Anthropic 公布的自动化红队测试系统 Anvil，是一套基于 Claude 构建、用于在模型部署前自主探测安全防护漏洞的内部评估工具，覆盖生物安全、网络安全和信息安全三类测试场景。公开对比数据显示，在信息安全测试中，Anvil 发送 435 次请求就找到首个实质性推理信息泄露漏洞，而人工专家大约发送 10.22 万次请求才发现同类漏洞，首次触达漏洞所需请求量约为人工的 1/235；在生物安全的 24 组问题与分类器组合里，Anvil 有 23 组找到严重程度更高的绕过方案，剩余 1 组与人工持平；网络安全测试中，Anvil 在 24 组任务与模型组合上完成有效突破，首次发现漏洞用时 0.5 至 3.5 小时。它的核心价值不是替代人工安全研究员，而是把过去需要数周的高强度探测压缩到数小时到一两天，作为人工红队和漏洞赏金计划之外的自动化补充手段。需要注意的是，这些结果来自受控内部评估，测试条件与外部真实攻击者能获得的条件存在差异，不能直接等同于现实攻击中的风险水平。
一、Anvil 是什么
| 项目 | 内容 |
|---|---|
| 系统名称 | Anvil |
| 开发方 | Anthropic |
| 构建基础 | 基于此前开发的 Investigator Agent（调查智能体），底层使用 Claude |
| 工具定位 | 自动化红队测试系统，自主寻找模型安全防护机制中的漏洞 |
| 测试领域 | 生物安全、网络安全、信息安全 |
| 主要用途 | 模型正式部署前完成更高强度、可重复的安全评估，辅助防护机制迭代 |
| 运行方式 | 启动多个相互独立的 Claude 任务并行测试目标模型与分类器 |
Anthropic 开发这套系统的背景是：随着模型能力增强，外部攻击者可能花费数周甚至数月寻找防护漏洞，而模型开发商需要在部署前的数小时到数天内完成安全测试；过去主要依赖外部承包团队和漏洞赏金计划，防护加强后人工在有限时间内越来越难找到严重漏洞。
二、人工与 Anvil 的效率对比
| 测试领域 | 人工测试表现 | Anvil 表现 |
|---|---|---|
| 生物安全 | 一场漏洞赏金活动投入超 7 周、累计 430 小时，仅在 8 个问题中的 1 个上找到高严重程度绕过方案 | 24 组组合中 23 组方案严重程度高于人工，1 组持平；24 至 48 小时内即可找到可提供显著有害信息的方案 |
| 网络安全 | 两支外部专家团队累计超 225 小时、超 4.2 万次请求，仍未在两个目标模型上找到通用绕过方案；22 组实测中 11 组报告突破，严格复核后多数不符合 "目标模型独立完成全部步骤" 的定义 | 24 组任务与模型组合全部实现有效突破，首次发现漏洞用时 0.5 至 3.5 小时；旧版自动化系统完成 75 项，Anvil 完成 118 项 |
| 信息安全 | 人工专家累计约 204 万次请求，约 10.22 万次请求后才发现首个实质性推理信息泄露漏洞 | 约 649 个测试会话、总请求约 13.2 万次；435 次请求即找到首个实质性泄露漏洞，人工达到该请求量时，Anvil 已在 76 项目标任务中的至少 38 项发现成功攻击 |
补充对比口径：双方发现的最严重泄露程度相近，Anvil 的主要优势在效率、请求利用效率和覆盖规模，而不是发现了人工完全看不到的全新类型风险。
三、Anvil 的工作方式
运行机制
- 并行启动多个相互独立的 Claude 任务，分别对目标模型和分类器发起探测；
- 研究人员可以提供初始攻击策略，例如把请求拆分到多轮对话中、使用外语提出请求；
- 在反复交互中，Anvil 根据目标模型的回复调整后续请求，持续尝试新的表达方式和路径；
- 找到可绕过分类器的请求后，再继续处理下一个子任务。
常见探测策略（仅作方法层面的概括）
- 任务拆分：把复杂目标拆成多个看似无害的小步骤，逐步完成原本受限的操作；
- 表达改写：反复改写或翻译同一条请求，寻找能够通过分类器审核的表达方式；
