将重塑 AI 网关路由策略的越狱严重性评分框架

Fable 5 于 7 月 1 日恢复全球可用时，外界的目光集中在出口管制解除这一主线上。但 Anthropic 发布的技术复盘文章中，有一项影响更为深远的内容：Anthropic 正与 Amazon、Microsoft、Google 及 Glasswing 合作伙伴网络共同起草一套行业标准——用于评分和响应越狱发现的统一框架。

对于通过 AI 网关路由流量的运营商而言，这并非抽象的安全学术讨论。该框架将直接决定你的 fallback 路由行为如何被记录、沟通，并最终体现在合同约定中。

越狱严重性框架的核心提案

当前提案从四个维度对越狱行为进行评分：

1. 能力增益（Capability gain）——越狱使攻击者超越现有工具多少？如果同等能力可通过更弱的模型或已广泛可用的工具实现，评分较低；若越狱能显著加速领域专家的攻击效率，评分较高。
2. 能力增益广度（Breadth of capability gain）——同一越狱技术是否适用于多种不同的攻击任务，还是仅针对单一目标？广度越大，评分越高。
3. 武器化难度（Ease of weaponization）——将越狱转化为实际攻击需要多少技术投入？单次提示即可成功的越狱评分最高。
4. 可发现性（Discoverability）——该技术是否已公开流传，还是需要专业知识才能找到并应用？

该框架明确旨在帮助 AI 开发商优先处理紧急发现、帮助政府校准干预阈值，也让运营商在收到供应商安全事件通知时，能理解自己面对的是哪一类越狱事件。

对 AI 工程团队的实际影响

Fable 5 事件暴露了所有多供应商路由团队本应早已注意到的盲点：当安全分类器触发时，供应商可能在未经你明确授权的情况下自动将请求路由到不同的模型层级。

Anthropic 在复盘中确认了这一点：当 Fable 5 新的安全分类器拦截请求时，该请求会自动转发给 Claude Opus 4.8。这是一次模型层级切换——定价不同、延迟特性不同、输出质量也可能不同——而且是在供应商层静默发生的。

对于已在路由策略中指定特定模型（如 claude-fable-5-20260609）并向下游用户按层级定价计费的运营商，这种静默重定向会同时打破多个预设：

• Opus 4.8 的 token 费用与 Fable 5 的使用积分定价不同
• 两个层级的延迟 SLA 可能存在差异
• 对于分类器标记为模糊的任务，输出质量也会有所不同

如果你预期 claude-fable-5 在拒绝时会显式报错而非静默改路由，现在需要验证你的错误处理逻辑是否同时兼容显式 model 错误和静默层级切换两种情形。

路由与运营商视角

越狱严重性框架为 AI 网关运营商带来了一项新义务：理解在每个严重性级别下，将触发哪种层级的 fallback。

根据该框架提案的响应校准机制：

• 轻微越狱（低广度、低能力增益）：供应商发出建议通知；预计不会影响路由。
• 窄域有害越狱（特定有害行为、广度有限）：供应商部署分类器补丁；补丁上线期间预计误触发率短暂上升，即 fallback 到低层级模型的比例会阶段性增加。
• 通用越狱（广度高、武器化难度低）：供应商可能立即暂停模型访问——就像 6 月 12 日 Fable 5 的情况——路由团队几乎没有预警时间。

实操层面的结论是：你的路由策略现在就应该包含"模型层级突然不可用"场景的显式 fallback 链。Fable 5 出口管制暂停事件是这一场景的第一次大规模实测。大多数没有 fallback 策略的团队，要么被硬编码到一个已失效的 endpoint，要么静默降级到一个未知层级。

同样重要的是：该框架还暗示，在分类器补丁部署后，误拒率会短暂上升，而不是下降。对编码和调试任务有零容忍拒绝率 SLA 的团队，需要针对重大安全事件后的窗口期设置显式路由规则。

TheRouter 用户应重点关注

随着这一四方框架走向共识，请留意以下动向：

• 供应商事件通知中出现严重性级别引用（例如"Class 2 窄域有害越狱"）——这套词汇将在所有 Glasswing 签署方中成为标准。
• 模型文档中的安全分类器 changelog 条目，这些条目可能说明补丁部署后哪些请求类别的误触发率有所上升。
• 路由 fallback 行为披露：Anthropic 已确认 Fable 5 在分类器拦截时自动 fallback 至 Opus 4.8；随着这一做法成为规范性期望，其他供应商也可能披露类似行为。

如果你今天正在路由到 Fable 5，请验证你的可观测层是否捕获了响应元数据中的实际 model 字段。一个看似来自 claude-fable-5-20260609 但实际上由 claude-opus-4-8 响应的请求，将产生悄然累积的计费偏差。

对于需要进行企业 AI 合规审查的团队，建议在 2026 年 Q3 采购审计前，将越狱事件响应协议单独成节——并引用这一正在形成的行业框架作为参考基础。

目前正在执行 Claude Sonnet 5 迁移的内部团队还需注意：新的自适应 thinking 默认配置会带来额外的 token 预算开销，与安全分类器触发的 Opus fallback 叠加，可能在同一批次请求上产生意外的费用峰值。

越狱严重性框架不会改变今天的路由运作方式。但这是四大前沿 AI 供应商首次就安全事件达成共同语言——这意味着运营商的事件响应手册和网关路由策略，很快也需要与之匹配的标准词汇体系。