前沿科学模型的拐点：Fable 5.1、Mythos 5.1 与“能力—成本—治理”新均衡

目录

一、这次跃迁真正改变的是三种成本

（一）能力领先已经变成短周期变量

（二）价格下降必须放在调用拓扑中理解

（三）安全精度是一种生产率参数

二、52.6% 的性能跃升意味着什么

（一）先区分百分点与相对增幅

1、科学终端任务

2、编码与自动化任务

（二）Terminal‑Bench‑Science 的证据边界

1、它不是论文阅读测验

2、独立基准不等于独立复测

（三）榜单不能替代失败分析

1、工具与评测脚手架会改变结果

2、平均分会隐藏关键失效模式

三、缓存降价不是一句“便宜 75%”

（一）先把计费项写对

（二）200 篇论文的可复算模型

1、假设必须先公开

1.1、输入规模

1.2、迭代与输出

2、三种路径的账单

3、为什么输出常成为隐藏的大头

（三）缓存的盈亏平衡与时效约束

1、5 分钟缓存第一次复用即划算

2、1 小时缓存需要至少两次复用

（四）effort 是路由信号，不是固定倍率开关

1、五档强度的真实含义

2、正确做法是按风险升级

四、三项科学演示应放进证据金字塔

（一）蛋白质设计：结合不等于成药

1、结果为何令人重视

2、比较口径仍需谨慎

（二）金星地图：公开产物提高了可验证性

1、分辨率提升的含义

2、开放地图优于只展示截图

（三）GPU kernel：速度数字必须绑定基线

1、最高 2.5 倍并非所有任务都 2.5 倍

2、可复现性仍在等待代码

（四）从演示到生产需要跨越四道门

五、Fable 与 Mythos：同一模型的两种风险边界

（一）为什么需要两层产品

（二）60% 与 85% 应该怎样读

1、网络安全的 60%

2、生物学的 85%

（三）科研团队应同时建立可用性与安全集

六、反蒸馏：它关闭的是“上下文手术”通道

（一）机制如何工作

1、校验对象不只是思考文字

2、非严格模式是兼容性阀门

（二）它能防什么，又不能防什么

1、被显著抬高成本的攻击

2、仍然存在的蒸馏路径

（三）对现有代理框架的现实冲击

七、水印不是“AI 身份证”，更不是事实证明

（一）统计信号如何进入文本

（二）检测结论只能是概率性的

（三）欧盟合规价值在于流程而非标签

八、EFS：把敏感内容留在客户控制边界

（一）安全价值来自客户可控性

1、密钥与访问边界

2、自动监控与人工升级

（二）“免费能力”仍有云账单

（三）上线前必须问清的七个问题

九、同类比较必须使用同日、同任务、同口径

（一）相同基准能说明什么

（二）价格比较应把长上下文台阶写出来

（三）开源模型解决的是另一类问题

（四）选择模型的四象限

1、高风险、高不确定任务

2、高风险、低不确定任务

3、低风险、高不确定任务

4、低风险、低不确定任务

十、药物发现团队的目标架构：模型只是其中一层

（一）把全文缓存改造成证据缓存

（二）路由器需要四个输入信号

1、任务复杂度

2、决策影响

3、信息敏感度

4、时延与预算

（三）验证器必须独立于生成器

十一、六周落地计划：先建立测量，再扩大自动化

（一）第 1—2 周：构建黄金集与失败分类

（二）第 3—4 周：盲测模型、effort 与缓存策略

1、能力盲测

2、成本回放

3、安全与集成回归

（三）第 5—6 周：受控试点与人工闸门

（四）建议的首版路由政策

十二、从一次发布中得到的长期判断

可参考的文章与资料

干货分享，感谢您的阅读！

Fable 5.1 的意义并不只是一次跑分翻倍。更值得关注的是，Anthropic 在同一轮发布中同时改变了科学任务的能力上限、长上下文的复用价格、安全系统的干预精度，以及模型输出的可追溯方式。Mythos 5.1 又把同一底层模型放进更严格的受限访问框架，试图在前沿生物能力与风险控制之间建立一条新的商业边界。不过，发布后三天，GPT‑6 Astra 已在部分相同基准上给出更高成绩，说明“最强模型”的领先期可能短到无法覆盖一个采购周期。对药物发现团队而言，正确问题因此不是“谁在榜单第一”，而是：在论文阅读、假设生成、代码验证、实验决策和审计留痕之间，怎样把不同强度的推理、缓存、工具和人工复核组合成一个可测量、可切换、可治理的系统。本文以 200 篇、每篇约 10 万 tokens 的蛋白质折叠论文分析为例，重新计算缓存经济性，拆解三类科学演示的证据等级，并给出一套六周落地方案。

Fable 5.1 确实把科学代理任务推到新的实用区间；缓存读取从每百万 tokens 1 美元降到 0.25 美元也是真实的结构性降价。但缓存写入并非每百万 tokens 1.25 美元，而是 5 分钟缓存 12.50 美元、1 小时缓存 20 美元；“便宜 75%”只适用于读取单价，不能直接等同于整条工作流省 75%。安全数据同样需要精确表述：网络安全的 60% 指 Claude Code 会话中平均安全干预次数下降，生物学的 85% 指良性请求触发安全回退的次数下降，两者都不是跨场景通用的误拒率。最终，团队应以自有盲测、任务级单位经济性和可撤回的模型路由作为采购依据。

