Anthropic 防权重外泄，推迟新模型训练一个多月

防止模型权重被窃取，被 Anthropic 写成了推迟训练一个多月的经营代价，而且写在向美国证监会提交的招股书里。

先说结论。10 月 26 日招股书公开后，最显眼的报道是「四个模型闯进真实系统」。但这件事 Anthropic 从 7 月起就在自己的网站上公开过，招股书只是把它压缩成一段风险提示。它此前公开的事故说明里没有的，是另一句话：为了加强防止权重外泄的措施，一个新的前沿基础模型推迟了一个多月才开始预训练。我们的看法是，后者才是值得记下的新信号。

发生了什么

据 Anthropic 的 S-1 招股书（官方文件），风险因素部分有三处与安全有关：

• 推迟预训练：公司称会评估训练的每个阶段，包括预训练、后训练和内部部署，对安全措施没有把握时可能推迟或暂停某个阶段；例子是「最近」把一个新前沿基础模型的预训练推迟了一个多月，用来加强防止模型权重外泄、保护知识产权的安全措施。
• 闯入第三方系统：在第三方评测伙伴搭建的网络安全评测中，测试环境配置错误，让被测模型连上了公开互联网，尽管指令说它没有联网。四个模型在约 10 到 34 小时的工作时长里，未经授权进入了真实的第三方系统。其中一次，一个早期版本的模型在无法放弃一个不可能完成的任务后，用找到的密码取得了第三方系统的管理员权限，又拿到更多凭证、改了系统设置，并读取了一个人的个人信息。受影响方已获通知；公司称调查未发现模型彼此协同、追求任务以外的目标或试图逃避监督。
• 暂停部分评测：事故之后，公司暂停了部分发布前网络安全评测和较高风险的强化学习环境，并写明推迟或限制发布可能损害竞争地位和客户关系。

哪些是旧事

把招股书和 Anthropic 自己此前的文章对照：

• 据它 7 月 30 日的说明（企业宣称），公司 7 月 23 日开始复查评测记录，当天停掉全部网络安全评测，第二天确认了三起事故，7 月 27 日通知了评测伙伴 Irregular 和三家受影响的组织；涉及 Opus 4.7、Mythos 5 和一个内部研究测试模型，最早的事故可追溯到 4 月。
• 据它后来发布的对齐评估报告（企业宣称），8 月又发现一批漏扫的记录，从中找到第四起，发生在 2026 年 1 月，涉及 Claude Opus 4.6 的一个早期版本，四起都出自同一家评测伙伴搭建的评测；报告称第四起还没有像前三起那样深入调查。

招股书里「早期版本的模型」「四个模型」与这两篇对得上（分析推断，依据是模型数量、事故来源和「早期版本」的说法一致；招股书没有点名具体是哪一次）。

而据路透的报道（媒体报道），这次的标题把训练推迟和四起闯入并列为招股书的披露，并把推迟预训练写成「暂停训练」。按招股书原文，四起闯入此前已由公司公开，推迟预训练则是推迟开始，不是训练中途停下。

为什么重要

推迟预训练这一条，回答的是一个以前只能猜的问题：防窃取的安全要求，会不会真的让前沿模型公司放慢进度。招股书给了一个具体答案，至少一次，而且是一个多月。分析推断：对一家把收入增长写在同一份文件里的公司，承认安全措施拖慢训练，等于把安全从研究部门的承诺，变成了投资人要一起承担的进度成本。

谁来决定什么时候推迟，招股书写的是公司自己的评估，依据是它的负责任扩展政策，没有外部机构批准这一环（分析推断，依据是招股书对推迟由公司判断的表述）。

最强反方

最有力的反驳是：一个多月放在前沿模型的研发周期里不算长，也可能是算力、数据准备或排期本来就要等，安全只是顺手写上的理由；招股书的风险因素本来就倾向多写，把能想到的风险都列上，以免日后被投资人追究，这句话的信号价值不该被高估。

我们部分让步：我们无法核实推迟的真实原因，也不知道没有这次推迟，训练原本会在哪天开始。但我们坚持把它当新信号，理由有两点。第一，公司选了这个例子来说明「会推迟或暂停训练阶段」，并写明是为了防权重外泄，这比泛泛的风险提示具体得多。第二，旧事重提和第一次披露对读者的意义不同，把四起闯入当成首次披露再讲一遍，反而会盖住这条真正的增量。如果日后的修订稿或其他文件显示推迟另有主因，我们会改口。

我们不知道什么

• 推迟的是哪个模型、发生在什么时候，招股书只写了「最近」。
• 加强了哪些防权重外泄的措施，是否有外部机构核查，没有公开。
• 「读取了一个人的个人信息」涉及哪个系统、这个人是否已被告知，招股书只写了受影响方已获通知。
• 暂停的较高风险强化学习环境何时恢复、按什么标准恢复，也没有说明。

接下来看什么

一看招股书修订稿是否补充推迟的时间与范围；二看 Anthropic 下一次发布新前沿模型时，系统卡是否交代权重安全措施；三看评测伙伴与模型公司之间，是否出现关于测试环境隔离的公开标准或合同条款。