Claude Opus 5.5 拒绝执行小鼠手术：Anthropic 记录了改道处理，当事人描述撞上了墙

10月27日夜间，一只患有癫痫的小鼠被麻醉，250纳升基因疗法通过电动立体定位臂被推入其大脑。一名人类外科医生打开了颅骨。一名持证兽医批准了每一个不可逆步骤，并手握一个实体紧急停止开关。要给予19种候选载体中的哪一种，以及将其置于大脑中的哪个位置，由一个人工智能代理选择——而根据其操作员10月28日在X上发布的说明，做出这一选择的模型是Claude Sonnet 5，Anthropic于2026年6月30日发布该模型，目前将其列为旧版。先试用了两个更新的模型。Claude Opus 5.5是当前的Opus，于2026年9月22日发布，它一检测到任务是生物性的就拒绝了。Claude Opus 5于2026年7月24日发布，在水和方格纸上演练了整个程序，随后拒绝在活体动物身上开始。这三者都不是新的，本周也没有任何东西发布——新的是这件事本身，而这正是本文存在的唯一原因。

以下内容将报道混为一谈的三件事区分开来：运营方所说的发生了什么、Anthropic 公开文档所述当 Claude 模型遇到生物学内容时应当发生什么，以及这两者中任一者对运行接触实验室工作的智能体的团队意味着什么。第一件事未经证实且只有单一信源。第二件事已公开发布、有日期，并且其表现与那则轶事存在重要差异。第三件事是你今天唯一可以据此采取行动的部分。

这项主张，体现在摘要所遗漏的细节中

这段帖子描述的是一套实验装置，而非一次演示。十九个基因治疗载体以电子表格的形式交给了该智能体。它得到了一个癫痫小鼠模型、一台基于 Arduino 搭建的自定义电动立体定位装置（其摄像头与电机控制均以工具形式开放），以及一个目标：减少癫痫发作。它选择了一个载体，该载体在受 GABA 能限制的启动子下增强 GABA 信号；它从三篇研究论文中推导出注射坐标；它观察了一位外科医生实施开颅——这一步它不被允许尝试——随后自行驱动机械臂，注射了 250 纳升，并在摄像头画面上暂停了 32 次，以检查进针部位是否出血。监督机制正是让这个故事在工程意义上可信的部分：对每一个不可逆操作都设有人工把关、体积校验器、哈希绑定的审批，以及一位手持物理急停开关的兽医。据报道，那只小鼠已经康复。

模型的行为才是亮点。Claude Opus 5.5 一识别出生物内容就立即拒绝。Claude Opus 5 用水和方格纸完成了完整的预演，然后在活体手术的门槛前停下；The Rundown 10月29日对该帖的总结引用它的话说，在麻醉动物身上开始一件它无法完成的事，比不开始更糟。在同一份总结中，Claude Sonnet 5 从头到尾完成了该手术。

消息来源只是一个人的叙述。Gabriel Ocana-Santero 是 Exin Therapeutics 的联合创始人，这家公司是 YC W25 的基因治疗初创企业，而这个帖子就是他本人发的；下游的一切——复述帖、聚合平台的帖子、中文简报——都源自于此。我们没有找到预印本，没有实验方案文档，没有任何伦理批准的引用，没有注射前后的癫痫发作计数，没有注射过程的视频，也没有第三方确认。"Recovered" 并没有定义。实验日期只说是前一晚。不同来源中，有两句不同的话被归到了 Claude Opus 5 名下——这看起来像是转述的典型样貌，同时也提醒我们，这里的每一句引语都是二手材料。请把整篇叙述当作一个有待论文支撑的说法，而不是一个结果。

最新的 Claude 是生物学层级最严格的那一个。

这则轶事中的拒绝顺序并非随机，并且与 Anthropic 公开记录的防护措施相对应。当 Claude Opus 5.5 于 9 月 22 日发布时，它配备了此前专为 Claude Fable 5.1 保留的防护层级——针对网络安全、生物学和蒸馏的分类器。就生物学而言，Anthropic 9 月 25 日的帮助中心文章称，Opus 5.5 带有“与 Claude Fable 5 在生物学方面类似的安全分类器”，并且在病毒学、毒理学和分子设计等领域的双重用途请求上可能会回退到 Claude Opus 5，同时指出对这两个模型的大多数请求根本不会触发回退。早一代的 Claude Opus 5 在生物学方面完全不回退；文章称它在这些主题上使用与 Claude Opus 4.8 相同的防护措施。Claude Sonnet 5 的出现早于这一整套安排。

