在人工智能飞速发展的今天，AI 模型的安全性和潜在风险日益受到重视。Anthropic 公司于 2025 年 5 月 22 日宣布，针对其最新模型 Claude Opus 4 启动 AI 安全等级 3（ASL-3）的部署和安全标准，这一举措标志着 AI 安全领域的一次重要升级。本文将深入解读 Anthropic 的这一决策，探讨 ASL-3 标准的具体内容及其对整个 AI 行业的影响。
背景：Anthropic 的责任扩展策略（RSP）
Anthropic 认为，随着 AI 模型能力的增强，必须采取更严格的部署和安全措施。这种理念是 Anthropic 责任扩展策略（RSP）的核心。RSP 主要包括两个方面：
- 部署措施：主要针对特定类型的滥用行为，特别是防止 AI 模型被用于开发或获取化学、生物、放射性和核武器（CBRN）。
- 安全控制：旨在防止模型权重被盗，因为模型权重是 AI 智能和能力的核心。
Anthropic 的 RSP 包含模型的能力阈值。如果模型达到这些阈值，或者无法确定其是否远低于这些阈值，就需要实施更高等级的 AI 安全标准。此前，Anthropic 的所有模型都是在 AI 安全等级 2（ASL-2）的标准下部署的。ASL-2 的部署措施包括训练模型拒绝危险的 CBRN 相关请求，安全措施包括防御机会主义的权重盗窃企图。ASL-3 标准则要求更高水平的防御，以应对复杂的非国家行为者的攻击。
启动 ASL-3 的原因：审慎的预防措施
Anthropic 承认，尚未完全确定 Claude Opus 4 的能力是否真正需要 ASL-3 标准的保护。但由于 CBRN 相关知识和能力的不断提高，Anthropic 认为无法像以前的模型那样明确排除 ASL-3 风险。因此，Anthropic 决定在发布 Claude Opus 4 时，主动采用 ASL-3 标准。
这种做法与 RSP 保持一致，RSP 允许 Anthropic 在安全方面采取更谨慎的态度，并在高于所需标准的水平下部署模型。Anthropic 将继续评估 Claude Opus 4 的 CBRN 能力。如果确定 Claude Opus 4 没有超过相关的能力阈值，可能会取消或调整 ASL-3 保护。
ASL-3 部署措施：三重防御体系
新的 ASL-3 部署措施主要集中于防止模型协助执行 CBRN 武器相关的任务，特别是防止模型协助完成端到端的 CBRN 工作流程。这包括限制通用越狱，即允许攻击者绕过安全防护并持续提取 CBRN 相关信息的系统性攻击。
Anthropic 开发了一种三管齐下的方法：
- 提高系统越狱难度：实施宪法分类器，这是一种实时分类器防护系统，通过在合成数据上进行训练，可以监控模型的输入和输出，并阻止有害的 CBRN 信息。Anthropic 的测试表明，这种方法可以显著降低越狱的成功率，同时只会给正常运营增加适度的计算开销。
- 检测越狱行为：建立更广泛的监控系统，包括漏洞赏金计划，以测试宪法分类器、离线分类系统和威胁情报伙伴关系，从而快速识别和响应可能导致 CBRN 滥用的通用越狱。
- 不断改进防御：使用合成越狱等方法快速修复越狱漏洞，并使用这些数据来训练新的分类器。
这些措施都需要不断改进，以提高其有效性，并减少对合法查询的潜在影响（即减少误报）。
ASL-3 安全措施：多层次防御体系
Anthropic 的安全控制主要集中于保护模型权重。Anthropic 采取了 100 多种不同的安全控制措施，将预防性控制与检测机制相结合，主要针对来自复杂非国家行为者的威胁，从初始入口点到横向移动再到最终提取。
其中一项特别的控制措施是出口带宽控制。出口带宽控制限制了数据流出安全计算环境（AI 模型权重所在的计算环境）的速度。由于模型的组合权重非常大，因此限制出站网络流量速率可以利用模型权重的大小来创建安全优势。当通过异常带宽使用检测到潜在的模型权重泄露时，安全系统可以阻止可疑流量。随着时间的推移，Anthropic 希望将速率限制降低到即使攻击者已经严重破坏了系统，也很难在被检测到之前泄露模型权重的程度。
实施出口带宽控制是理解和管理数据流出内部系统方式的一个驱动因素，这为 Anthropic 的检测和响应能力带来了好处。
Anthropic 的 AI 安全等级标准详解
