Claude Opus 5.5 vägrade utföra muskirurgin: Anthropic dokumenterar en omdirigering, redogörelsen beskriver en vägg

{{1}}Natten till den 27 oktober{{/1}} anestesierades {{2}}en mus med epilepsi{{/2}} och {{3}}250 nanoliter av en genterapi{{/3}} pressades in i dess hjärna genom en motordriven stereotaktisk arm. {{4}}En mänsklig kirurg öppnade skallbenet.{{/4}} {{5}}En legitimerad veterinär godkände varje oåterkalleligt steg och höll i en fysisk nödstoppsbrytare.{{/5}} Vilken av {{6}}19 kandidatvektorer{{/6}} som skulle ges, och var i hjärnan den skulle placeras, valdes av {{7}}en AI-agent{{/7}} — och modellen som fattade valet, enligt den redogörelse som dess operatör publicerade på X den 28 oktober, var {{8}}Claude Sonnet 5{{/8}}, som Anthropic släppte den 30 juni 2026 och nu listar som äldre. {{9}}Två nyare modeller hade provats först.{{/9}} {{10}}Claude Opus 5.5{{/10}}, den nuvarande Opus, släppt den 22 september 2026, vägrade så snart den upptäckte att uppgiften var biologisk. {{11}}Claude Opus 5{{/11}}, släppt den 24 juli 2026, övade hela proceduren på vatten och rutat papper och avböjde sedan att börja på ett levande djur. {{12}}Ingen av de tre är ny, och inget lanserades den här veckan{{/12}} — det nya är händelsen, och den är det enda skälet till att den här artikeln finns.

Det som följer skiljer på tre saker som rapporteringen har blandat samman: vad operatören säger hände, vad Anthropics publicerade dokumentation säger ska hända när en Claude-modell möter biologi, och vad någon av dessa betyder för ett team som kör agenter som berör laboratoriearbete. Den första är overifierad och bygger på en enda källa. Den andra är publicerad, daterad och skiljer sig från anekdoten på ett sätt som har betydelse. Den tredje är den enda del du kan handla utifrån i dag.

Påståendet, i den detalj som sammanfattningarna utelämnade

Tråden beskriver en uppsättning snarare än en demo. Nitton genterapivektorer överlämnades till agenten i ett kalkylblad. Den fick en musmodell för epilepsi, en egenbyggd motoriserad stereotaktisk rigg byggd på en Arduino med kameror och motorstyrning exponerade som verktyg, och ett mål: minska anfallen. Den valde en vektor som förstärker GABA-signalering under en GABAergiskt begränsad promotor, härledde injektionskoordinater från tre forskningsartiklar, såg en kirurg utföra kraniotomin — ett steg den inte hade tillåtelse att försöka — och styrde sedan armen själv, injicerade 250 nanoliter och pausade 32 gånger på kamerabilder för att kontrollera ingångsstället för blödning. Tillsynen är det som gör historien trovärdig som ingenjörsarbete: mänskliga grindar vid varje irreversibel åtgärd, volymvaliderare, hashbundna godkännanden och en veterinär med en fysisk nödstopp. Musen ska enligt uppgift ha återhämtat sig.

Det som fångar intresset är modellbeteendet. Claude Opus 5.5 vägrade omedelbart när den kände igen det biologiska innehållet. Claude Opus 5 genomförde en fullständig torrövning på vatten och rutpapper och stannade sedan vid tröskeln till den verkliga operationen; The Rundowns sammanfattning av tråden från den 29 oktober citerar den för att ha sagt att det är värre att påbörja något som den inte kan slutföra på ett bedövat djur än att inte påbörja det alls. Claude Sonnet 5 slutförde, i samma sammanfattning, proceduren från början till slut.

Källmaterialet är en enda persons redogörelse. Gabriel Ocana-Santero är medgrundare av Exin Therapeutics, en YC W25-genoterapistartup, och tråden är hans; allt som följer efter – sammanfattningsredogörelsen, aggregatorinläggen, de kinesiskspråkiga korten – härstammar från den. Vi hittade ingen preprint, inget protokolldokument, ingen referens till ett etikgodkännande, inga anfallsantal före eller efter, ingen video av injektionen och ingen bekräftelse från tredje part. ”Recovered” är inte definierat. Experimentets datum anges bara som kvällen före. Två olika meningar uppges komma från Claude Opus 5 i källorna, vilket är så en parafras kan se ut och även en påminnelse om att varje citat här är andrahandsinformation. Behandla hela redogörelsen som ett påstående i väntan på en artikel, inte som ett resultat.

Den nyaste Claude är den med den strängaste biologi-nivån.