一、这次跃迁真正改变的是三种成本

把 Fable 5.1 看成“Fable 5 的小版本更新”，会错过发布中最重要的变化。它同时移动了三条曲线：完成高难度科学任务所需的计算成本，安全系统对正常工作的摩擦成本，以及企业为审计、归因和风险承担支付的治理成本。这三种成本在传统模型评估中常被分开计算，但在实验室里会汇入同一条项目时间线。一次错误推理可能消耗 GPU 与研究员工时；一次不必要的安全回退会打断自动化链；一次无法追溯的输出会在法务或论文署名阶段重新制造成本。

三种成本曲线同时移动，才构成对科学研发流程有意义的代际变化。

（一）能力领先已经变成短周期变量

Anthropic 在 9 月 1 日公布的 Terminal‑Bench‑Science 0.1 成绩为 52.6%，比 Fable 5 的 24.7% 高出 27.9 个百分点；若以相对增幅计算，约为 113%。这足以说明同一家族内的跃升很大。然而到 9 月 4 日，OpenAI 公布 GPT‑6 Astra 在同一基准的最高强度结果为 64.6%。这并不会抹去 Fable 5.1 的进步，却改变了“领先”的商业含义：采购决策若只根据发布日榜单锁定一年合同，可能在合同尚未完成法务审核前就已经落后。

因此，模型选择应从“买冠军”转为“经营一个可替换的能力层”。团队需要保存标准化提示、工具接口、评测集、结构化输出模式和成本日志，使模型能在几天而不是几个月内替换。真正的长期资产不是某个模型名称，而是可重复的测量系统和对失败类型的认识。

（二）价格下降必须放在调用拓扑中理解

单价表只告诉我们每百万 tokens 的价格，不能告诉我们项目账单。科学研究代理通常包含检索、全文阅读、方法抽取、代码执行、结果复核、反例搜索和最终综合等环节。相同的 20 百万输入 tokens，如果只读一次，缓存不但没有优势，还会因为写入溢价更贵；如果在十轮代理循环中被反复读取，缓存便会显著降低边际成本。输出长度、工具调用回填、上下文有效期和分批处理方式，都可能改变结论。

更重要的是，Claude 4.7 及之后模型采用的新 tokenizer 对同一段文本可能产生约 30% 更多 tokens，具体幅度依工作负载而变。一个只把旧模型 token 数量乘以新价格的预算表，可能在上线前就低估成本。采购试算必须使用目标模型的实际计数器回放真实语料。

（三）安全精度是一种生产率参数

在普通聊天中，一次误拒通常只是体验问题；在自动化科研流程中，它会变成队列阻塞、重试风暴、人工升级和审计噪声。若一条由二十个步骤组成的代理链中，每步都有独立的误拦截概率，那么端到端成功率会以乘法方式下降。假设单步通过率为 97%，二十步全通过的概率只有约 54%；提升到 99%，端到端通过率约为 82%。这解释了为什么安全系统的小幅精度变化，在长链任务中会被放大。

但“少拦截”不等于“更安全”。专业生物工作还涉及病原体增强、合成路径、实验条件优化等高风险能力。Fable 与 Mythos 的分级访问，实质上是在用身份、用途和监控义务区分可接受的能力暴露。评价这一设计时，既要测良性任务能否顺畅完成，也要检验危险任务是否仍被稳定阻断。

二、52.6% 的性能跃升意味着什么

Fable 5.1 的官方成绩覆盖科学代理、编码代理、自动化操作与通用知识等多个维度。Terminal‑Bench 4.0 从 42.0% 升到 55.8%，AutomationBench 从 17.1% 升到 31.4%，Terminal‑Bench‑Science 0.1 从 24.7% 升到 52.6%。这些数字共同支持一个判断：提升不是只发生在静态问答，而是集中在需要规划、终端操作、调试与长程纠错的任务上。

官方评测中，科学终端任务的绝对增幅最大；百分比为任务成功率。

（一）先区分百分点与相对增幅

1、科学终端任务

24.7% 到 52.6% 是增加 27.9 个百分点，也是相对提升约 113%。“翻倍”描述的是相对变化，而不是模型已经解决了全部科学任务。52.6% 仍意味着，在当前测试设置下，接近一半任务未成功。对研发负责人而言，后半句比“翻倍”更重要：模型已经足够强，可以承担更多一线工作，但尚不足以脱离验证体系。

2、编码与自动化任务

Terminal‑Bench 4.0 增加 13.8 个百分点，AutomationBench 增加 14.3 个百分点。绝对增幅相近，基线不同导致相对增幅分别约 33% 与 84%。如果一个工作流的瓶颈是科学判断，52.6% 具有直接意义；若瓶颈是浏览器自动化、权限或遗留系统操作，则 AutomationBench 的变化可能更接近实际收益。指标必须映射到任务，而不能按醒目程度排序。

（二）Terminal‑Bench‑Science 的证据边界

1、它不是论文阅读测验

Terminal‑Bench‑Science 0.1 由 Stanford 团队与开放科学贡献者建设，首版包含 70 个可执行任务，每个任务运行三次。任务覆盖生物、化学、物理、地球科学等领域，模型需要在终端环境中使用软件、数据和命令完成目标。它测试的是“科学代理在计算环境里完成工作”的能力，而不是对一篇十万 tokens 论文做忠实摘要。因此，把 52.6% 直接换算成“阅读蛋白质论文的正确率”，属于指标越界。

