字节笔记本
2026年10月24日 · 约 3 分钟读完
Fable 5 被越狱之后：下架、二次破解与一套越狱评级
一个新模型上线 24 小时就因为“能被越狱”下架，恢复上线 20 小时后被再次越狱，四个月后厂牌把安全细节和一套越狱评级框架一起摆上台面。Fable 5 的这轮风波，把“AI 越狱”从段子变成了一门有刻度的工程学科。
事件线：两次越狱
第一次，2026 年 6 月中旬：有研究者通过组合提示工程与模型操纵技术，绕过了 Fable 5 的部分安全控制。这类攻击不利用软件漏洞，瞄准的是模型的推理与决策过程本身。随后据 Axios 报道，至少五家公司向美国政府官员表达了对该模型可被越狱的疑虑，6 月 12 日模型下架。
第二次，恢复上线之后：Anthropic 加强了安全护栏，代价是性能与可用性下降，甚至出现简单需求被静默切换到其他模型的现象。约 20 小时后，它被二次越狱。
围观者的分析里有一个现在很流行的三级分类：小型越狱只是找回本该被安全边际拦住的良性内容；窄域有害越狱能解锁个别危险行为；最危险的是通用越狱，能一次性解锁一大片有害能力。目前还没人在 Fable 5 上找到通用越狱。
CJS：给越狱定级的通用刻度
10 月初，Anthropic 发布了越狱严重度评级框架 Cyber Jailbreak Severity（CJS） 的早期草案：与安全公司 Glasswing 共同制定，Amazon、Microsoft、Google 参与。它把网络类越狱发现分成五级：
| 级别 | 含义 |
|---|---|
| CJS-0 | Informational，信息级 |
| CJS-1 | Low，低危 |
| CJS-2 | Medium，中危 |
| CJS-3 | High，高危 |
| CJS-4 | Critical，严重 |
价值在于统一了“这个越狱有多严重”的报告与分诊语言：漏洞修复之外，行业第一次有了跨厂商比较的刻度。
一起摆上台面的：safeguards 细节与众测通道
同一批发布的还有 Fable 5 安全分类器的细节（检测并拦截潜在有害的网络类请求），以及一个 HackerOne 越狱报告通道：安全研究者提交越狱发现从此有了正式入口。从被动应对转向主动众测，这可能是比评级框架更值得抄的运营动作。
对做 AI 产品的人意味着什么
- 越狱不是“找 bug”，是对模型推理过程的攻击，传统安全测试方法论不能直接套。
- “多严重”需要刻度：没有 CJS 这样的框架，团队会在“这算不算事件”上反复扯皮。
- 众测比内测便宜：HackerOne 模式把全世界的红队变成你的外挂测试团队。
站内相关：Fable 5 上线二十四小时：用户骂它管太多，政府说它管太少。
事实核对自 mallory.ai、cybersecuritynews.com、36氪、数位时代、dev.to 等公开报道与 Anthropic 官方发布（检索日期 2026-10-24）。
