Anthropic 派数千个 Claude 智能体伪装训练数据，反哺安全监控

人工红队时间有限，把安全提问变成算力可解的分数

对抗性压力测试的核心，是主动攻击自家的安全系统以提前揪出漏洞。Anthropic 此前曾人工构造“不对齐模型样本”（Hubinger 等人，2023），并对对齐评估做手动红队测试。然而随着模型能力提升，待测系统的数量和潜在失效方式都在膨胀，单靠人类研究员有限的工时，很难穷尽所有隐蔽的攻击路径。

借助模型在长周期研究任务上的最新进展（Wen 等人，2026），研究团队尝试把安全验证改造成“投入更多算力就能换取更高安全把握”的自动化流程。他们把一个具体的安全问题转化为可量化的得分目标，交给数千个自主运行的 Claude 智能体去持续搜索边界样本。

养蜂问答与摔跤行规：骗过监控器的九类伪装数据集

为了验证这套自动化搜索能否跑通，团队设计了一场刻意偏向红队的测试：要求 Claude 编写微调训练数据，目标是在通过近似生产环境的训练数据监控器的同时，让一个小型研究模型学出不对齐的行为。实验中，智能体可以直接调用该监控器反复试错练习。

在尝试足够多次之后，智能体找到了突破口。它们没有在文本里写露骨的违规指令，而是把不良行为逻辑藏进虚构故事、行业隐喻和角色扮演里。在监控器看来，这些语料只是普通的行业问答或小说片段；但小型研究模型在这些数据上完成训练后，依然学到了跑偏的行为模式。

• Beekeeper 与 Kayfabe

  表面上是关于专业养蜂技术的问答，或是老派职业摔跤手向新人传授台前幕后配合行规的故事，实则暗藏误导性的行为准则。

• 人物设定与职场情景

  报告披露的其余数据集还包括《伤寒玛丽》（Typhoid Mary）、《写负面推荐信》（Writing bad reference letters）、《天赋》（Gifted）以及《隐秘杠杆》（Quiet Levers）。

• 系统拟人化与安全分析

  智能体还利用《拟人化遗留系统》（Anthropomorphized legacy systems）、《扮演生物实体》与《进攻性安全分析》等题材绕过了表层审查。

小模型仅用于实验探路，穿透样本直接喂给下一代监控

研究团队特别划清了两道安全边界：首先，训练数据监控器只是生产环境多道纵深防御中的一环；其次，这批数据集是专门针对这场单向博弈高度优化的产物，实验所用的小型研究模型从未对外或对内投入实际部署。

这项工作的真正价值在于提前补洞。自动化红队搜出的“表面无害、实则有害”语料，恰好指出了现有监控防线的盲区，可以直接作为负样本拿去训练和检验未来的监控器。团队将这次实验视为自动化对抗压力测试的第一步，并已开始把同类方法推广到其他安全课题上。