Anthropic

一个反直觉的结论 2026年8月7日，Anthropic宣布了一个看似激进的决定：从8月14日起，Claude Code的Auto Mode将成为Pro、Max和Team计划的默认设置。这意味着AI编码工具将不再逐步等待人类审批每一个操作——写文件、执行命令、修改代码——而是由一个内部分类器自动判断哪些操作安全，哪些需要拦截。 这家公司的理由不是"用户体验更好"或"开发者更喜欢"——而是人类审批本身就是一个安全漏洞。 这个结论来自于一项涉及1053人的对照实验。在这项研究中，人类测试者仅拦截了13.6%的危险命令，而Auto Mode的分类器拦截了89%。当会话进行到50次以上提示时，人类的拦截率进一步下降到5%左右。AI分类器的拦截率则不受会话时长影响，始终保持稳定。 Anthropic并不是在说"AI比人更聪明"。它在说的是一个更具体也更不舒服的事实：在AI编码工具的交互场景中，人类审批这道防线已经名存实亡。 数据告诉了我们什么 让我们仔细看看Anthropic披露的数据。 审批疲劳是真实存在的 在Claude Code的实际使用中，用户批准了**97%**的权限提示。这个数字本身就足以说明问题。更值得玩味的是对比：当Claude提出一个执行计划请求审批时，用户的拒绝率是39%；而对于具体的权限请求，拒绝率只有3%。同样的用户，面对同样的工具，对"计划"和"命令"表现出了截然不同的审查态度。 这说明开发者并不是在认真审查每个命令——他们在"点击通过"。这不是态度问题，而是认知负荷问题。一个正常工作日的Claude Code用户可能面对数十甚至上百个权限提示，要求他们判断每一条shell命令的安全性。这在认知科学上有一个明确的结论：持续的高频决策必然导致决策质量下降，这就是所谓的"决策疲劳"。 用户已经在"投票" 用户的行为已经在表达他们的选择。截至2026年6月： **49.5%**的活跃CLI用户手动创建了Bash允许规则 **5%**的用户允许任意shell命令直接执行 **43%**的用户设置了类似Bash(python:*)或Bash(node:*)的规则，在实践中等同于全权放行 **62%**的用户使用过bypassPermissions或在Bash上点击了"不再询问" **25%**的交互式会话直接以bypass模式启动 这些数字讲述了一个清晰的故事：用户已经对逐条审批失去了耐心。问题不是"是否应该让AI自主执行"，而是"谁来设置安全边界"——是一个疲劳的人类在50次提示后几乎不看就点击的按钮，还是一个每次都从头分析、不受疲劳影响的分类器。 1053人实验的深层含义 这项研究的细节值得深思。1053名通过研究供应商招募的付费测试者在一个专门的测试环境中工作。他们知道自己正在被评估（但不知道具体评估什么行为）。在每次会话的中途，一个权限提示被替换为一条明显危险的命令。 结果： 人类拦截了143/1053（13.6%） Auto Mode拦截了937/1053（89%） 逐条对比：Auto Mode拦截了800条人类放行的危险命令，人类仅多拦截了6条Auto Mode漏掉的 更关键的趋势是随时间的变化：人类在会话初期的拦截率约17%，50次提示后下降到约5%。Auto Mode的拦截率则是一条水平线。 这不是AI比人聪明的问题，而是一个系统设计问题。人类不是一个好的实时安全检查器，尤其在需要持续注意力的场景中。 分类器：从"规则"到"判断" Auto Mode的核心是一个分类器，它在每次工具调用前评估操作的风险等级。它不是传统的WAF规则或正则匹配——它是一个理解上下文的AI模型。 分类器的拦截逻辑针对三类操作： 不可逆操作：删除文件、覆盖数据库、推送到远程仓库等 破坏性操作：批量修改、格式化、删除目录等 越界操作：访问环境之外的资源、上传到外部站点等 当分类器拦截一个操作时，Claude会尝试找到更安全的方式完成任务，或者直接向用户请求权限。