2、独立基准不等于独立复测

基准由外部团队公开维护，这一点比企业内部私有测试更有价值；但 52.6% 是 Anthropic 在其评测配置下给出的结果，发布时尚未出现在公开排行榜的第三方独立复跑中。Anthropic 也报告每个模型约 ±3.5 至 ±4.5 个百分点的标准误差。可靠的写法应同时保留三层信息：基准公开、结果由供应商运行、统计仍有不确定区间。

首版公开榜单还显示，完整评测成本并不低：不同模型一次大规模运行可达数千至一万多美元。这意味着小团队很难频繁复现所有公开榜单，因而更应建立一个规模较小、与自身项目高度相关的内部黄金集，以每周或每次模型升级都能承受的成本进行回归测试。

（三）榜单不能替代失败分析

1、工具与评测脚手架会改变结果

终端代理成绩受系统提示、最大步数、工具超时、容器依赖、采样设置、effort 强度和错误恢复策略影响。两个模型即使使用同一任务集，若工具描述或时间预算不同，也不一定完全可比。官方图表适合判断趋势，采购合同却应要求记录可复现实验条件，至少包括模型快照、日期、工具版本、上下文长度、推理设置和每任务成本。

2、平均分会隐藏关键失效模式

药物发现团队更需要知道模型为何失败：是检索到错误论文、遗漏实验条件、混淆蛋白构象、生成不可执行代码，还是在工具报错后没有回滚。两款模型可能同得 55%，但一款在低风险整理任务上失败，另一款在关键科学判断上失败，风险完全不同。内部评估应把失败按“可检测性”和“影响强度”二维分类，而不是只算总分。

三、缓存降价不是一句“便宜 75%”

Fable 5.1 的标准输入为每百万 tokens 10 美元，输出为 50 美元；5 分钟缓存写入为 12.50 美元，1 小时缓存写入为 20 美元，缓存命中与刷新为 0.25 美元。与 Fable 5 相比，读取从 1 美元降到 0.25 美元，降幅确为 75%；标准输入、输出以及 5 分钟写入并未下降。这个结构鼓励高复用、短间隔的代理循环，但也惩罚“写入后不再读取”的缓存滥用。

读取价格大幅下降，写入和输出仍是主要成本项；金额均为美元/百万 tokens。

（一）先把计费项写对

把 5 分钟缓存写入写成 1.25 美元，会低估十倍。这个小数点错误在 200 篇论文场景里会把首次缓存成本从 250 美元误算成 25 美元，足以扭转方案选择。另一个常见错误是忽略 Batch API：如果第一轮论文抽取不需要即时反馈，批处理可能比缓存更简单；缓存更适合随后需要多次复用相同全文的交互式或代理式工作。

（二）200 篇论文的可复算模型

1、假设必须先公开

1.1、输入规模

假设 200 篇论文在目标 tokenizer 下平均各为 100,000 tokens，总输入语料 D = 20 MTok。这个数字只用于示范，实施前应以真实 PDF 提取结果计数，并把图注、补充方法、表格和 OCR 噪声纳入。

1.2、迭代与输出

假设首次读入后，每篇全文在十轮后续分析中被完整复用；每篇每轮平均输出 2,000 tokens，十轮共产生 4 MTok 输出。现实中不一定需要完整重读，合理的检索切片可进一步省钱。这里选择偏保守的全量复用，是为了看清缓存单价的影响。

2、三种路径的账单

不使用缓存，十一遍输入成本为 20 × 11 × 10 = 2,200 美元；再加 4 × 50 = 200 美元输出，总计约 2,400 美元。使用 Fable 5 的 5 分钟缓存，写入 20 × 12.5 = 250 美元，十次读取 20 × 10 × 1 = 200 美元，加输出后总计约 650 美元。使用 Fable 5.1，读取降为 50 美元，总计约 500 美元。

示例假设下，Fable 5.1 相比 Fable 5 节省的是 150 美元读取费，而不是整个项目直接下降 75%。

这组计算说明两件事。第一，缓存相对完全不缓存的价值很大；第二，在已经使用 Fable 5 缓存的前提下，Fable 5.1 的总账单从 650 美元降到 500 美元，降幅约 23%，与“典型负载约省 25%”的官方表述接近。若工作流产生更长输出，读取降价在总账单中的比例还会继续下降。

3、为什么输出常成为隐藏的大头

科学代理容易产生长链解释、重复引用、代码日志和多份中间报告。输出价是输入价的五倍，也是新缓存读取价的两百倍。节省成本最有效的动作往往不是继续压低输入，而是限制中间输出：让模型保存结构化证据对象，只在关键节点生成自然语言；工具日志按需回填；同一结论不在每轮重复展开。低 effort 若能减少冗长思考与无效工具调用，也会通过输出侧产生价值。

（三）缓存的盈亏平衡与时效约束

1、5 分钟缓存第一次复用即划算

设缓存内容为 D MTok，后续完整复用 R 次。不缓存的输入成本是 10D(1+R)；5 分钟缓存成本是 12.5D + 0.25DR。令两者相等，可得 R ≈ 0.256。因为 R 只能是整数，所以只要在有效期内完整读取一次，5 分钟缓存相对再次按标准输入计费就已经划算。

2、1 小时缓存需要至少两次复用

1 小时缓存的写入价为 20D，盈亏平衡条件为 20D + 0.25DR < 10D(1+R)，得到 R > 1.026。也就是说，至少两次复用才开始胜出。若团队把 200 篇论文一次性写入一小时缓存，却只做一轮后续总结，账单反而高于不缓存。缓存策略必须绑定调度器：预计复用次数、时间窗口与失效概率都要进入路由规则。

