AI能写无人机控制代码后，安全边界不能只守提示词
内容提要
Anthropic评测显示，AI能快速关联身份、定位照片并迭代无人机代码，但可靠性不足。风险在于它压缩了从零散证据到可行动结果的整条工作链。治理应像金融风控，按身份、权限、行为轨迹和结果复核分层管控，而非只过滤提示词。
延伸解读
能力与可靠性可以同时成立
Anthropic评测显示，模型能在约11分钟内处理人工需2.5小时的材料，并在仿真中迭代无人机代码，但低对比、伪装、诱饵等条件下会迅速失效。这意味着危险不来自模型“无所不能”，而来自它把零散证据到可行动结果的链路压缩了。读者应同时关注能力扩散和失败边界，不能因评测数字就外推为实战结论。
隐私风险从单条信息转向碎片拼接
研究中至少一个模型把135名用户稳定定位到评估住所1公里内，多数线索来自用户自己暴露的校园、街道、场馆等。对普通人来说，隐私保护不应只问“有没有发精确位置”，而要问多个公开线索能否被拼接。定期检查照片背景、固定路线、学校或单位名称、实时活动信息，是更实际的防护动作。
工具型AI需要分层权限而非只过滤内容
文章指出，如果模型可搜索外网、读取客户数据并执行代码，单次回答的内容过滤不足以覆盖整条工作流。开发团队应把个人数据查询、批量画像、地理定位和代码执行拆成独立权限，并记录输入来源、工具调用、导出规模和人工审批人。治理思路更接近金融风控，按身份、权限、行为轨迹和结果复核分层管控。
评测结论有明确适用边界
研究由模型提供方完成，模型选择、提示、仿真器和评分都可能影响排序；合成社交语料不等于真实平台，授权照片集存在分布偏差，仿真无人机更不是现实战场。因此，这些数字适合讨论能力与防护设计，不宜包装成实战结论，也不宜按国别简单外推到开放权重模型。
Q&A
Anthropic的评测具体测试了AI哪些能力？
Anthropic在9月10日发布的评测覆盖三类任务：用合成社交媒体记录关联身份、用授权且去除元数据的照片推测位置，以及在仿真环境中迭代无人机的导航与控制代码。
AI在身份关联任务中的表现如何？
身份关联部分包含两个虚构世界的200项任务，一份中位样本约3.7万词，人工阅读约需2.5小时，Mythos Preview平均约11分钟完成分析。六个模型中，至少一个模型把135名用户（语料中的8%）稳定定位到评估住所1公里内，其中多数是用户自己暴露了校园、街道、场馆等线索，另有一部分来自方言、公交、地方赛事等碎片组合。
AI在无人机控制代码迭代上的表现如何？
无人机部分完全在仿真器中进行。最难的低对比场景里只有Opus 5出现8%的命中；跨九种末端引导设置，Opus 5为540次发射中的20%，其他模型更低。仿真结果不能证明现实武器性能，但足以提示软件迭代门槛正在下降。
为什么说AI的危险来自一条被压缩的工作链？
模型并非凭空获得秘密，而是把检索、线索抽取、实体关联、假设排序、代码修改和试验反馈串起来。过去每一步需要不同专家和大量时间，现在同一代理可以反复执行。真正被压缩的是“从零散证据到可行动结果”的整条链路。
普通人和开发者应如何应对AI带来的隐私风险？
普通人应把隐私从“有没有发精确位置”升级为“多个公开线索能否被拼接”，定期检查照片背景、固定路线、学校或单位名称、实时活动信息。开发团队则应为高风险工具建立分层权限：搜索公开资料、访问个人数据、执行仿真、导出结果不能默认打包授权。
文章提出的治理思路是什么？
治理应像金融风控，按身份、权限、行为轨迹和结果复核分层管控，而非只过滤提示词。具体包括：把个人数据查询、批量画像、地理定位和代码执行拆成独立权限；对高风险工作流记录输入来源、工具调用、导出规模和人工审批人；用速率、账户历史、机构身份与异常组合行为做风险判断；在企业社交媒体培训中加入“跨平台碎片拼接”演练；红队测试既测模型会不会拒绝，也测它是否能绕过工具边界完成同一目标。