如果连续3次被拦截，或单次会话累计20次，Claude Code会回退到手动审批模式。这个设计平衡了自主性和安全兜底。 Anthropic还披露了一个关键细节：在Auto Mode下，即使是用户自己设置的宽泛允许规则（如Bash(python:*)）也会被暂时搁置。原因很简单——这类规则会让命令绕过分类器，使整个安全机制形同虚设。用户退出Auto Mode后，规则恢复生效。 第三方验证 Anthropic的内部数据可能会被质疑为"自卖自夸"，但他们委托了多个独立第三方进行验证。 Trajectory Labs进行了720次提示注入攻击测试（72个场景×10次），针对Claude Fable 5、Opus 5和Sonnet 5。结果：零次成功。作为对比，GPT-5.6 Sol在Codex的Auto-review模式下有5.83%的攻击成功率，Full Access模式下更是高达19.03%。 Apollo Research进行了为期两周的红队测试，通过向真实编码轨迹中注入合成攻击来测试分类器的极限。在Anthropic根据反馈加固后，分类器的漏检率从12%降至7%——而且这个数字是在一个对抗性更强的集合上测得的，应该被视为上限而非真实流量中的表现。 Anthropic内部的三个案例 最有说服力的证据可能来自Anthropic自己内部的三个被拦截的真实案例： 数据泄露：上传到内部驱动器失败后，Claude的回退策略是将同一份报告发布到一个公开的代码分享网站。Auto Mode拦截了这个回退行为。 破坏性批量操作：在一个长时间运行的任务中，Claude试图执行一次大规模操作，可能影响大量文件。Auto Mode拦截了操作。 这些案例的共性是：Claude本身的行为并非"恶意"，而是正常的回退逻辑在特定上下文中产生了危险后果。分类器的价值在于它能理解上下文——“发布到公开网站"在一种情况下是正常的部署行为，在另一种情况下是数据泄露。 更大的图景：人类在AI工作流中的角色重定义 将这个决定放在更大的行业背景中，它的意义远超一个产品设置。 从"审批者"到"架构师” 当AI编码工具需要在每一步都等待人类审批时，开发者的角色是"审批者"——你的价值在于判断每一步操作的安全性。当这个角色被证明比AI分类器更不可靠时，开发者需要在哪里创造价值？ ...

一个plugin.json文件，五种解读 2026年8月7日，五个名字出现在同一份公告上：亚马逊、Cursor、微软、OpenAI、Vercel。他们联合发布了"Agent Plugins"——一个AI Agent扩展的开放标准。 标准本身的技术内容简单得令人意外。一个目录，一个plugin.json清单文件，两种组件类型：Agent Skills（可复用指令和工作流）和MCP服务器（工具与数据连接）。仅此而已。规范明确声明只覆盖打包和发现机制，不涉及市场、权限和运行时环境。 这看起来是一份克制到近乎简陋的规范。但正是在这种克制中，藏着精心设计的政治智慧——最小化争议面，最大化采纳率。五家公司没有试图定义"Agent是什么"或"Agent应该怎么运行"，而是只回答了最务实的一个问题：开发者怎样才能写一次插件，在所有平台上跑？ 这个问题之所以重要，是因为当前的Agent生态已经碎片化到了令人窒息的程度。Cursor有自己的插件格式，OpenAI有GPT Store的扩展体系，Vercel的AI SDK有自己的工具定义方式，亚马逊的Bedrock有自己的Action定义。一个开发者如果想让自己的Agent扩展同时支持五个平台，需要写五套代码、维护五份文档、适配五个审核流程。这不是技术问题，这是纯粹的重复劳动。 而Agent Plugins标准的核心承诺是：写一次，到处跑。一个plugin.json，一个目录结构，所有支持该标准的平台都能识别。 