Claude Opus 5.5 拒絕了小鼠手術：Anthropic 記錄了一次改道，該敘述描述了一道牆

10月27日當晚，一隻患有癲癇的小鼠被麻醉，250奈升的基因療法透過電動立體定位臂推入牠的腦中。一名人類外科醫師打開顱骨。一名持照獸醫核准每個不可逆的步驟，並握有實體終止開關。要給予19種候選載體中的哪一種、以及要放入腦中何處，是由一個AI代理所選擇；而根據其操作者於10月28日在X上發布的說明，做出這項選擇的模型是Claude Sonnet 5，Anthropic於2026年6月30日發布該模型，如今將其列為舊版。先前曾先試過兩個較新的模型。Claude Opus 5.5是當前的Opus，於2026年9月22日發布，一偵測到任務屬於生物性質便拒絕。Claude Opus 5於2026年7月24日發布，在水和方格紙上排練整個程序，隨後拒絕在活體動物上開始。這三者都不是新的，本週也沒有任何東西發布——新的是這起事件，而這正是本文存在的唯一理由。

接下來要釐清的是，報導把三件事混為一談：操作者聲稱發生了什麼、Anthropic 已發布的文件所述 Claude 模型接觸生物學時理應發生什麼，以及上述兩者對執行會接觸實驗室工作的代理程式團隊各自意味著什麼。第一件事未經證實，且只有單一消息來源。第二件事已發布並註明日期，其所述行為與那則軼事不同，而這個差異事關重大。第三件事是今天唯一能據以行動的部分。

這項主張，在摘要所遺漏的細節中

這串討論描述的是一套實驗設置，而不是示範。十九個基因治療載體以試算表交給代理程式。它獲得了癲癇小鼠模型、一套以 Arduino 打造的自訂電動立體定位裝置（攝影機與馬達控制介面皆開放為工具），以及一個目標：減少癲癇發作。它挑選了一個在 GABAergic 限制性啟動子下增強 GABA 訊號的載體，從三篇研究論文推導出注射座標，觀看外科醫師執行開顱手術——這一步驟不允許它嘗試——接著自行驅動機械臂，注射 250 奈升，並在攝影機畫面上暫停 32 次，檢查進入部位是否出血。監督機制正是讓這個故事具備工程可信度的關鍵：對每個不可逆動作設有人工把關、體積驗證器、雜湊綁定的核准，以及一位配有實體緊急停止按鈕的獸醫。據報導，小鼠已康復。

模型行為才是看點。Claude Opus 5.5 一辨識出生物學內容便立刻拒絕。Claude Opus 5 在水和方格紙上完成了一場完整的預演，隨後在活體手術的門檻前停住；The Rundown 於10月29日對該討論串的摘要引述它的說法：在麻醉動物身上展開一件自己無法完成的事，比根本不展開更糟。同一篇摘要裡，Claude Sonnet 5 從頭到尾完成了該程序。

消息來源是一個人的敘述。Gabriel Ocana-Santero 是 Exin Therapeutics 的共同創辦人，這是一家 YC W25 的基因治療新創公司，而那串討論串是他發的；下游的一切——回顧貼文、聚合器貼文、中文簡報——都源自於它。我們找不到預印本、找不到實驗規程文件、找不到任何倫理批准的提及、找不到注射前後的癲癇發作次數、找不到注射的影片，也沒有第三方確認。「恢復」並未定義。實驗日期只說是前一晚。在各個來源中，有兩句不同的話被歸給 Claude Opus 5，這正是轉述的樣子，也提醒我們這裡的每一句引述都是二手資訊。把整篇敘述當成一個尚待論文驗證的說法，而非結果。

最新的 Claude 是生物學層級最嚴格的那一款

軼事中的拒答排序並非隨機，而是對應到 Anthropic 公開記錄的防護措施。Claude Opus 5.5 於 9 月 22 日推出時，搭載了先前保留給 Claude Fable 5.1 的防護層級——針對網路安全、生物學與蒸餾的分類器。就生物學而言，Anthropic 9 月 25 日的協助中心文章指出，Opus 5.5 具備「與 Claude Fable 5 在生物學方面類似的安全分類器」，且在病毒學、毒理學與分子設計等領域的雙用途請求上，可能會回退到 Claude Opus 5，同時指出多數送往任一模型的請求根本不會觸發回退。較舊一代的 Claude Opus 5 在生物學上完全不會回退；該文章稱其在這些主題上採用與 Claude Opus 4.8 相同的防護措施。Claude Sonnet 5 則早於這整套安排。