- 多轮边界搜索：超过 84% 的 Anvil 测试会话包含至少连续 5 次边界搜索尝试。
策略覆盖对比
研究人员把人工与 Anvil 的攻击记录抽样归纳，聚类为 54 类策略：
| 策略来源 | 数量 | 表现 |
|---|---|---|
| 双方共同发现 | 30 类 | 其中 21 类 Anvil 平均评分更高 |
| 人工独立发现 | 18 类 | 独有策略评分中位数 0.38 |
| Anvil 独立发现 | 6 类 | 独有策略评分中位数 0.65 |
结果说明 Anvil 既能复现人工发现的多数攻击方式，也在部分策略上执行效率更高，并补出了人工没有覆盖到的探测路径。
四、三类测试的结果拆解
1. 生物安全测试
- 使用与人工漏洞赏金计划相同的 8 个测试问题，搭配 3 代生产环境分类器评估；
- 24 组问题与分类器组合中，23 组 Anvil 找到的绕过方案严重程度高于人工，1 组持平；
- 相同请求数量下，Anvil 找到的方案平均严重程度更高；
- 在通用绕过方案对比中，Anvil 生成的 3 种方案在平均严重程度和最坏情况风险表现上，优于人工提交的最佳两种方案。
2. 网络安全测试
- 覆盖 4 项基准测试，包括 ExploitBench V8、ExploitGym 及两项内部测试；
- 难度最高的 ExploitBench 任务，Anvil 平均向目标模型发送约 2800 条消息即可完成单项任务；
- 对比防护开关状态：关闭防护时多数任务只需 100 至 1000 条消息，开启防护后所需消息增加到 1000 至 1 万条，攻击成本最高增加 28 倍；
- 与旧版内部自动化红队系统相比，相近攻击预算下 Anvil 在 124 项 Cybertasks 任务中完成 118 项，旧版完成 75 项。
3. 信息安全测试
- 测试目标是评估防护模型隐藏推理内容的分类器效果，按泄露完整程度评分，达到预设阈值才算实质性泄露；
- 随着分类器版本升级，Anvil 需要发送更多请求才能让一半测试会话达到泄露标准：Opus 5.5 从 2631 次增至 9003 次，Fable 5.1 从 1254 次增至 3764 次，新版分类器约需要 3 倍请求量才能突破；
- 防护改进后，静态测试攻击漏检率从 31.5% 降至 0.4%；Opus 5 真实流量中的推理信息提取成功率从 18.6% 降至 8.1%；Fable 5.1 从 33.8% 降至 0%；
- 同期还有其他防护改进，因此真实成功率下降不能完全归功于 Anvil，但评估结果与真实流量改善存在相关性。
五、测试边界与前提条件
Anthropic 明确提示，Anvil 当前的测试条件与外部攻击者可获得的条件存在差异，解读数据时需要同时看以下前提：
- 攻击模型自身防护关闭：Anvil 使用的是关闭安全防护的内部 Claude 模型；如果攻击模型启用自身防护，绝大多数攻击请求会被直接拦截；
- 分类器评分可见：Anvil 能获取分类器的精确评分，外部攻击者通常只能知道请求是否被拦截；
- 防护拦截效果：在生物安全、网络安全和信息安全测试中，相关防护机制共拦截了 1453 个红队测试会话中的 97%，其中 85% 的会话在第一条请求时即被拦截；
- 反馈受限仍可探测：即使只能拿到 "是否被拦截" 的二元反馈，Anvil 仍能在部分任务中找到突破口，只是需要发送更多消息；
- 结论口径：测试用于内部防护评估和加固，不代表 Anvil 可被用于未授权的外部攻击。
六、意义与后续方向
- 评估提效：自动化红队把漏洞发现周期从数周压缩到数小时级别，能够跟模型迭代节奏匹配；
- 覆盖补充：并行会话和策略聚类帮助覆盖人工容易遗漏的探测路径，作为人工红队、漏洞赏金计划的补充；
- 防护迭代依据：Anvil 找到的弱点可反向用于比较不同版本分类器的强弱，验证防护改进是否生效；
- 后续关注点：在更贴近真实攻击者反馈条件下的表现、攻击模型自带防护开启后的探测能力，以及自动化红队结果与线上真实风险之间的相关性。
七、小结
