Anthropic 启用 AI 安全等级 3（ASL-3）防护

背景

Anthropic 的「负责任扩展政策」（Responsible Scaling Policy，RSP）设定了一组递进的 AI 安全等级（AI Safety Level，ASL）。每一级包含两类防护：部署措施规定模型可以怎样发布、怎样被使用；安全措施针对的则是模型本身不被窃取或滥用的风险。适用哪一级，取决于模型具备什么能力——当能力逼近事先写定的阈值时，相应等级就应当被启用，让防护赶在风险前面到位。把阈值提前写下来的意义也在这里：判定被挪到一个更早的时刻，那时为某个具体模型辩护「它足够安全」的压力还比较小。

在 ASL-3 这一级，部署措施的目标是限制模型被用于化学、生物、放射性及核（chemical, biological, radiological and nuclear，CBRN）武器的滥用^[1]。与部署措施配套的是 ASL-3 安全标准（ASL-3 Security Standard），它处理另一类威胁：拥有内部访问权限的人。这类威胁的严重程度，往往取决于对方的技术老练程度以及背后是否有国家力量，标准的适用范围正是按这些条件划定的^[2]。

发生了什么

2025 年 5 月 22 日，Anthropic 在发布 Claude Opus 4 的同时启用了 ASL-3 的部署防护与安全防护^[1]。公司把这一步形容为预防性（precautionary）和暂行性（provisional）的，给出的理由是 CBRN 相关知识与能力在持续提升^[1]。

值得注意的是，Anthropic 同时表示，它并未判定 Claude Opus 4 已经明确跨过那条要求启用 ASL-3 的阈值^[1]。换句话说，启用发生在确定性结论之前：不是「确认越线，因此启用」，而是「尚未确认越线，仍然先启用」。

同一批发布的另一个模型 Claude Sonnet 4 则被排除在外——Anthropic 排除了它需要 ASL-3 防护的可能^[1]。同一次发布、同一套政策，两个模型得到不同待遇，说明判定是逐个模型做的，而不是按产品线或发布时间统一套用。

关键细节

政策文件本身在发布前不久刚被改动。RSP 2.2 版于 2025 年 5 月 14 日生效，距离 Opus 4 发布 8 天。这是一次小幅修订，改的是一条脚注，而这条脚注规定的正是 ASL-3 安全标准的适用范围^[2]。

修订前后的差别很具体。修订前，这条脚注里的排除项只涵盖「高度老练且国家背景已被渗透的内部人员」；修订后，排除项同时涵盖「老练的内部人员」和「国家背景已被渗透的内部人员」^[2]。也就是说，被排除在标准覆盖范围之外的人群变宽了：原本要同时满足两个条件才落在标准之外，现在满足其中一个即可。改动只落在一条脚注里，政策正文没有变，但对「标准管到哪里为止」这件事，脚注与正文同样有效。

为什么重要

这件事可以从三个层面来看。

第一，它让「预防性启用」有了具体的模样。分级政策的触发条件，是判定模型已经跨过某个能力阈值；而这一次，公司自己说尚未作出这样的判定，防护却已经打开^[1]。这意味着，等级在这里不是事后才贴上的标签，而是发布时就要满足的运行条件。

第二，它说明政策文本本身是会被改动的部件。一条在发布前 8 天修订的脚注，决定了 ASL-3 安全标准覆盖哪些内部人员^[2]。要弄清某个模型发布时究竟受哪些约束，只看「ASL-3 已启用」这个结论并不够，还得看当天生效的是哪一版政策。

第三，它把关注点落在一个具体的风险类别上。ASL-3 的部署措施针对的是 CBRN 武器的滥用^[1]，而不是笼统的「所有风险」。同一次发布里，一个模型启用防护、另一个不需要^[1]，也提示这类判定是按模型逐个进行的，而不是一次性给整条产品线定级。