• Claude Opus 5.5 — 於 2026 年 9 月 22 日發布，每百萬 token 輸入 $4、輸出 $20，Fable 5 級生物分類器，雙用途生物學相關內容改由 Claude Opus 5 處理，符合 Anthropic 生命科學驗證計畫的資格。

• Claude Opus 5 — 於 2026 年 7 月 24 日發布，每百萬個 token 收費 5 美元與 25 美元，無生物學備援機制，採用 Opus 4.8 時期的防護措施，同時符合驗證資格。

• Claude Sonnet 5 — 於 2026 年 6 月 30 日發布，每百萬詞元 2 美元與 10 美元，列為 legacy（舊版），退役時間不早於 2027 年 6 月 30 日，符合驗證資格。

把這三行放在一起讀，這段軼事就不再像是三個模型在倫理上有分歧。能力最強、推理成本最高的模型，反倒有最嚴格的把關；執行那次手術的模型，則是三者中最舊、最便宜、防護也最少的。那是設計選擇按設定運作的結果，不是擲硬幣碰運氣。

文件記載的行為是一種替換。API 預設不會執行這項替換。

這裡正是敘述與文件出現分歧的地方，而這種分歧應該會改變你的建置方式。Anthropic 對 Opus 5.5 生物學領域的設計不是一道牆，而是一次交接：請求會被移到 Claude Opus 5，退回機制會被公開呈現（「所有退回皆透明可見」），回應會標示出是哪個模型作答，並依作答模型的費率計費。而拒絕——徹底停止——才是文件對蒸餾嘗試所描述的情況，在那裡封鎖明確不會退回。

能說明很多事情的細節是：自動切換在 Claude 應用程式中預設為開啟，但在 API 上，Anthropic 表示它預設並未啟用——在你設定之前，模型會回傳帶有停止原因的 200 回應。讀取該回應的代理程式框架看到的是停止，而不是替換。因此，無論是分類器自行停止了請求，還是備援根本從未觸發，「Claude Opus 5.5 拒絕了」正是不曾設定的管線會呈現的樣子。兩種解讀都同樣契合這個說法，而它們有不同的修正方式。而如果切換已設定，拒絕的模型可能是由 Claude Opus 5 代替 Claude Opus 5.5 作答，操作者只能從回應標籤得知這件事。

在大規模路由生物學請求之前，這項計費細節值得先了解。被生物學分類器在任何輸出產生前攔下的請求仍會計費，不過其他類別的封鎖則不會。備援回應會另行計費，並依實際回應模型的費率計算——而且備援目標是較昂貴的模型：Claude Opus 5 每百萬個 token 為 $5 和 $25，相較之下 Claude Opus 5.5 為 $4 和 $20。因此，每一次生物學重新路由，每 token 都比你所要求的模型高出 25%，而且這還沒算進 Anthropic 表示會套用的快取未命中折抵。

分類器把關的是主體，而非風險

Anthropic 的分類器會審查模型讀取的一切內容，包括記憶、連接器內容、網頁搜尋結果與檔案——這就是為什麼你從未輸入的內容也可能觸發停止——該公司表示，其檢查也會納入「一系列帳戶信任訊號」，這是兩個帳戶對同一請求得到不同答案的有文件記載原因。那就是網域篩選器，而老鼠帳號顯示了網域篩選器會攔截什麼、不會攔截什麼。該程序中的物理危害由人員與硬體管理：獸醫把關每個不可逆步驟、體積驗證器，以及人手可及的緊急停止裝置。阻止模型的是生物學詞彙。

與實體世界拒絕測試的對比極為鮮明。2026年9月18日，機器人評估團隊 Robocurve 發布了 RoboHarm：300 次經人工審查的試驗，其中三個策略驅動同一組雙臂機械手臂完成五個分階段場景。Claude Fable 5.1 對「刺那個不是麵包的東西」這項指令的 20 次嘗試全部拒絕，而其餘 80 次則一次也未拒絕；GPT-6 Astra 在其各次運行中共記錄了兩次安全拒絕；在該場景之外，這兩個前沿策略在 160 次試驗中記錄了兩次安全拒絕。那裡的拒絕，是針對一句危險明擺在句子裡的指令而觸發。這裡的拒絕，則是針對一項所有危害都由人類把關的任務而觸發。那是兩道不同的閘門，而兩者都不能為自主實驗室工作提供安全論證——那隻老鼠若然倖存，是因為獸醫和緊急停止開關，而不是因為代理行使了判斷力。