缓存价值来自复用；横轴是同一上下文的后续完整读取次数。

（四）effort 是路由信号，不是固定倍率开关

1、五档强度的真实含义

Fable 5.1 支持 low、medium、high、xhigh、max 五档 effort，默认 high。官方把它定义为行为信号，而非严格 token 预算：它会影响文字长度、工具调用、思考深度与总体 token 使用，低档在简单任务上可能跳过深度思考。公开文档没有承诺任意两档之间固定相差 5—10 倍，因此预算表不能把这个倍率当成保证。

2、正确做法是按风险升级

论文去重、字段抽取、格式转换可从 low 开始；方法学一致性检查和跨论文证据整合可用 medium 或 high；涉及作用机制、实验优先级与候选淘汰的判断再升级到 xhigh 或 max。路由器不应只看任务名称，还应看不确定度、证据冲突、后续决策的不可逆性与人工复核成本。若低 effort 的结构化答案未通过校验，应自动升级，而不是让研究员手工重跑。

更细的实现要注意缓存行为：按消息设置 effort 可以保持提示缓存，而改变顶层 effort 配置可能导致缓存失效。性能调优必须把“更深推理的收益”与“缓存失效的代价”一起测量。

四、三项科学演示应放进证据金字塔

Mythos 5.1 的蛋白质设计、金星地形重建和 GPU kernel 优化，展示了模型跨越湿实验、地球科学与高性能计算的广度。它们很有启发性，却不处在同一个证据层级。结合亲和力是实验测量，结构图是预测；地形地图可以公开下载复核；代码加速则取决于硬件、基线实现和尚待开放的优化代码。把它们统称为“科学能力”，会掩盖验证路径的差异。

越接近生产决策，越需要独立复现、失效分析和外部效度。

（一）蛋白质设计：结合不等于成药

1、结果为何令人重视

Anthropic 报告其流程覆盖 12 个靶点，候选结合命中率接近 50%，而其引用的常见水平约为 10%—15%；在三个靶点上，最佳候选的结合亲和力比 Adaptyv Bio 竞赛相关参照高约一个数量级。若能在更多实验室复现，这会显著改变生成式蛋白设计的筛选经济性：同样的合成与测量预算可以探索更大的功能空间。

2、比较口径仍需谨慎

官方脚注明确提示，Nipah 病毒靶点的“十倍”比较针对主要竞赛中受体结合位点的约 8—12 nM 结果；另有一个针对 stalk 区域的 1.4 nM 条目，与 Anthropic 最佳候选接近。展示的结构来自 ESMFold2 预测，实验确认的是结合，而非三维结构本身。结合亲和力也不能替代选择性、稳定性、表达量、免疫原性、细胞活性、药代与安全性。最稳妥的结论是“候选生成与早期命中率出现强信号”，而不是“模型已经完成药物发现”。

（二）金星地图：公开产物提高了可验证性

1、分辨率提升的含义

团队把金星高分辨率地形细节从约 10—20 公里推进到约 2—3 公里，并报告高程准确性最高改善约 25%。这种成果的价值不仅在于数字更漂亮，而在于更细地形可能支持地质构造、火山活动与着陆区风险的新分析。

2、开放地图优于只展示截图

相关地图已通过 Zenodo 公开并附许可，这使外部研究者能够与 Magellan 数据、既有雷达测高方法和后续观测交叉检查。对科学 AI 的评价应优先奖励这种可下载产物：模型对话无法复核，数据与代码可以。下一步仍需回答训练数据泄漏、地形先验偏置、局部误差分布和不同区域的稳健性，而不能只看平均分辨率。

（三）GPU kernel：速度数字必须绑定基线

1、最高 2.5 倍并非所有任务都 2.5 倍

Anthropic 报告对七个开源生物与基因组模型进行 kernel 优化，在 H100 上最高加速 2.5 倍，并估算 GPU 成本可下降 30%—60%。这里的关键词是“最高”：具体收益取决于模型尺寸、批量、精度、内存带宽、编译器和原实现质量。部署前应以团队自己的序列长度与吞吐目标重跑。

2、可复现性仍在等待代码

发布时的表述是相关优化计划随后开放，而不是已经全部开放。没有代码、固定依赖与测试输入，外部团队暂时只能把它视为有工程可信度的供应商演示，不能当作独立复现结果。采购材料应把“已公开可复跑”“可下载但未复跑”“仅供应商演示”分成不同证据等级。

（四）从演示到生产需要跨越四道门

第一道门是任务有效性：指标是否对应真实研发问题。第二道门是可重复性：不同随机种子、操作者与环境是否稳定。第三道门是外部效度：换靶点、换数据分布、换实验室是否仍成立。第四道门是决策价值：更高命中率是否最终减少周期、成本或失败风险。科学团队应为每项模型能力建立这四道门，而不是把发布会结果直接写入年度收益预测。

五、Fable 与 Mythos：同一模型的两种风险边界

Anthropic 明确表示，Fable 5.1 与 Mythos 5.1 共享同一底层模型，差异在于安全级别、可访问人群与使用条件。Fable 面向常规商业用户；Mythos 通过受限计划提供给经过验证的组织，服务可能涉及更高能力上限的科学研究。这种做法不是传统意义上的“小模型与大模型”分档，而是把安全配置和客户资格变成产品层的一部分。

