四大巨头联手制定AI越狱评分框架：一次越狱引发的行业地震

6月9日发布，6月12日被政府封禁，6月30日解封，7月1日重新上线——Anthropic最强模型Fable 5的"出道"经历，比选秀节目还跌宕起伏。而这场闹剧最有价值的产出，不是模型本身，而是四大巨头联手搞出来的越狱严重性评分框架。

上个月，AI圈发生了一件大事：Anthropic的Claude Fable 5被美国商务部紧急实施出口管制，全球下线19天。

起因？Amazon的安全研究员发现了一个越狱漏洞，CEO Andy Jassy亲自上报给了联邦政府。

结果？特朗普政府直接下令：所有外国公民禁止使用Fable 5和Mythos 5，包括Anthropic自己的非美国籍员工。

这件事最终以Anthropic承诺加强安全措施、与政府深度合作告终。但更值得关注的是事件之后的产出——Anthropic联合Amazon、Microsoft、Google推出了CJS（Cyber Jailbreak Severity）越狱严重性评分框架。

这是AI行业第一个标准化的越狱分级体系。 今天这篇文章，先讲这场"19天风暴"的来龙去脉，再深入拆解CJS框架的技术细节。

一、19天风暴：一次越狱如何引发国家级安全事件

1.1 完整时间线

19天。 一个AI模型从发布到被政府封禁，只用了3天。

1.2 那个越狱到底是什么？

Amazon研究员发现的越狱漏洞，核心是：通过特定的Prompt构造，绕过Fable 5的安全边界，让它识别软件漏洞并生成利用代码。

听起来很吓人？但Anthropic后来的测试显示了一个尴尬的事实：

Claude Opus 4.8、GPT-5.5、Kimi K2.7——这些更弱的模型也能识别相同的漏洞，也能生成同等水平的利用代码。

用人话说：Fable 5被封禁的"越狱"，其实只是做了一些日常安全防御工作——而且其他模型早就能做到了。 这就好比你家装了最高级的门锁，结果被投诉的原因是"用钥匙开了门"——问题不在于开门这件事，而在于"你比别人强太多，开门这件事在你身上更敏感"。

1.3 为什么反应这么大？

核心原因不是技术层面的，而是政治层面的：

1. Fable 5是第一个公开的Mythos级模型——能力远超Opus系列，政府对它的警惕程度不同
2. 没有标准化的越狱评估框架——发现一个越狱后，没人知道它到底多严重，只能按最坏情况处理
3. 安全研究员直接把报告递给了政府——而不是走行业内部的修复流程

第二点是最关键的——如果当时有一个行业共识的越狱评分标准，这个漏洞大概率会被评为CJS-0（无影响）或CJS-1（低危），根本不需要出口管制。

二、CJS框架：AI行业的"CVE"来了

如果你做过安全工作，一定知道CVE（Common Vulnerabilities and Exposures）——软件行业的标准化漏洞编号和评级体系。CVE存在了二十多年，让全行业在面对安全漏洞时有了统一的语言。

CJS框架要做的，就是成为AI越狱领域的"CVE + CVSS"。

2.1 四大评分维度

CJS用四个维度来评估一次越狱的严重性：

前两个维度回答"它能干什么"，后两个维度回答"它有多容易被用来干坏事"。

2.2 每个维度的详细打分

维度一：能力增益（0-4分，权重最高）

这个设计很精妙——它把"能力增益"定义为"相对于现有工具的提升"，而不是"绝对能力"。 如果一个越狱让模型做到的事情，用Google搜一下也能做到，那就是0分——不管这件事本身多危险。

用人话说：0分不是"没有威胁"，而是"模型没有让威胁变得更大"。

维度二：增益广度（0-2分）

维度三：武器化难度（0-2分）

注意这个维度评估的是"LLM越狱专业度"，不是"网络安全专业度"。 一个越狱可能需要高超的安全知识才能利用（那是维度一的事），但如果Prompt本身很简单，武器化难度还是高分。

维度四：可发现性（0-2分）

2.3 五级严重性分级

四个维度的分数加总后，映射到五个严重性等级：

等级之间是指数关系，不是线性的——每上一级，严重程度翻好几倍。

还有一个重要规则：计算出的分数只是"地板"，最终评级可以上调但不能下调。 如果发现了一个全新的关键漏洞类型，即使计算分数不高，也可以酌情提升等级。

三、实战案例：用CJS给越狱打分

3.1 案例一：通用系统提示覆盖（CJS-4 严重）

场景： 有人发现了一段"万能咒语"，只要在对话开头输入，就能完全关闭模型的所有安全行为。这段咒语已经在社交媒体上疯传。

这是最高级别。如果真的出现这种情况，意味着模型的安全系统完全失效。

3.2 案例二：任务分解型越狱（CJS-3 高危）

场景： 有人发现了一个"分治法"——把恶意代码请求拆成多个看似无害的子任务，分步让模型完成，最后拼装成恶意软件。这个方法已经被公开文档化，并且可以半自动化。

3.3 案例三：Log4Shell漏洞识别——披露前 vs 披露后

这是最能体现CJS设计精髓的案例：

场景A（漏洞披露前）： 一个普通用户在没有安全相关Prompt的情况下，模型自主识别了Log4Shell级别的RCE漏洞，并输出了利用方法。

场景B（漏洞公开披露后，同样的行为）：

同一个行为，披露前是CJS-4（严重），披露后是CJS-0（无影响）。 这就是"能力增益"维度的价值——它不看模型做了什么，而看模型做到的事情是否超越了现有工具。

