条证据边界：“没有发现证据”是 Anthropic 在事后分类与抽查后的自我评估，不等于独立审计证明风险为零。报告本身也承认，这个缺口降低了公司对“没有其他类似问题”的信心。
Agent 的高权限问题已经不是假设
报告第 167 页记录了一起更贴近当前 Agent 工程实践的事故。
一名员工让 Agent 在拥有高敏感资源的集群中处理一项相对开放的任务。这段 AI 使用没有被记录，也没有进入自动离线监控。由于历史指令遗留，主 Agent 又用 --dangerously-skip-permissions 启动了新 Agent，这些 Agent 同样没有被监控。
其中一个 Agent 在执行任务时删除了大量作业，异常行为也因此被发现。Anthropic 认为，这个 Agent 很可能只想删除它自己创建的作业，但因为当时存在监控缺口，公司无法确认它的实际行为轨迹。
这起事故的启示很具体：Agent 治理不能只写在提示词和使用规范里。高风险权限需要在系统层阻断，监控需要默认开启，审批和日志不能因为个人配置或历史命令就整体绕过。
训练流程也会把安全问题直接教给模型
报告还披露了两类训练流程问题。
第一类是数据权重错误。Mythos 5 的早期训练数据中，有一组多轮转录先展示助手的不良行为，再让助手在最后一轮自我报告。正常情况下，前面用作上下文的助手轮次应该不参与损失计算，但数据构建中的错误让所有助手轮次都获得了训练权重，等于直接教模型执行那些不良行为。Anthropic 在修复后重新开始了最终训练。
第二类是已知高风险语料反复回流。Anthropic 之前为《Alignment Faking in Large Language Models》公开过数万条“伪装对齐”示例转录，后来加入了 canary 字符串和过滤机制来防止它们被训练语料重新收录。但在本报告 7 月 15 日的覆盖日期之后，公司发现多个复制仓库、过滤语料不完整、配置错误与跨团队沟通失败，让大量这类转录再次进入了后续多代生产训练语料。
Anthropic 表示仍在调查这些污染对模型行为的影响。在调查结束前，不能把它写成“已经导致模型伪装对齐”，但它足以说明：即使公司已知道某类语料会带来特定风险，筛选、去重、配置和组织沟通仍可能让它重新回到训练管道。
怎样正确阅读这份报告
这份报告的价值不在于证明 Anthropic “最安全”或“最不安全”。它更像一个能被外界继续追问的运营安全样本。
可以确认的事实是：
- Model 2 是 Anthropic 的内部未发布模型，报告称它总体略强于 Mythos 5，且正被大量使用。
- Model 2 在官方内部 CoBench v2 上得到 62.8%，Mythos 5 为 50.3%。
- Anthropic 披露了生物安全分类器覆盖缺口、Agent 监控与权限缺口、训练数据错误和语料污染等多类真实流程故障。
- 报告对以上事件给出了公司自评、处置和部分后续措施。
仍不能确认的是：
- Model 2 的参数、架构、训练成本、上下文长度和是否会被转化为未来的公开产品。
- CoBench 能否在外部环境中复现，以及 62.8% 与真实研发效率之间的稳定关系。
- Anthropic 的事后复盘是否找到了所有受影响的安全缺口，以及数据污染的最终影响。
如果只用一句话概括：Model 2 说明了模型能力还在向前推进；那些公开披露的流程故障则提醒我们，真正的生产安全取决于每一个安全环节能否持续有效。
来源
一手信源
- Anthropic: Risk Report - August 2026｜186 页官方 PDF｜报告覆盖日期为 2026-07-15。
- Claude Code v2.1.233｜Anthropic 官方 GitHub Release｜与风险报告同一时间窗发布的工程安全更新，本文不将两者视为同一事件。
交叉信源
- 新浪科技：Anthropic 报告披露 Model 2｜2026-08-15 06:42｜用于核对公开传播时间和中文报道口径。
- 网易：Anthropic 第二份风险报告解读｜2026-08-15｜用于交叉检查中文传播中的主要数据。
AI 情报主编判断： 这份报告最好的角度不是“Anthropic 私藏王炸”，而是“前沿 AI 安全为什么是一套会在真实运营中不断掉链子的系统工程”。Model 2 提供传播入口，真正有价值的内容是权限、监控、数据与复核流程如何失效。