能力底座相同，访问资格、护栏与责任边界不同。

（一）为什么需要两层产品

在生命科学中，很多能力天然具有双重用途。高质量的蛋白设计、实验方案优化和自动化文献综合可以加速药物发现，也可能降低危险研究的技术门槛。若对所有用户使用最严格的统一护栏，良性科研会频繁受阻；若完全放开，又会扩大高风险能力的暴露范围。分级访问试图把“谁在做、为什么做、在哪里做、如何审计”纳入风险判断。

它的优势是可以让验证实验室获得更少摩擦的工作流，同时保留身份核验、用途约束与额外监控。它的风险是形成不透明的能力分层：哪些机构可以申请、评估标准是什么、错误决定如何申诉、跨国团队如何处理数据与责任，这些都需要持续公开。产品分层只有与清晰治理相结合，才不是简单的市场区隔。

（二）60% 与 85% 应该怎样读

1、网络安全的 60%

官方口径是在 Claude Code 场景中，相比 Fable 5 的护栏，Fable 5.1 平均每个会话的安全干预次数约减少 60%。它衡量的是干预频率，不是一个适用于所有网络安全提示的误报率。干预减少可能来自意图识别更准、上下文利用更好或策略边界变化；只有把良性通过率与危险请求阻断率同时报告，才能判断安全—可用性是否真正改善。

2、生物学的 85%

85% 指良性生物请求触发安全回退的次数下降。专业研发中的某些内容仍可能被改写、限制或转入其他处理路径，尤其当请求包含可操作的高风险实验细节。把这个数字写成“生物领域误拒率下降 85%”容易让读者以为所有实验室场景都获得相同比例改善，而公开资料并不支持如此广泛的推断。

（三）科研团队应同时建立可用性与安全集

内部测试至少需要两套集合。可用性集包含蛋白结构分析、机制归纳、常规实验设计、文献冲突解释等合法任务，衡量无故拒绝、内容删减和上下文丢失；安全集则由机构安全团队设计，覆盖明确禁止或需要升级审核的请求，衡量越界率。两套结果应同时进入上线门槛，避免用降低误拒掩盖漏拦截，也避免用零越界换取无法工作的系统。

对于每次安全干预，还应记录请求类型、上下文、响应方式、是否可恢复、人工处理时间和最终结论。一个可解释且能引导用户改写的限制，生产成本远低于无上下文的硬错误；把所有干预计为同一类，会错过产品改进空间。

六、反蒸馏：它关闭的是“上下文手术”通道

Fable 5.1 引入的 preserved thinking 完整性检查，是本次发布中最容易被夸大的机制之一。它的设计重点不是阻止模型输出任何可被学习的行为，而是保护 API 历史消息中由模型生成并保留的 thinking block：后续请求必须原样带回这些块，不能编辑、拼接、伪造或要求模型把其中内容再次暴露。

API 在继续对话前校验系统提示、工具定义、消息顺序与保留思考块的一致性。

（一）机制如何工作

1、校验对象不只是思考文字

根据支持文档，新 API 账户使用 Fable 5.1 时，服务会验证前序系统提示、工具定义、消息以及模型生成的 thinking block 是否保持一致。若客户端重写了历史、移动了消息、伪造了块或修改了块内内容，严格模式会返回错误。这使攻击者难以通过“先让模型产生隐藏推理，再篡改上下文逼它解释隐藏内容”的方式直接抽取推理轨迹。

2、非严格模式是兼容性阀门

非严格模式可继续请求，但受影响的 thinking block 会被丢弃，响应会告知哪些块没有被采用。它适合仍会压缩历史或注入提醒的旧集成逐步迁移，却也意味着系统可能在没有完整先前思考的情况下继续工作。团队应把这类事件写入可观测日志，避免把上下文退化误判为模型能力波动。

（二）它能防什么，又不能防什么

1、被显著抬高成本的攻击

机制能够阻止对保留推理块的直接编辑与回放操纵，也能让上下文篡改从静默发生变成明确错误。对于依赖推理轨迹进行教师数据收集的自动化脚本，这会增加集成难度，并减少高价值隐藏推理被原样导出的机会。

2、仍然存在的蒸馏路径

行为蒸馏并不要求读取隐藏思考。攻击者仍可用大量输入—输出样本学习模型的决策边界、写作风格、工具选择和答案分布；也可以让模型生成解释、合成训练题或评分数据。完整性校验因此是针对一类攻击面的技术控制，不是“从技术上彻底禁止蒸馏”。公开资料也不足以证明这是全行业首次出现任何形式的技术反蒸馏，应避免使用无法核验的唯一性表述。

（三）对现有代理框架的现实冲击

许多长程代理会压缩对话、重排工具日志、插入运行时提醒或只保留部分历史。过去这些操作只是影响上下文质量，现在可能触发校验失败。升级前需要盘点四类行为：消息序列化是否稳定，工具 JSON 是否会动态排序，压缩器是否修改先前助手消息，重试系统是否把旧 thinking block 复制到新分支。

最佳做法是把模型返回的保留块视为不可变对象，用哈希与引用管理，而不是当作普通文本拼接；压缩应生成新的显式摘要消息，并保留受保护块的边界；分叉对话要创建清晰的新会话，而不是把不同分支的历史混合。新账户在 2026 年 8 月 31 日之后创建时首先受到该规则影响，既有账户对 Fable 5.1 的行为可能不同，版本与账户状态都应进入回归矩阵。