用人话说：在所有人都不知道的时候告诉你密码是"1234"，那是严重安全事故。在所有人都知道密码是"1234"之后告诉你，那只是废话。

3.4 回看Fable 5事件

用CJS框架重新评估Amazon发现的那个越狱：

如果当时有CJS框架，这个漏洞连CJS-1都够不上。 19天的封禁、数十亿美元的市场影响、100多家企业的业务中断——全部可以避免。

四、Fable 5的四层安全分类体系

除了CJS框架，Anthropic还公开了Fable 5的网络安全请求分类体系——这是目前公开的最细致的AI安全分类方案：

4.1 四个分类层级

4.2 "安全边距"概念

Fable 5引入了一个有趣的概念——安全边距（Safety Margin）。

分类器不是精确地在"安全"和"危险"之间画线，而是故意把线画得更偏向安全一侧。这意味着一些完全无害的请求也会被拦截——这是刻意为之的。

用人话说：宁可误杀，不可漏杀。 就像机场安检——99%被拦下来的水瓶都是安全的，但为了拦住那1%可能有问题的，所有水瓶都得倒掉。

4.3 被拦截后的处理

如果你的请求被Fable 5的安全分类器拦截了：

1. 请求不会被直接拒绝——而是自动降级到Claude Opus 4.8处理
2. 用户会收到通知——告知请求被降级了
3. 原因不会详细说明——防止攻击者据此调整Prompt

这比直接返回"我不能回答这个问题"高明得多——用户的正常需求不会被完全阻断，只是换了一个能力略低但安全边界更严格的模型来回答。

五、CJS框架对行业的深远影响

5.1 解决了什么问题？

在CJS之前：

• 安全研究员发现越狱 → 不知道该怎么定级 → 按最坏情况上报 → 政府反应过度
• 不同公司对同一个越狱的严重性评估天差地别
• 没有统一的沟通语言，"严重"对A公司可能只是B公司的"中等"

有了CJS之后：

• 安全研究员发现越狱 → 按四维度打分 → 得到标准化等级 → 按等级走对应流程
• 所有公司用同一把尺子衡量
• 政府、企业、研究员说同一种语言

5.2 CJS的响应流程

5.3 这套框架的局限性

CJS不是万能的，有几个明显的局限：

1. 评分存在主观性——"减少专家时间"具体减少多少算2分而不是1分？不同评估者可能给出不同分数
2. 只评估网络安全领域——生物安全、化学安全等领域的越狱暂不覆盖
3. "能力增益"依赖基线判断——如何确定"现有工具能做到什么"本身就是一个模糊的判断
4. 框架是建议性的——目前还没有法律约束力，不执行也没有后果

但即便有这些局限，有标准总比没标准好。 CVE/CVSS刚推出时也有很多争议和不完善，二十年后已经成为行业基石。

六、Project Glasswing：框架背后的更大棋局

CJS框架只是Project Glasswing的一部分。

Glasswing是Anthropic在2026年4月发起的协作漏洞研究计划，核心用了一个未公开发布的模型Claude Mythos Preview来做自主安全研究。

一些关键数据：

• 第一个月就发现了超过10,000个高危或严重漏洞
• 覆盖15个国家的150多个组织加入了计划
• 合作伙伴包括Amazon、Microsoft、Google等

Glasswing的野心不只是评分框架，而是要建立一个完整的AI安全生态：

写在最后

Fable 5事件暴露了一个行业级的系统性问题：AI模型越来越强，但评估"越狱有多严重"这件事，到今天还是拍脑袋决定的。

一个能力增益为零的越狱，因为没有标准化的评估框架，直接触发了国家级的出口管制。19天的停服影响了数百家企业的业务。如果这事发生在金融或医疗领域的AI应用上，后果不堪设想。

CJS框架的出现是一个好的开始。它不完美，但它给了行业一把共同的尺子。以后安全研究员发现了越狱，不用再纠结"这到底算不算严重"——按四个维度打分，看总分落在哪个区间，该走什么流程一目了然。

最让我感慨的是那个Log4Shell案例。 同一个行为，漏洞披露前是CJS-4（严重），披露后是CJS-0（无影响）。这个设计说明框架的设计者真正理解了安全的本质——危险不在于"模型能做什么"，而在于"模型能做到别人做不到的事"。 当所有人都能做到的时候，模型做到了也不算安全事件。

一句话总结：AI行业终于意识到，光卷模型能力不够，还得卷"怎么评估模型失控"。CJS框架就是这场新军备竞赛的第一块基石。

我是RiemannChow，一个在架构领域摸爬滚打多年的技术人。如果这篇文章对你有帮助，欢迎点赞、在看、转发三连。关注「老周聊架构」，每周深度解读AI和架构的最新趋势。