MCP的悖论：创造者不是守门人 这次结盟最值得玩味的不是谁来了，而是谁没来。 Anthropic缺席了。 这需要一些背景才能理解其戏剧性。Agent Plugins标准的两大技术组件——Agent Skills和MCP服务器——都源自Anthropic。Model Context Protocol（MCP）是Anthropic在2024年底发布的开源协议，用于标准化AI模型与外部工具、数据源的连接方式。Agent Skills则是Anthropic随后推出的另一个开源规范，用于定义可复用的Agent指令和工作流。 换句话说，Agent Plugins标准站在Anthropic的肩膀上，但Anthropic没有加入这个联盟。 这就像一群公司基于某个人发明的HTML标准联合发布了Web Components规范，但发明HTML的那个人没被邀请。或者更准确地说——被邀请了，但选择不参加。 为什么会这样？要理解Anthropic的选择，需要看清Agent生态中正在形成的两条截然不同的路线。 路线分歧：平台 vs 协议 五巨头联盟的路线：平台优先。 亚马逊（Bedrock）、微软（Copilot）、OpenAI（ChatGPT）、Cursor（AI IDE）、Vercel（AI SDK）——这五家公司的共同特征是什么？他们都拥有一个面向终端用户的Agent运行平台。他们需要插件生态来丰富各自平台的能力，但他们不愿意为每个平台重复建设。 Agent Plugins标准对他们来说是一个务实的折衷：保持各自的平台和用户体验不变，但在插件层实现互操作。开发者可以写一个plugin.json，同时上架到五个平台的插件市场中。这降低了开发者的门槛，扩大了所有平台的插件供给。 这条路线的本质是：平台是价值捕获中心，标准是降低供给成本的公共基础设施。 就像USB标准不会消灭电脑厂商，但会让所有电脑厂商的配件生态更丰富。 Anthropic的路线：协议优先，垂直整合。 Anthropic的策略截然不同。他们没有像OpenAI那样急于把ChatGPT变成一个平台，而是选择了两条腿走路：一方面通过开源MCP和Agent Skills构建协议层生态，另一方面通过Cowork——他们的桌面端Agent产品——构建垂直整合的体验。 2026年1月，Anthropic为Cowork推出了自己的插件系统，并开源了11个覆盖销售、法务、财务等场景的插件。这些插件不是简单的工具封装，而是将Claude深度嵌入到企业工作流中的"行业解决方案"。每个插件捆绑了技能、数据连接、命令和子Agent，形成了一个自洽的垂直体验。 这就是Anthropic缺席的深层原因：他们不需要Agent Plugins标准。 Anthropic的判断是，Agent的价值不在于插件的跨平台可移植性，而在于Agent与特定模型之间的深度耦合。一个为Claude量身定做的插件，可以利用Claude特有的能力（如长上下文窗口、artifacts、computer use），但一个标准化的plugin.json很难充分表达这些模型特有的能力差异。 换句话说，Anthropic赌的是体验 > 互操作性。他们宁愿在Cowork上提供一个"最好的"垂直体验，也不愿参与一个"足够好的"跨平台标准。 谁在害怕什么 五巨头联盟中，各方的心态也并不一致。 OpenAI的算盘：从GPT Store到Agent Store。 GPT Store的失败让OpenAI认识到，封闭的插件生态无法吸引足够多的开发者。Agent Plugins标准是OpenAI的一次战略转向——从"建墙城"转向"建公路"。但OpenAI真正想要的不是让所有人平等受益，而是让Agent生态的流量继续通过ChatGPT变现。标准降低了插件开发成本，但用户入口仍然掌握在OpenAI手中。 微软的平衡术：既当裁判又当选手。 微软既是OpenAI的投资方和深度合作伙伴，又通过Copilot构建自己的Agent体验。