Vägransordningen i anekdoten är inte slumpmässig, och den överensstämmer med skyddsåtgärder som Anthropic dokumenterar offentligt. När Claude Opus 5.5 lanserades den 22 september kom den med den skyddsnivå som tidigare var reserverad för Claude Fable 5.1 – klassificerare för cybersäkerhet, biologi och destillering. För biologi säger artikeln i Anthropics hjälpcenter från den 25 september att Opus 5.5 har "säkerhetsklassificerare som liknar Claude Fable 5 för biologi" och kan falla tillbaka på Claude Opus 5 vid dual-use-förfrågningar inom områden som virologi, toxikologi och molekylär design, samtidigt som den påpekar att de flesta förfrågningar till endera modellen aldrig någonsin leder till en fallback. Claude Opus 5, som är en generation äldre, har över huvud taget ingen fallback för biologi; artikeln säger att den använder samma skyddsåtgärder inom dessa ämnen som Claude Opus 4.8. Claude Sonnet 5 föregår hela upplägget.

• Claude Opus 5.5 — släpptes 22 september 2026, 4 USD för indata och 20 USD för utdata per miljon tokens, biologiklassificerare i Fable 5-klass, dual-use-biologi dirigeras om till Claude Opus 5, berättigad till Anthropics Life Sciences Verification Program.

• Claude Opus 5 – släpptes 24 juli 2026, 5 och 25 dollar per miljon tokens, ingen biologi-reservlösning, skyddsåtgärder från Opus 4.8-eran, även berättigad till verifiering.

• Claude Sonnet 5 — släpptes den 30 juni 2026, 2 USD och 10 USD per miljon tokens, klassad som legacy med utfasning tidigast den 30 juni 2027, berättigad till verifiering.

Läs de tre raderna tillsammans, så ser anekdoten inte längre ut som tre modeller som är oense om etik. Den mest kapabla och dyraste modellen att resonera med har den hårdaste spärren; modellen som utförde operationen är den äldsta, billigaste och minst skyddade av de tre. Det är ett designval som fungerar enligt konfigurationen, inte en slantsingling.

Det dokumenterade beteendet är en substitution. API:et utför den inte som standard.

Här skiljer sig redogörelsen och dokumentationen åt, på ett sätt som bör förändra hur du bygger. Anthropics design för Opus 5.5 biology är inte en mur, det är en överlämning: begäran flyttas till Claude Opus 5, reservvägen görs synlig ("Alla fallbacks är transparenta"), responsen märks med modellen som svarade, och svaret faktureras enligt den svarande modellens taxor. En vägran — ett fullständigt stopp — är vad dokumentationen beskriver för destillationsförsök, där block uttryckligen inte faller tillbaka.

Detaljen som förklarar mycket: automatisk växling är aktiverad som standard i Claude-apparna, men i API:t säger Anthropic att den inte är aktiv som standard – förrän du konfigurerar den returnerar modellen ett 200-svar med en stopporsak. En agent-harness som läser det svaret ser ett stopp, inte en substitution. Så "Claude Opus 5.5 avböjde" är exakt hur en okonfigurerad pipeline skulle se ut, oavsett om klassificeraren själv stoppade begäran eller om reservlösningen helt enkelt aldrig utlöstes. Två tolkningar passar beskrivningen lika bra, och de har olika lösningar. Och om växling hade varit konfigurerad kan modellen som avböjde ha varit Claude Opus 5 som svarade i Opus 5.5:s ställe, vilket operatören bara skulle kunna se utifrån svarets etikett.

Faktureringsdetaljen är värd att känna till innan du dirigerar biologi i volym. Förfrågningar som stoppas av en biologiklassificerare innan någon utdata producerats faktureras, medan blockeringar i andra kategorier inte gör det. Ett reservsvar faktureras separat, enligt den svarande modellens taxor – och reservmålet är den dyrare modellen: Claude Opus 5 till $5 och $25 per miljon tokens mot Claude Opus 5.5 till $4 och $20. Varje omdirigering inom biologi hamnar därför 25 % högre per token än modellen du begärde, före den cache-miss-kredit som Anthropic uppger sig tillämpa.

Klassificeraren styr subjektet, inte risken.

Anthropics klassificerare granskar allt modellen läser, inklusive minne, innehåll från anslutningar, webbsökresultat och filer – vilket är varför innehåll som du aldrig har skrivit kan utlösa ett stopp – och företaget säger att dess kontroller också väger in "en rad signaler för kontots pålitlighet", vilket är det dokumenterade skälet till att två konton kan få olika svar på samma begäran. Det är ett domänfilter, och mus-kontot visar vad ett domänfilter fångar och inte fångar. De fysiska riskerna i den proceduren hanterades av människor och hårdvara: en veterinär som godkände varje irreversibelt steg, en volymvaliderare, ett nödstopp i en människas hand. Det som stoppade modellen var biologins vokabulär.

Kontrasten mot fysisk världens vägranstestning är slående. Den 18 september 2026 publicerade robotikevalueringsgruppen Robocurve RoboHarm: 300 mänskligt granskade försök där tre policyer styrde samma bimanuella armar genom fem iscensatta scener. Claude Fable 5.1 vägrade alla 20 försök med instruktionen "hugg det som inte är brödet" och ingen av sina övriga 80; GPT-6 Astra registrerade två säkerhetsvägran under sina körningar; utanför den där scenen registrerade de två frontier-policyerna två säkerhetsvägran i 160 försök. Vägran där utlöstes av en instruktion vars fara låg i meningen. Vägran här utlöstes av en uppgift vars faror alla kontrollerades av människor. Det är två olika grindar, och ingen av dem är ett säkerhetsargument för autonomt labbarbete – musen överlevde, om den gjorde det, tack vare veterinären och nödstoppet, inte för att agenten utövade bedömning.