七、水印不是“AI 身份证”，更不是事实证明

Anthropic 为 Fable 5.1 文本采用一版 SynthID‑Text，在采样过程中对候选 token 的选择施加微弱统计偏好。水印不靠零宽字符、特殊空格或隐藏元数据，也不会给文本附带用户或组织身份。另一个私有预览检测接口可以估计一段文本是否可能由 Claude 参与生成。

水印提供统计归因线索，但不会证明作者、事实正确性或未经编辑。

（一）统计信号如何进入文本

语言模型每一步都会在多个可能 token 中采样。水印算法根据密钥对候选项做细微偏置，使长文本积累一种检测器可识别的统计模式。由于使用的仍是正常 token，文本不会出现可见标记，也不额外增加 token。Nature 发表的 SynthID‑Text 研究在约两千万条 Gemini 响应上评估了方法，并报告未发现显著质量下降，为技术可行性提供了独立于 Anthropic 发布的学术依据。

（二）检测结论只能是概率性的

短文本、低熵的事实回答和代码可供选择的 token 很少，检测力较弱；彻底重写、翻译或多轮编辑也会削弱信号。检测结果只能支持“Claude 可能参与生成”，无法确认具体的人类作者，无法证明文本没有后期修改，也不能判断陈述是否真实。因而不能把水印阳性当作学术不端的单一证据，更不能把阴性当作人类创作证明。

（三）欧盟合规价值在于流程而非标签

Anthropic 已签署欧盟通用人工智能模型实践准则；欧盟关于 AI 生成内容透明度的义务自 2026 年 8 月起进入适用阶段。文本水印可作为透明度工具之一，但合规仍需要模型提供方与部署方共同处理披露、记录、用户告知和争议处置。对科研机构而言，更可靠的方案是把水印检测与提示版本、模型 ID、时间戳、引用清单、人工修改记录一起保存。

图片与文件采用的 C2PA 内容凭证则是另一种机制：它把签名来源信息放在文件元数据链中，更适合资产级追踪；文本水印位于 token 统计分布中，更能跨越复制粘贴。两者不能混为一谈，也各自可能在格式转换或编辑中丢失。

八、EFS：把敏感内容留在客户控制边界

Enterprise Frontier Safeguards（EFS）面向需要更高安全保证的企业客户。公开架构的核心是：内容写入客户自有云存储，客户掌握加密密钥、访问权限与审计日志；自动监控在滚动时间窗口内检查风险模式，触发事件后通知客户安全团队；默认情况下，Anthropic 人员不进行人工查看。把它概括为“数据平面与控制平面分离”是一种合理的架构解读，但不是公开材料中需要逐字照搬的正式定义。

内容存储、自动监测、事件响应与模型调用形成四个可独立治理的控制点。

（一）安全价值来自客户可控性

1、密钥与访问边界

客户管理的密钥意味着组织可以定义谁能解密、何时轮换以及离职后如何撤权；自有存储让数据保留、地域与删除策略更容易对齐内部制度。审计日志则把“谁在何时访问了什么”转化为可调查事件。这些特征对于未公开靶点、序列、实验数据和专利策略尤其重要。

2、自动监控与人工升级

滚动窗口监控比逐条孤立分类更适合发现跨多轮累积的风险模式。事件先交由客户团队处理，也减少供应商人员默认看到敏感内容的范围。不过，组织必须真的具备响应能力：告警归属、值班时限、证据保全和误报申诉若不清楚，技术控制只会制造新的工单队列。

（二）“免费能力”仍有云账单

Anthropic 表示 EFS 本身不额外收费，但客户仍承担云存储、读写请求、密钥服务、日志、跨区域传输与可能的出口流量费用。大规模论文库与实验日志会反复写入和扫描，若没有生命周期策略，治理账单可能抵消部分 API 节省。总拥有成本应包括模型费、云费、平台工程、安全运营和人工复核，而不是只比较 token。

（三）上线前必须问清的七个问题

• 监控组件运行在哪个账户与地域，是否跨境传输？

• 告警规则由谁更新，客户能否查看版本与阈值？

• 客户密钥被吊销后，历史内容和索引如何处理？

• 供应商在故障排查、法律请求与安全事件中何时可以访问？

• 日志是否包含提示全文、哈希、元数据或模型输出，保留多久？

• 自动监控失效时系统是继续运行、降级还是停止？

• 从 EFS 迁出时，数据、策略与审计证据能否完整导出？

这些问题的答案决定 EFS 是可审计架构，还是只有一层“客户自有存储”的标签。公开信息显示该能力从秋季开始分阶段推出，尚未普遍可用；符合条件的客户在可用前可获得零数据保留安排。项目计划应把可用地区、合同条款与迁移时间作为依赖项。

九、同类比较必须使用同日、同任务、同口径

把 Fable 5.1 与“GPT‑5”“Gemini 2.5 Ultra”“Llama 4 Maverick”放在一张表里，看似全面，实际上混合了不同日期、不同产品名称、估算分数与不可比部署方式。到 2026 年 9 月 5 日，OpenAI 已发布 GPT‑6 Astra；Google 的公开产品线也已进入 Gemini 3 系列，“Gemini 2.5 Ultra”并非当前官方模型名称。若比较表不能标出核验日期和证据来源，越详细越容易制造精确错觉。