为了更全面地理解 Anthropic 此次行动的意义，我们需要深入了解其 AI 安全等级（ASL）标准。ASL 是 Anthropic 制定的一套分级安全措施，旨在根据 AI 模型的潜在风险级别，采取相应的保护措施。ASL 分为多个等级，每个等级对应不同的安全要求和控制措施。以下是 ASL 各个等级的详细说明：
ASL-0：基础安全措施
ASL-0 是最基础的安全等级，适用于风险较低的 AI 模型。此等级的安全措施主要包括：
- 数据安全：确保训练数据的安全存储和访问控制，防止数据泄露或损坏。
- 模型安全：对模型进行基本的安全审计，防止恶意代码注入或篡改。
- 访问控制：限制对模型的访问权限，只允许授权用户使用。
ASL-1：增强安全措施
ASL-1 适用于具有一定风险的 AI 模型。除了 ASL-0 的措施外，此等级还包括：
- 输入验证：对模型输入进行严格的验证，防止恶意输入导致模型崩溃或产生有害输出。
- 输出过滤：对模型输出进行过滤，防止泄露敏感信息或产生不当内容。
- 监控与日志：对模型的使用情况进行监控和日志记录，以便及时发现和处理安全事件。
ASL-2：高级安全措施
ASL-2 适用于风险较高的 AI 模型，例如具有生成能力或可用于敏感领域的模型。此等级的安全措施包括：
- 对抗性训练：通过对抗性训练提高模型的鲁棒性，使其能够抵抗恶意攻击。
- 差分隐私：使用差分隐私技术保护训练数据的隐私，防止模型泄露用户敏感信息。
- 安全审计：进行定期的安全审计，评估模型的安全风险并采取相应的改进措施。
ASL-3：前沿安全措施
ASL-3 适用于具有极高风险的 AI 模型，例如具有潜在危险能力或可能被滥用的模型。此等级的安全措施包括：
- 能力限制：对模型的能力进行限制，防止其被用于执行危险任务。
- 行为监控：对模型的行为进行实时监控，及时发现和阻止恶意行为。
- 多方控制：对模型的关键操作进行多方控制，防止单方面滥用。
- 出口带宽控制：限制数据流出安全计算环境的速度，防止模型权重泄露。
- 宪法分类器：实时监控模型输入和输出，阻止有害信息。
ASL-4：最高安全措施
ASL-4 是最高的安全等级，适用于具有无法接受风险的 AI 模型。此等级的安全措施可能包括：
- 模型销毁：在确定模型存在无法接受的风险时，对其进行永久销毁。
- 严格监管：对模型的使用进行严格监管，确保其不被用于任何有害目的。
Anthropic 的未来展望
Anthropic 强调，关于如何对前沿 AI 模型应用部署和安全措施的问题远未解决。Anthropic 将继续进行反思、迭代和改进。在 ASL-3 标准下运营的实践经验将帮助 Anthropic 发现新的、可能意想不到的问题和机会。
Anthropic 将继续与 AI 行业的其他公司、Claude 用户以及政府和民间团体的合作伙伴合作，以改进其模型保护方法。Anthropic 希望其详细报告能对试图实施类似保护措施的 AI 行业其他公司有所帮助，并帮助大家为更有能力的 AI 的承诺和挑战做好准备。
行业影响与启示
Anthropic 激活 ASL-3 保护措施的举动，对整个 AI 行业具有深远的影响和启示：
- 提高安全意识：Anthropic 的行动提高了整个行业对 AI 安全的重视程度，促使更多公司关注 AI 模型的潜在风险，并采取相应的安全措施。
- 推动标准制定：Anthropic 的 ASL 标准为 AI 安全领域的标准化工作提供了有益的参考，有助于推动行业标准的制定和完善。
- 促进技术创新：为了满足更高的安全要求，AI 公司需要不断进行技术创新，开发更有效的安全防护措施，从而推动 AI 技术的整体发展。
- 加强合作与交流：Anthropic 强调与行业、政府和民间团体的合作，这种开放合作的态度有助于促进 AI 安全领域的知识共享和经验交流，共同应对 AI 带来的挑战。
结论
Anthropic 激活 AI 安全 3 级保护是 AI 安全领域的重要里程碑。虽然目前尚不能完全确定 Claude Opus 4 是否完全需要 ASL-3 级别的保护，但 Anthropic 的这一举措体现了其对 AI 安全的高度重视和责任担当。通过采取更严格的安全措施，Anthropic 不仅可以降低 AI 模型被滥用的风险，还可以为整个行业树立榜样，共同推动 AI 技术的安全、可靠和可持续发展。
随着 AI 技术的不断进步，AI 安全问题将变得越来越重要。我们需要共同努力，加强合作，不断创新，为 AI 的健康发展保驾护航。