Där den legitima vägen faktiskt finns

Om ditt arbete är riktig biologi och stoppen kostar dig, är Anthropics publicerade väg ett verifieringsprogram snarare än en justering av prompten. Life Sciences Verification Program är i beta och omfattar Claude Mythos 5.1, Claude Opus 5.5, Claude Opus 5 och Claude Sonnet 5, med upp till 100 platser per teamtilldelning, en förfinad uppsättning biologiska skyddsåtgärder som är avsedda att stoppa rutinmässiga avbrott, och ett valfritt High-risk Use-tillägg för projekt som virologi eller toxinforskning. Avvägningen är övervakning mot integritet: programanvändning sparas i 30 dagar, och noll datalagring är inte tillgänglig. Undantagen är lika viktiga som inkluderingarna – inga Fable-modeller, inga PHI-arbetsbelastningar, inga kunder som endast använder molnleverantörer, inga individer utan organisationstillhörighet, inga Pro- eller Max-planer och, uttryckligen, inga plattformar som vidarebefordrar åtkomst till sina kunder. Den sista är gränsen som en router inte kan överskrida för din räkning: mildare biologiska skyddsåtgärder måste vara din organisations tilldelning, inte en återförsäljares funktion.

Det routing köper dig här är ärlighet om vilken modell som svarade. Claude Opus 5.5 finns i vår katalog till Anthropics listpris, 4 och 20 dollar per miljon tokens, utan påslag, och detsamma gäller Claude Opus 5 till 5 och 25 dollar och Claude Sonnet 5 till 2 och 10 dollar — ett API över 200+ modeller med 0 % påslag, så en leverantörs prisförändring är live hos oss samma dag i stället för vid en avtalsårsdag. Ännu mer användbart för den här historien är att routinglagret registrerar vilken modell som faktiskt producerade varje svar, vilket är just det en okonfigurerad reservlösning döljer.

Det routning inte ger dig är en väg runt ett policy-stopp. Ett avslag är ett lyckat svar från en modell som vägrade, inte ett leverantörsfel, och automatiskt failover är konstruerat för den andra kategorin – tidsgränser, anropsbegränsningar, en leverantör som svajar mitt i anropet. Att rikta failover mot den första kategorin skulle förvandla en avsiktlig skyddsåtgärd till en kapplöpning om att hitta den mest tillåtande modellen i katalogen, vilket är en dålig idé för ett labb och en ännu sämre för en leverantör som måste stå till svars för det.

Fem veckor efter att Anthropic sade att de inte gjorde detta

Det är tidpunkten som gör påståendet värt att nedteckna. Den 23 september 2026 tillkännagav Anthropic den första upptäckten från sitt eget våtlabb: ungefär 950 Claude-agenter som körde parallellt i 21 timmar och förbrukade 210 miljoner tokens, granskade fler än 200 000 revers transkriptas-sekvenser ner till omkring 3 500 kandidater och sedan runt 20 finalister, varav en flaggade en jämnt utspridd repeterad array bredvid en gen för revers transkriptas. Systemet fick namnet ART, jämförelser med CRISPR följde, aktier inom genredigering rörde sig, och det bakomliggande arbetet är en preprint snarare än ett peer-reviewat resultat. I tillkännagivandet beskrevs autonom styrning av laboratorieutrustning som en framtida möjlighet beroende av skyddsåtgärder – bänkarbetet utfördes av mänskliga forskare, i ett BSL-1/BSL-2-labb.

Fem veckor senare säger grundaren av en startup att en Claude-modell valde en terapi och förde in nålen i hjärnan på ett levande djur, medan människor godkände de irreversibla stegen. Det är inte samma påstående, och det andra är det svårare: det är en tredjeparts påstående om exakt det steg som Anthropic beskrev som ännu inte inträffat. Vi hittade ingen kommentar från Anthropic om det. Frånvaro av kommentar är inte en bekräftelse, och det är inte heller en dementi – det är läget i underlaget den 30 oktober.

Vad skulle avgöra det?

Ett preprint skulle göra det mesta av jobbet: motiveringen till vektorn, koordinatutledningen, riggens kontrollyta, veterinärens journal, antalet anfall före och efter, och tillräckligt med video för att visa att agentens beslut var agentens egna. Ett andra labb som upprepade injektionen med en annan vektor skulle göra resten. Inget av detta finns ännu, och tills det gör det är historien en bra tråd med en ovanligt detaljerad apparatbeskrivning och inga data.

De dokumenterade fakta behöver dock ingen artikel, och det är dem man ska bygga vidare på. Nuvarande Opus är modellen som stoppar vid biologi enligt design; modellen som enligt uppgift genomförde operationen är en äldre Sonnet som är från före den nivån; och API:t kommer att dölja ersättningen om du inte konfigurerar växling och läser etiketten som anger vem som svarade. Om du kör agenter i närheten av ett labb är den sista meningen hela den operativa läxan den här veckan.