比较模型时，能力、价格、访问与治理必须分栏，并标出相同截止日期。

（一）相同基准能说明什么

这张表比跨基准估算可靠，但仍不是严格的头对头第三方测试。供应商可能选择不同最大 effort、代理脚手架与运行预算；发布时间相隔三天，也可能使用不同提交或修复。可以合理地说 GPT‑6 Astra 在其官方披露的科学终端与自动化成绩上更高，Fable 5.1 在同家族内跃升显著，受限的 Mythos 5.1 在 Terminal‑Bench 4.0 上仍高于两者；不能据此断言某个模型在所有药物发现任务中更强。

（二）价格比较应把长上下文台阶写出来

表中金额均为美元/百万 tokens，具体区域、批处理、优先级与工具费用可能另计。

Fable 5.1 的优势不是标准输入便宜，而是在超长上下文保持标准价且缓存读取极低。GPT‑6 Astra 的标价与 Fable 5.1 看似相同，但单篇 10 万 tokens 不触发长输入台阶，把多篇论文拼进一次超过 272k 的请求则可能触发。Gemini 的输入与输出明显便宜，但显式缓存带有按时间计算的存储费。最佳切分方式因模型不同：不能用同一种“把资料全塞进上下文”的架构公平比较账单。

（三）开源模型解决的是另一类问题

Llama 等开放权重模型的 API 单价可以写成“自托管”，却绝不等于零成本。GPU 折旧或租赁、闲置率、推理框架、量化、监控、安全补丁、值班与数据治理都会进入总拥有成本。它们的优势是部署边界可控、可深度定制、不会被外部 API 突然改变策略；劣势是前沿科学任务的能力验证与安全责任更多落在团队身上。

如果数据绝不能离开受控环境，开放权重可能是硬约束下的优选；如果目标是迅速获得最高推理能力，托管前沿模型更有吸引力。把两者放在同一“每百万 tokens 价格”列中，会忽略资本成本与组织能力。

（四）选择模型的四象限

1、高风险、高不确定任务

例如候选机制判断、实验优先级、潜在双重用途内容，适合强模型、高 effort、工具验证与专家复核。若符合资格且治理到位，可评估 Mythos；否则采用 Fable 或竞争模型，并把受限环节交给人类。

2、高风险、低不确定任务

例如按既定 SOP 做结构化合规检查，模型能力并非瓶颈，确定性规则与人工签字更重要。可以使用较便宜模型，但必须保持完整日志。

3、低风险、高不确定任务

例如开放式假设生成、跨学科类比，适合并行调用不同模型做多样性探索，再用检索与实验条件约束收敛。这里“多个独立视角”可能比单个最高分模型更有价值。

4、低风险、低不确定任务

例如格式转换、去重和字段抽取，应优先用低 effort、批处理或本地小模型。让最昂贵模型完成这些工作，既浪费预算，也增加供应商锁定。

十、药物发现团队的目标架构：模型只是其中一层

一个可靠的 200 篇论文分析系统，应把文献事实、模型判断、计算结果与人类决策分开存储。PDF 先经过可追溯的解析与段落定位；检索层返回带页码或段落标识的证据；模型生成结构化主张与置信度；工具层验证序列、单位、统计和代码；评审层只处理冲突与高影响结论。这样即使更换模型，证据对象和审计链仍然可用。

模型位于证据层与验证层之间；缓存、路由和审计都可以独立替换。

（一）把全文缓存改造成证据缓存

全文缓存适合短时间内重复阅读，但长期系统不应依赖模型提供方的缓存作为知识库。每篇论文应拆成可寻址片段，并保存文献标识、版本、页码、图表引用、解析时间与内容哈希。模型收到的是与问题相关的证据包，必要时再升级到整篇上下文。这样能减少 token，也能让每个结论回到具体证据。

对于同一篇论文的多轮分析，可在 5 分钟窗口内把方法、结果与补充信息合并处理；需要跨小时反复讨论时，先比较 1 小时缓存与本地检索的成本。论文内容本身是稳定的，本地索引的复用寿命远长于 API 缓存；缓存应是传输优化，不应成为唯一记忆。

（二）路由器需要四个输入信号

1、任务复杂度

抽取单个字段与整合矛盾证据所需推理不同。可以用历史错误率、预计工具步数和证据数量估计复杂度，选择 effort 与模型。

2、决策影响

一条摘要写错和据此取消一批实验的后果不同。影响越不可逆，越需要更强模型、第二模型复核或专家签字。

3、信息敏感度

公开论文、内部实验结果、候选结构和安全相关内容应进入不同数据通道。路由前先做数据分类，避免模型选对了、传输边界却错了。

4、时延与预算

交互式科学讨论需要低延迟，夜间批量抽取更适合 Batch。路由器要同时看到单任务预算、项目累计预算和截止时间，防止局部最优拖垮整体。

（三）验证器必须独立于生成器

让同一个模型“检查自己的答案”通常只能提供弱独立性。更可靠的验证包括：用文献定位器确认引文确实支持主张；用确定性脚本核对单位、数值与序列；用另一模型盲审冲突；把关键结论交给领域专家。对于代码任务，要在隔离环境运行测试，而不是把代码外观当作正确性。

验证结果需要反馈到路由器。若某类任务在 low effort 下频繁遗漏限定条件，系统应自动提高档位；若强模型在结构化抽取上没有显著优势，就把该任务下放。持续路由依赖数据，而不是对模型品牌的直觉。