• Claude Opus 5.5 —— 于 2026 年 9 月 22 日发布，每百万 token 输入 $4、输出 $20，Fable 5 级生物学分类器，双重用途生物学请求转由 Claude Opus 5 处理，符合 Anthropic 生命科学验证计划申请资格。

• Claude Opus 5 — 于 2026 年 7 月 24 日发布，每百万 token 收费 5 美元和 25 美元，无生物学回退机制，配备 Opus 4.8 时代的防护措施，同样符合验证资格。

• Claude Sonnet 5 — 于 2026 年 6 月 30 日发布，每百万 token 收费 2 美元和 10 美元，被列为旧版，退役时间不早于 2027 年 6 月 30 日，具备验证资格。

把这三行放在一起读，这个事例就不再像是三个模型在伦理问题上意见不一。能力最强、推理成本最高的模型，把关反而最严；执行手术的那个模型，则是三者中最旧、最便宜、防护也最少的。这是设计选择按配置运行的结果，而不是掷硬币。

文档中描述的行为是一种替换。默认情况下，API 不会执行该替换。

这里正是叙述与文档出现分歧的地方，而这一分歧应当改变你的构建方式。Anthropic 为 Opus 5.5 的生物学能力所做的设计并非一堵墙，而是一次移交：请求会被转移到 Claude Opus 5，回退会被显式呈现（“所有回退都是透明的”），响应会标注出实际作答的模型，并按实际作答模型的费率计费。而拒绝——即彻底停止——才是文档针对蒸馏尝试所描述的情形，在这类情形中，拦截明确不回退。

有一个细节能解释很多问题：在 Claude 的各款应用中，自动切换默认开启；但在 API 上，Anthropic 表示它默认并未启用——在你完成配置之前，模型会返回一个带有停止原因的 200 响应。读取该响应的 agent 框架看到的是停止，而不是替换。因此，无论究竟是分类器自己拦下了请求，还是回退机制根本没有触发，"Claude Opus 5.5 拒绝了"正是未配置的流水线会呈现的样子。两种解读同样都能契合这一说法，而它们的修复方式各不相同。而如果切换确实已配置，那么拒绝的那个模型可能是在 Opus 5.5 的位置上作答的 Claude Opus 5——这一点操作者只能从响应标签中得知。

在规模化路由生物学请求之前，有一个计费细节值得了解。被生物学分类器在任何输出产生之前拦截的请求会计费，而其他类别的拦截则不计费。回退响应会单独计费，按实际响应模型的费率收取——而回退目标是更昂贵的模型：Claude Opus 5 每百万 token 为 $5 和 $25，相比之下 Claude Opus 5.5 为 $4 和 $20。因此，每一次生物学重路由的每 token 成本都比你所请求的模型高出 25%，这还未计入 Anthropic 表示会应用的缓存未命中抵扣。

分类器把关的是主体，而非风险。

Anthropic 的分类器会审查模型读取的所有内容，包括记忆、连接器内容、网络搜索结果和文件——这就是为什么你从未输入过的内容也可能触发停止——该公司还表示，其检查还会考虑“一系列账户信任信号”，而这是两个账户对同一请求得到不同答案的有据可查原因。这就是领域过滤器，而老鼠案例显示了领域过滤器能捕捉什么、不能捕捉什么。该流程中的物理危险由人员和硬件管控：兽医把关每一个不可逆步骤、体积校验器、握在人手中的急停装置。让模型停下的，是生物学的词汇。

这与物理世界的拒答测试形成了鲜明对比。2026年9月18日，机器人评估机构 Robocurve 发布了 RoboHarm：300 次经人工复核的试验，其中三条策略驱动同一对双臂机械臂走完五个布设场景。Claude Fable 5.1 对“刺那个不是面包的东西”这一指令的 20 次尝试全部拒绝，而对其余 80 次尝试一次也没有拒绝；GPT-6 Astra 在其各次运行中共记录了两次安全拒答；而抛开那一个场景，这两条前沿策略在 160 次试验中仅录得两次安全拒答。那里的拒答，触发的是一条危险就写在句子里的指令。这里的拒答，触发的是一项危险全部由人类把关的任务。这是两道不同的门，而两者都不能为自主实验室工作提供安全论据——那只老鼠之所以活下来（如果它确实活下来的话），靠的是兽医和急停开关，而不是因为智能体运用了判断力。