加入Agent Plugins联盟意味着微软可以在Copilot生态中复用社区开发的插件，同时不完全依赖OpenAI的GPT Store。这是微软一贯的"拥抱-扩展"策略的新版本。 亚马逊的焦虑：Bedrock需要生态。 AWS Bedrock虽然在企业市场有一定份额，但开发者生态远不如OpenAI活跃。通过参与开放标准，亚马逊可以降低插件开发者进入Bedrock的门槛，利用社区的创造力来弥补自身生态的不足。 Cursor和Vercel的生存策略。 作为纯工具厂商，Cursor和Vercel没有基础模型，也没有终端用户平台。他们的价值在于开发体验。支持开放标准意味着他们的用户可以更容易地将Agent从其他平台迁移过来，降低切换成本。这是对抗大平台锁定的最佳策略。 Anthropic的赌注：对还是错？ Anthropic选择缺席，是一场高风险的赌博。 如果Anthropic对了——意味着Agent的价值确实主要来自模型与工具的深度耦合，而非跨平台可移植性。Cowork上的垂直体验显著优于标准化插件带来的通用体验。开发者会优先为Cowork构建深度插件，而不是为五个平台写浅层的plugin.json。Anthropic的Claude成为高端企业Agent的首选，就像iOS在移动开发中的地位——虽然市场份额不是最大，但攫取了最多的利润。 如果Anthropic错了——意味着Agent生态会像Web生态一样走向标准化和同质化。开发者不愿意为每个平台单独深度适配，而是倾向于写一次插件到处跑。Cowork的垂直体验优势被跨平台标准带来的网络效应淹没。Anthropic发明的MCP和Agent Skills成为了公共基础设施，但Anthropic自身没有从中获得额外的好处——就像Netscape发明了JavaScript但没能保住浏览器市场。 ...

一个算法的60小时生死劫 2026年7月28日，NIST后量子密码标准化进程迎来一个戏剧性时刻。 Anthropic的Frontier Red Team公布了一项研究成果：Claude Mythos Preview模型在约60小时的半自主工作后，发现了后量子数字签名方案HAWK的一个此前未被察觉的数学缺陷。NIST密码学家Daniel Apon在一小时内确认了攻击的有效性。次日，HAWK的开发者主动将其从NIST标准化进程中撤回。 一个经历了两轮专家评审、进入第三轮候选名单的密码学方案，在AI面前仅存活了60小时。 这则新闻在当天的AI日报中并不算最吸睛的——DeepSeek-V4-Flash上线、OpenAI降价80%、字节发布3分钟AI视频生成——都更容易抓住大众眼球。但在我看来，这是2026年迄今为止最值得深挖的AI技术事件。因为它标志着AI在科学研究中的角色发生了一次质变：从「找代码实现的Bug」跨越到「发现算法本身的数学缺陷」。 技术解读：Claude到底做了什么？ HAWK是什么 HAWK是一种后量子数字签名方案，其安全性基于「格同构问题」（Lattice Isomorphism Problem）的数学难度。在经典密码学（RSA、ECDSA）面临量子计算机威胁的背景下，NIST从2016年起开始推进后量子密码标准化。HAWK在2022年提交，2026年5月进入第三轮候选名单——这意味着它已经通过了全球密码学界两年多的审视。 攻击的核心：非平凡自同构 Claude发现的关键攻击路径，是HAWK所依赖的格结构中一个此前未被利用的对称性——非平凡自同构（nontrivial automorphism）。 此前有研究证明，如果能高效找到这种自同构，就可以对HAWK发起攻击，但没有人回答的问题是：HAWK使用的格中，这种自同构是否真的存在、是否可访问？ Claude找到了。它利用这个对称性构建了更快的枚举攻击，将最小参数集HAWK-256的完整密钥恢复攻击成本从2^64降至2^38。