十一、六周落地计划：先建立测量，再扩大自动化

模型发布节奏已经快于多数企业采购周期。最稳妥的方式不是等待“最终赢家”，也不是立刻把全部论文灌入生产，而是用六周完成一轮可撤回的验证：两周建立黄金集，两周做盲测与成本回放，两周进行受控试点。每一阶段都有停止条件。

每一阶段都产生可复用资产，并允许在证据不足时停止。

（一）第 1—2 周：构建黄金集与失败分类

从 200 篇论文中分层抽取 30—40 篇，覆盖综述、方法、结构生物学、计算预测、负结果与相互矛盾的研究。由两名领域专家独立标注关键主张、实验条件、证据位置和不可接受错误，再解决分歧。不要只制作“标准答案”，还要标注允许多种解释的问题。

同时定义失败分类：引用不存在、数字转录错误、条件遗漏、因果过度推断、不同蛋白或物种混淆、结构预测被当成实验事实、工具执行失败、安全误拦截、敏感数据越界。每类错误分配严重度与可检测性。

（二）第 3—4 周：盲测模型、effort 与缓存策略

1、能力盲测

隐藏模型名称，用相同证据包、输出模式和时间预算比较 Fable 5.1、至少一个竞争前沿模型以及成本较低的基线。每题重复运行，报告平均值与方差。评分应包括事实正确、引用忠实、条件完整、冲突识别、工具成功和专家节省时间。

2、成本回放

记录每次调用的实际输入、缓存创建、缓存读取、输出、工具回填与失败重试。分别模拟无缓存、5 分钟聚类、1 小时会话和本地检索四种拓扑。使用目标 tokenizer，而非字符数估计。

3、安全与集成回归

用合法生物任务检查误拦截，用机构批准的安全集检查越界；测试对话压缩、分支、重试与 thinking block 完整性。若某框架需要改写历史，先修集成，再判断模型表现。

（三）第 5—6 周：受控试点与人工闸门

选一个不会直接触发湿实验或候选淘汰的真实项目，例如为一个已知靶点建立证据图谱。模型输出进入沙盒数据库，研究员必须确认后才能写入正式知识库。每天复盘高严重度错误，每周比较节省时间与新增复核工作。

上线闸门至少包含：关键事实精确率达到团队阈值；严重幻觉为零或均被独立验证拦截；良性任务干预率不破坏节奏；敏感数据路径通过安全审查；单位任务总成本和 P95 时延在预算内；模型可在两周内替换。任何一项不满足，都应缩小范围，而不是用平均分掩盖。

（四）建议的首版路由政策

这套政策把昂贵推理留给高价值环节，也把“自动升级”和“必须停止”写进系统。它比要求研究员每次手选模型更稳定，更容易审计。

十二、从一次发布中得到的长期判断

Fable 5.1 证明，前沿模型的改进可以同时发生在能力、边际价格与安全精度上，而不必永远三选一。尤其是科学终端任务的跃升和极低缓存读取价，使长上下文、多轮工具使用从偶发演示更接近日常工程。但同一发布也提醒我们，供应商数据的定义、评测设置和适用范围必须逐项核查；任何一个看似微小的口径错误，都可能把采购结论带向相反方向。

Mythos 5.1 则代表另一条趋势：最前沿能力不再只按价格分配，还会按机构身份、用途、安全架构和责任能力分配。企业前沿护栏、思考块完整性和统计水印，把模型竞争从“回答得更好”推进到“谁能更可控地提供能力”。这些机制会影响代理框架、证据留存、合规与供应商关系，长期商业影响可能不亚于一次基准提升。

最重要的战略判断是：榜首会变，工作流资产应当留下。2026 年 9 月 1 日的领先叙事在三天后就被新的公开数字改写，任何单一厂商锁定都必须有退出成本评估。药物发现团队应投资于可寻址证据、标准化工具、独立验证、失败分类和路由策略；模型只是可替换的推理引擎。这样，新模型到来时，团队获得的是一次可量化升级，而不是又一轮从头迁移。

如果要用一句话概括这次代际变化：真正进入日常科研的，不是某个“无所不能”的模型，而是一套能在能力、成本与治理之间动态切换的系统。

可参考的文章与资料

以下链接均可直接打开，按“发布与产品—评测—科学验证—治理与合规—竞争对比”的顺序排列。核验日期为 2026 年 9 月 5 日。

1. Anthropic：Claude Fable 5.1 与 Claude Mythos 5.1 发布说明

2. Anthropic API：Claude 定价与提示缓存价格

3. Anthropic API：Fable 5.1 模型概览

4. Anthropic API：effort 参数与五档强度

5. Anthropic 支持文档：preserved thinking 完整性规则

6. Anthropic：Enterprise Frontier Safeguards

7. Anthropic：改进 Fable 5 的生物学安全护栏

8. Terminal‑Bench‑Science 0.1：公开基准发布与首版榜单

9. Terminal‑Bench‑Science：公开任务仓库

10. Anthropic：Fable 5.1 与 Mythos 5.1 System Card（PDF）

11. Proteinbase：标准化湿实验蛋白设计竞赛

12. Zenodo：金星地形图公开数据记录

13. AGU：Magellan 金星地形图既有方法与背景

14. Nature：SynthID‑Text 大规模文本水印研究

15. 欧盟委员会：AI 生成内容透明度实践准则进展

16. OpenAI：GPT‑6 Astra 发布说明

17. OpenAI API：GPT‑6 Astra 模型与价格

18. OpenAI：GPT‑5.6 发布与价格

19. Google AI for Developers：Gemini API 定价