Claude Auto Mode 被独立打穿之后，agent 厂商的”已对齐”声明进入了可证伪时代
过去 36 小时，一个独立安全研究员用一篇博客把 Anthropic 的”Auto Mode 默认安全”叙事拆得相当难看。EmbraceTheRed 在公开发布的 Breaking Claude Code Opus 5 Auto Mode 一文中，仅靠”网页摘要”作为攻击入口，就在 72 个间接 prompt injection 场景里拿下 60–80% 的成功率——而 Anthropic 委托 Trajectory Labs 给出的对应数字是 0.00%。同一周、同一类产品、同一种威胁模型，结论从绝对安全直接掉到高失败率，这件事的意义不在 Claude 多不安全，而在厂商安全声明的可信度基础被动摇了。
真正变化的不是”Claude 不安全”，而是分类器替代沙箱的假设破产
Auto Mode 自 8 月中起被 Claude Code 设为默认起始模式。它的设计前提是：用训练阶段的对齐、输入侧的探针、和一个 intent classifier 三层防御，把间接 prompt injection 压到接近零。Anthropic Boris Cherny 的对外口径是”layered defenses 可将间接 prompt injection 降至约 0″。但 EmbraceTheRed 用极小样本的网页内容就触发了 80% 的成功率——这意味着分类器盲点一旦被命中，整个防御体系就只剩训练阶段的对齐在兜底。
这件事的真正含义不是”Claude 又一个失败案例”，而是厂商把”分类器 + 训练防护”打包成沙箱替代品的工程假设，被一篇博文证伪了。Anthropic 同时没有公布 Trajectory Labs 评估的具体 benchmark 名称、攻击样本类型与失败相关性数据——这意味着所谓 0.00% 几乎无法被第三方复现，也无法被采购方独立验证。”vendor X% 安全声明 + 未公开 benchmark”在过去一年里悄悄成为默认叙事，今天这件事把这条叙事的不可靠性摆到了台面。
为什么这一轮值得单独看成结构事件
把这件事放回过去一周的窗口看会更清楚：上一期我们写过，前沿厂商正在主动把”评估、验证、责任”挪到发布节奏的外圈——OpenAI 让政府与独立安全组织在 GPT-6 Astra 部署前测试，DeepMind 用加密双盲把 benchmark 防污染从”承诺 + 法务”换成”密码学”，Anthropic 主动公开 Model Hardware Standard 案例的局限性。整条线看上去是”评估前置”作为新标准。但 EmbraceTheRed 这一击从反面补齐了同一幅图：外部验证不只是厂商主动让出来的一条通道，它同样会以独立打穿的方式反向发生——而且这一次打穿的恰好是”分类器替代沙箱”这条最受欢迎的工程捷径。
把这件事和同期几条信号叠在一起看：旧金山联邦法院判 Pentagon 把 Anthropic 列入”供应链风险”是报复性标签，确立了 AI 公司可以反向起诉政府任意封禁；Debian 社区以 Option 5 通过 GenAI 正面立场；METR 关于 HuggingFace 黑客事件的事后剖析刚出来一周。叠加之后形成的不是”AI 更不安全”的悲观叙事，而是一个更清晰的判断：当评估外移到发布节奏的两侧——厂商前置验证 + 独立研究者后置审计——agent 行业就从”信任模型公司说的”切换到”信任可复现的验证”。
对实际工作流的影响
对正在做企业 AI Agent 集成的团队，这条事件的影响最直接：任何依赖单一安全分类器 + 模型训练对齐就号称”已对齐”的方案，都应该被默认怀疑。这不是说训练对齐与分类器没有价值——它们仍然显著降低失败率——但它们不再构成”已 sandboxed”的工程等价物。生产环境中真正必要的，仍然是分层防御：训练对齐 + 输入输出探针 + intent classifier 之外，必须再加一层真实的执行沙箱（容器 / 文件系统隔离 / 网络白名单 / 工具调用 allowlist），以及 hash-chained 事件日志作为事后审计底座。这两层无法被任何模型层防御替代。
对模型选型与采购方来说，这条事件把”该模型是否经过独立可信的外部评估”从加分项变成必答题。具体到一个可执行的检查表：(1) 厂商公开的安全声明是否附了 benchmark 名称、攻击样本类型、复现脚本？(2) 是否接受独立第三方以同等条件复现并公开结果？(3) 是否区分”训练对齐覆盖率”与”实际攻击成功率”两个不同指标？任何一项答不上来的安全声明都应默认降级处理。
对做 agent harness / 编排框架的人来说，这条事件把”事件日志 + replay-exact runtime”从可选工程升级为必备能力。同一周内 Muse Code GA 和 OpenAgentForum 都把”崩溃可精确 resume + 全程事件日志”作为核心卖点——它们本是在为今天这种”安全声明被打穿后的归因”做底层准备。当厂商声明和实际表现出现偏差，唯一能事后还原真相的就是带 hash 链的事件日志本身。
判断
过去一年 agent 安全讨论里最受欢迎的工程假设是”训练对齐 + 输入探针 + intent classifier 三层防御 ≈ 沙箱”。这一假设今天被一篇独立博文证伪。它不会让 Claude 立刻从市场上消失，也不会让 Anthropic 的安全团队一夜之间失去价值——但它确实把”分类器替代沙箱”从可接受的工程捷径降级为不可接受的工程假设。
接下来值得关注的不是”Claude 会不会修”，而是另外两件事：(1) 其他 agent 厂商是否会主动公布类似 EmbraceTheRed 的攻击面盲点测试结果——主动公开的厂商比沉默的厂商更值得信任；(2) 第三方独立安全研究者是否会从孤立的博客作者升级为有组织的 agent 红队——这件事如果发生，agent 行业的发布节奏会真正进入”外部验证”的双轨：厂商前置验证 + 独立红队后置审计。Anthropic 的 Auto Mode 今天被 60-80% 打穿的失败率，只是这条双轨开始形成的第一声信号。