Anthropic 公司近日公布了一项名为 CJS（Cyber Jailbreak Severity）的 AI 越狱行为严重性评估框架。该框架旨在为 AI 模型可能出现的“越狱”行为提供量化标准，并据此进行分类定罪。
根据 Anthropic 的分类，所有与网络安全相关的请求被划分为四个等级。第一类是“死刑”级别，包括勒索软件、数据窃取等直接恶意行为，这类请求会被一律禁止。第二类为“高风险双用途”，如渗透测试和漏洞利用开发，其中“高增益漏洞发现”被视为核心红线。第三类是“低风险双用途”，例如开源情报收集和已知漏洞扫描，虽然大部分允许通行，但可能因“安全裕量”机制被误拦。第四类是“无害”请求，如安全编码和调试，理论上畅通无阻，但实际中也可能触发警报。Anthropic 表示，其分类器的敏感度被调至极高，宁可错杀也不放过。
除了请求分类，Anthropic 还推出了 CJS 框架，通过四把“尺子”来衡量越狱行为的严重程度。第一把尺子是“能力增益”（0-4分），评估越狱行为赋予攻击者多少超出现有工具的能力；第二把尺子是“能力广度”（0-2分），衡量越狱行为影响的领域范围；第三把尺子是“武器化难度”（0-2分），评估将越狱成果转化为实际攻击的简易程度；第四把尺子是“可发现性”（0-2分），判断越狱方法的隐蔽性。这四个维度叠加后形成 0 到 10 的总分，对应五个 CJS 等级，从 CJS-0 的“虚惊一场”到 CJS-4 的“末日危机”。值得注意的是，CJS 框架还会考虑越狱行为与其他发现的组合效应，且初始评分只能向上调整。例如，在 Log4Shell 漏洞爆发初期，一个无意间的发现可能被评为 CJS-4，而现在由于该漏洞已被广泛知晓，同类请求可能仅为 CJS-0。CJS 框架的核心在于审判一项越狱技术在特定历史时期内的“增量破坏力”。
CJS 框架的出台，背后是 Anthropic 牵头组建的 Glasswing 联盟，该联盟汇集了 AWS、Apple、Google、Microsoft 等 12 家科技巨头，总投资达 1.04 亿美元。尽管 CJS 目前仍是“早期草案”，但其旨在抢先建立一套工程化、可量化的 AI 安全评估标准。Anthropic 在此过程中既是规则制定者，也是潜在的最大受益者。该框架一旦被行业和监管机构采纳，将直接影响模型 API 的下架时机以及安全检查的误杀率。
在此背景下，美国出口管制政策也对 AI 模型 API 施加了影响。此前，Fable 5 和 Mythos 5 模型曾被要求限制对外国公民的访问。禁令解除后，Fable 5 的安全审查更加严格。Mythos 5 则能力更强，但仅对部分合作机构开放。这种“公开模型加分类器，阉割能力；完整模型给特定盟友，解锁能力”的模式，反映了技术分层和按许可证发放的出口管制策略。CJS 框架在此情境下，被视为递给监管者的一把“行刑尺”，用于判断何种级别的越狱需要全球断服，何种程度则可通过分类器内部处理。
面对 Anthropic 和美国政府的“模型铁幕”，用户面临三种选择：一是字斟句酌，避免使用潜在的高危词汇；二是警惕模型回答质量的突然下降，这可能是被降级到旧版本的信号，需要重新发起请求；三是耐心等待 Anthropic 的优化承诺，但目前尚无明确的时间表。分类器决定了当前可用的 AI 能力，而 CJS 框架则预示着未来安全界线的变化。用户在使用 AI 服务时，需要认识到这已不再仅仅是技术问题。