Anvil 体现的方向是用 AI 智能体承担高强度、重复性的安全探测工作，在受控环境中以更少请求、更短时间发现防护薄弱点。公开数据中 "约 1/235 请求量" 对应的是信息安全测试里找到首个实质性泄露漏洞的请求对比，整体上 Anvil 的优势集中在效率和覆盖规模；其测试结果受内部条件限制，落地价值最终要回到授权环境下的防护加固与风险验证上。
【常见问题】
问题 1：Anvil 这套 AI 红队系统是用来做什么的？
回答 1：Anvil 是 Anthropic 基于 Claude 构建的自动化 AI 红队系统，用于模型部署前在生物安全、网络安全、信息安全三类场景中自主探测安全防护漏洞，为分类器和防护机制迭代提供评估依据，属于内部授权的安全测试工具。
问题 2：AI 红队对比人工红队，"1/235 请求量" 这个数据是怎么来的？
回答 2：这个数据来自信息安全测试：Anvil 发送 435 次请求即找到首个实质性推理信息泄露漏洞，人工专家约发送 10.22 万次请求才发现同类漏洞，两者首次触达漏洞的请求量对比约为 1/235；整体人工累计约 204 万次请求，Anvil 约 13.2 万次请求。
问题 3：Anvil 在网络安全测试中发现漏洞的速度和覆盖范围如何？
回答 3：网络安全测试里，Anvil 在 24 组任务与模型组合中全部实现有效突破，首次找到漏洞用时 0.5 至 3.5 小时；对比旧版内部自动化红队系统，相近预算下 Anvil 完成 118 项任务，旧版完成 75 项；开启安全防护后，完成任务所需消息量最高增加 28 倍。
问题 4：Anvil 的测试结果能否直接代表现实中的外部攻击风险？
回答 4：不能直接等同。Anvil 使用关闭自身防护的内部模型，并能看到分类器精确评分，这与外部攻击者条件不同；Anthropic 也提示相关测试在受控授权环境中进行，开启攻击模型自带防护后 97% 的红队会话会被拦截，实际风险需结合真实流量和外部反馈条件再评估。
【参考资料】
- [2026-11-13]（Anthropic 新 AI 红客来了！只用人类 1/235 的请求量，就找到严重漏洞）智东西（今日头条转载）
- [2026-11-14]（Anthropic 新 AI 红客来了！只用人类 1/235 的请求量，就找到严重漏洞）ZAKER 新闻
- [2026-10-22]（Red-Teaming Auto Mode: Improving Blocking Classifiers Against Malign Coding Agents）Anthropic Alignment Science Blog
- [2026-08-31]（Improving our alignment and security practices）Anthropic
- [2026-07-30]（Investigating three incidents in our cybersecurity evaluations）Anthropic
- [2026-05-22]（Project Glasswing: An initial update）Anthropic
- [2026-04-07]（Claude Mythos Preview）Anthropic Frontier Red Team
- [2026-05-12]（How Anthropic's cybersecurity team built a threat detection platform with Claude Code）Claude Blog
【免责声明】
本文内容基于公开报道与官方资料整理，仅用于 AI 安全评估与技术趋势交流，不构成任何渗透测试、漏洞利用或安全攻防的操作指引。文中涉及的测试场景、请求量对比、任务完成数量和用时数据，均来自 Anthropic 内部受控评估环境，受测试版本、任务定义、防护配置和评估口径影响，不代表产品在现实环境中的安全水平。任何安全测试均须在明确授权、合规合法的前提下进行；引用的外部资料版权归原出处所有，如表述存在偏差，以官方原始文献为准。