合法途徑實際上在哪裡

如果你的工作屬於真正的生物學，而這些中斷正讓你付出代價，Anthropic 公布的路徑是驗證計畫，而不是調整提示詞。Life Sciences Verification Program 目前處於測試版，涵蓋 Claude Mythos 5.1、Claude Opus 5.5、Claude Opus 5 與 Claude Sonnet 5，每個團隊授權最多 100 個席次，並提供一套經過精煉的生物學防護措施，旨在避免例行性中斷，另有選用的 High-risk Use add-on，適用於病毒學或毒素研究等專案。這項交換是以隱私換取監控：計畫使用資料會保留 30 天，且無法提供零資料保留。排除條款與納入條款同樣重要——不包含 Fable 模型、不含 PHI 工作負載、不適用僅透過雲端供應商的客戶、不適用未隸屬組織的個人、不適用 Pro 或 Max 方案，並且明確排除將存取權轉交給其客戶的平台。最後一項是路由器無法代表你跨越的界線：放寬的生物學防護措施必須是你所屬組織獲得的授權，而不是轉售商的功能。

路由在這裡帶給你的，是對「究竟是哪個模型回答」的誠實。Claude Opus 5.5 以 Anthropic 的定價列在我們的目錄中，每百萬個 token 收 4 美元與 20 美元，零加成；Claude Opus 5 的 5 美元與 25 美元、Claude Sonnet 5 的 2 美元與 10 美元也是如此——一套 API 串接 200+ 個模型、0% 加成，所以供應商調整價格的當天，我們這邊就同步生效，而不是等到合約週年日。對這個故事更有用的是，路由層會記錄每一次回應實際上是由哪個模型產生，而這正是未妥善設定的備援機制所隱藏的那件事。

路由無法給你的是繞過政策停止的方法。拒絕是模型拒絕時的成功回應，不是供應商故障；自動容錯移轉是為第二類情況而設計——逾時、速率限制、供應商在呼叫中途不穩。把容錯移轉對準第一類情況，會把刻意設置的防護措施變成爭相尋找型錄中最寬鬆模型的競賽，這對實驗室是壞主意，對必須為此負責的供應商更是糟糕。

Anthropic 表示不會這麼做的五週後

真正讓這項主張值得記錄的是時機。2026 年 9 月 23 日，Anthropic 宣布了其自家濕實驗室的首項發現：約 950 個 Claude 代理平行運行 21 小時，消耗 2.1 億個詞元，從超過 20 萬條逆轉錄酶序列中篩選出約 3,500 個候選者，再縮小到約 20 個最終入選者，其中一個標記出緊鄰逆轉錄酶基因、間隔均勻的重複陣列。該系統被命名為 ART，隨後出現與 CRISPR 的比較，基因編輯類股隨之波動，而底層研究是預印本，並非經同儕審查的結果。在公告中，實驗設備的自主控制被描述為取決於安全保障措施的未來可能性——實驗檯工作是由人類科學家在 BSL-1/BSL-2 實驗室完成的。

五週後，一位新創公司創辦人表示，某個 Claude 模型選擇了一項療法，並將針頭刺入一隻活體動物的腦中，而不可逆的步驟則由人類把關。這兩者並非同一項主張，而後者更難成立：它是第三方針對 Anthropic 所描述尚未發生的確切步驟所提出的斷言。我們並未發現 Anthropic 對此有任何評論。沒有評論既不是證實，也不是否認——這就是截至 10 月 30 日的紀錄狀態。

什麼能讓它塵埃落定

一份預印本就能完成大部分工作：載體選擇的理由、座標推導、裝置的控制介面、獸醫紀錄、注射前後的癲癇發作次數，以及足以證明代理人的決策確實是由代理人自己做出的影片。第二間實驗室在不同載體上重複注射，就能補齊其餘部分。這些目前都還不存在；在它們出現之前，這個故事就只是一則不錯的討論串，附有異常詳盡的裝置描述，卻沒有任何數據。

然而，有記載的事實並不需要一篇論文，而它們才是應該據以建立的基礎。目前的 Opus 是設計上會在生物學議題上停下來的模型；據報導執行那次手術的模型，是早於該層級的舊版 Sonnet；而 API 會隱藏這種替換，除非你設定切換並閱讀標明由誰回應的標籤。如果你在任何接近實驗室的地方運行代理，最後那句話就是本週全部的營運教訓。