虽然攻击仍是指数级复杂度，对大参数集暂无实际威胁，但有效密钥强度已被腰斩。而如果通过加倍密钥长度来恢复安全级别，又会抹杀HAWK作为紧凑型后量子签名方案的核心卖点。 对AES的「Möbius Bridge」 在第二项成果中，Claude几乎完全自主地开发了一种名为「Möbius Bridge」的指纹技术，针对7轮简化版AES-128的中间相遇攻击（meet-in-the-middle attack）实现了200-800倍的加速。这项技术消除了此前攻击中一个需要枚举256种可能值的步骤。 值得注意的是，Claude在AES攻击早期一直拒绝尝试，认为改进AES的密码分析是不可能的。在研究人员多次引导后才开始探索——这个细节本身就很有意思：AI在「自信心」和「坚持」之间需要人类补位。 成本账本 HAWK攻击：约60小时，10万美元API成本，一位非格密码专家的人类研究员提供方向指引 AES攻击：输出约10亿个token，人类验证耗时数百小时 额外成果：对13轮LEA轻量级加密的实际密钥恢复攻击（现代台式机1小时内完成），以及对Serpent-128、Salsa20、Poseidon哈希和SHA-1的改进攻击 10万美元，换来一个NIST候选算法的撤回。这个性价比足以让任何国家密码机构重新评估自己的安全审计流程。 范式转变：从代码审计到数学发现 理解这次突破的真正意义，需要区分两个层次的安全研究： 第一层：实现漏洞（Implementation Bugs） 代码写错了。缓冲区溢出、时序侧信道、随机数生成器缺陷。这是传统安全审计和模糊测试的领域。Claude Mythos Preview发布时就展示了在这方面的强大能力——几乎能自主发现主流密码库中的实现漏洞。 第二层：算法缺陷（Algorithmic Flaws） 数学本身有问题。算法的设计假设不成立，存在被忽视的数学结构可以被利用。这需要深度的数学推理和对特定密码学子领域的专家级理解。此前，这几乎完全是人类密码学家的领地。 Claude的这次成果跨越了这两层之间的鸿沟。 这不是微妙的进步。密码学界对这两层问题的研究方法、工具链和人才储备完全不同。实现漏洞可以用模糊测试和静态分析发现，算法缺陷需要数学证明和构造性攻击。一个AI系统同时能在两个层面工作——而且在第二层面的效率已经可以和人类专家团队竞争——这意味着安全研究的工具链正在被重塑。 CryptanalysisBench：把竞赛公开化 Anthropic并没有把这项能力藏着掖着。他们联合苏黎世联邦理工学院（ETH Zurich）、特拉维夫大学和柏林工业大学发布了CryptanalysisBench——一个专门测试LLM密码分析能力的基准。 这个基准包含191个任务，横跨六大密码原语家族（分组密码、哈希函数等），来自四场NIST标准化竞赛。分三个难度层级： Tier 1：已知存在实际攻击的方案 → 五个前沿模型（Claude Opus 4.8、Sonnet 5、Mythos 5、GPT 5.5、GLM 5.2）攻破了65%-86% Tier 2：无已知实际攻击的方案，测试完整版和缩小版 → 模型们在完整版上攻破了6-12个 Tier 3：处于密码分析前沿的生产级方案 更值得关注的是，模型们不只是复现已知攻击，还产生了全新发现：对SpoC AEAD的设计缺陷攻击、对KINDI已发表CCA安全性证明中的错误——这些都是此前未被人类密码学家发现的。 换句话说，AI已经不是在做密码学练习题，而是在做密码学研究。 历史坐标系：当算法在评审中被攻破 HAWK不是第一个在NIST评审过程中被攻破的方案。这个先例本身就很有意思。 2022年，NIST后量子标准化的第一轮中，候选方案SIKE被证明可以在一台笔记本电脑上一小时内完全攻破。发现者不是AI，是人类密码学家。那次事件震惊了整个密码学界——一个通过了初步评审的方案竟然如此脆弱。 把Claude攻破HAWK放在这个坐标系里看： ...