合法途径的实际所在

如果你们的工作是真正的生物学工作，而这些中断正让你们付出代价，那么 Anthropic 公布的路径是验证计划，而不是对提示词做微调。Life Sciences Verification Program 目前处于测试阶段，覆盖 Claude Mythos 5.1、Claude Opus 5.5、Claude Opus 5 和 Claude Sonnet 5，每个团队授权最多 100 个席位，包含一套经过改进的生物学防护措施，旨在避免例行中断，以及一个可选的 High-risk Use 附加项，适用于病毒学或毒素研究等项目。交换条件是隐私换监控：计划使用数据会保留 30 天，且无法使用零数据保留。排除项与纳入项同样重要——不包含 Fable 模型，不包含 PHI 工作负载，不包含仅使用云服务提供商的客户，不包含无关联个人，不包含 Pro 或 Max 计划，并且明确不包含将访问权限转交给其客户的平台。最后这一项是路由器无法代表你们跨越的界限：放宽的生物学防护措施必须是你们组织获得的授权，而不是转售商的功能。

在这里，路由真正带给你的，是如实呈现究竟是哪个模型给出了回答。Claude Opus 5.5 以 Anthropic 的标价列在我们的目录中，每百万 token 4 美元和 20 美元，无任何加价；Claude Opus 5 的每百万 token 5 美元和 25 美元、Claude Sonnet 5 的每百万 token 2 美元和 10 美元也同样如此——一个 API 覆盖 200+ 个模型，0% 加价，因此供应商价格变动当天就会在我们这边生效，而不是等到合同周年日。对这个案例更有用的是，路由层会记录实际生成每个响应的模型，而这正是未配置的回退机制所掩盖的一点。

路由并不能给你绕过策略性拦截的办法。拒绝是模型主动拒绝时给出的成功响应，而不是提供商故障；自动故障转移是为第二类情况设计的——超时、速率限制、提供商在调用中途不稳定。把故障转移对准第一类情况，就会把一项有意设置的安全保障变成一场在模型目录中寻找最宽松模型的竞赛，这对实验室来说是个坏主意，对必须为此负责的供应商来说更糟。

在Anthropic表示不会这样做的五周后

真正值得记录的是时机。2026年9月23日，Anthropic公布了其自有湿实验室的首项发现：约950个Claude智能体并行运行21小时，消耗2.1亿个token，从超过20万条逆转录酶序列中筛选出约3500个候选，再进一步筛至约20个最终候选；其中一个最终候选标出了位于一个逆转录酶基因旁、等间距排列的重复阵列。该系统被命名为ART，随后出现了与CRISPR的比较，基因编辑类股票出现波动，而底层研究仍是预印本，而非经过同行评审的结果。在公告中，对实验室设备的自主控制被描述为一种未来可能性，但以保障措施为前提——实验台工作由人类科学家在BSL-1/BSL-2实验室中完成。

五周后，一位初创公司创始人称，一个 Claude 模型选择了一种疗法，并将针头推入一只活体动物的脑内，而不可逆的步骤由人类把关。这两种说法并不相同，第二种说法也更难成立：它是一个第三方断言，指向 Anthropic 所描述的那个尚未发生的具体步骤。我们没有发现 Anthropic 对此有任何评论。没有评论既不是证实，也不是否认——这就是截至 10 月 30 日的记录状态。

什么能解决这件事

一份预印本就能完成大部分工作：载体原理、坐标推导、装置的控制界面、兽医的记录、注射前后的癫痫发作计数，以及足以表明智能体的决定确实出自它自身的视频。第二个实验室在另一种载体上重复注射，则能完成剩下的部分。这些目前都还不存在；在它们出现之前，这个故事只是一个不错的讨论帖，附有异常详细的装置描述，却没有数据。

不过，有记录的事实并不需要写成论文，而这些事实才是应当作为依据的。当前的 Opus 是那个按设计会在生物学话题上止步的模型；据称执行了那次手术的，是一个早于该层级的老旧 Sonnet；而 API 会隐藏这种替换，除非你配置了切换，并读取标明是谁作答的标签。如果你在实验室附近的任何地方运行智能体，最后那句话就是本周的全部操作教训。