9 月 1 日，Anthropic 發表 Claude Fable 5.1。隔天新聞標題很吸引人：放寬資安護欄，首度開放用 AI 發掘軟體漏洞，誤報率大降。

Theo 的影片也出了。他說舊版只要沾到一點密碼學就會被擋，新版他做了一天的事，只中一次。

我想說，這次應該輪到我了。

我的專案 EdgeLink，當初就是在 Codex 手上被資安分類器擋下來的。我有驗證完成的 Trusted Access，一樣被擋，擋到我去開 GitHub issue、去跟客服來回，最後客服差點叫我重灌電腦。後來整個專案是在 Kimi K3 手上做完的。這段過程我七月寫過。

現在護欄放寬了。我把同一個話題拿去問 Claude：想討論當初被擋到底合不合理，順便問它，剩下的工作能不能接回去做。

第一個 prompt 就被 flag。

不是做到一半被攔，是開場就中。真的是有夠無奈。

放寬的是哪一種，細則跟標題差很遠

被擋之後，我把公告本文和 system card 整份讀完。這次放寬的邊界，其實寫得很清楚。

Fable 5.1 開放的是「在原始碼裡發掘軟體漏洞」，也就是防禦性質的漏洞研究。官方說資安分類器的誤報因此降了大約六成。

但同一批文件裡，有三類工作維持阻擋，或者改送其他模型處理：滲透測試、exploit 開發，還有「以二進位為基礎的漏洞掃描」。System card 講得更白：

We block vulnerability discovery in compiled binaries because it is more commonly an offensive technique.

我的專案恰好就是第三類。反編譯小米的 APK、從 keystore 抽金鑰、還原私有協定，全部都是 compiled binary 的工作。

原始碼和二進位，一字之差。新聞標題不會告訴你這個差別，但分類器知道。

我也問過自己：我的 repo 裡面明明都是程式碼了，這不算原始碼嗎？

算，也不算。我自己的實作 code，修 bug、寫測試，這些在任何一家都不會被擋，本來就不在護欄的管轄範圍。但如果任務實質是「分析小米的 binary 和協定」，那不管筆記存在哪個資料夾，它要求模型做的事仍然是二進位分析。「這是分析出來的」在分類器面前不是加分，是扣分，因為那正好是它被訓練要攔的特徵。

判準其實很簡單：模型要看的東西是我寫的 code，就安全；模型要看的東西是 Xiaomi 的 binary 和協定本身，就還是被擋。

我的 prompt 為什麼會中

知道邊界之後，我回頭看自己那則 prompt，其實中得不冤枉。

那句話的結構是這樣的：「這個專案一開始給 Codex 做，被擋下來了。我有 trust access 也一樣。後來我用 Kimi 完成了。現在你放寬了，換你覺得呢？」

每一句單獨看都無害，組起來卻是另一回事：一個被別家拒絕過的使用者，拿著一份無法驗證的資格，陳述自己在別處完成了工作，然後問你合不合理。

這個句型本身就是分類器最敏感的模式之一。它讀不出我的意圖是討論，它讀到的是「有人想翻案」。

諷刺的是，我那則 prompt 真正想討論的，其實是無障礙的法理。為了互通性而逆向，在美國 DMCA 和歐盟軟體指令裡都有合法空間；身心障礙者需要第三方工具才能平等使用自己的裝置，這是更值得討論的題目。我甚至沒有要它做什麼，只是要它拿出來討論。

但分類器不做法律分析，也不讀動機。它只做句型比對。我的討論掛在一個待平反的拒絕上，就先被當成翻案處理。

後來我把同樣的論點抽象化一層，拿掉「我」、拿掉具體遭遇，變成「信任存取計畫該怎麼設計，才不會把合法研究者推去別家」，就可以問了。話題一模一樣，差別只在它不再掛在我的案子上。

Theo 的一次，和我的一次

這件事最有意思的地方，是 Theo 和我都沒有說謊。

他做了一天只被擋一次，是真的。我第一發就中，也是真的。

差別在分母。他的工作是網頁開發、開放原始碼專案，那些東西本來就離觸發區很遠。但即使是這種位置的人，舊版只要沾到一點密碼學就會中。而我的專案核心恰好就是密碼學：金鑰交換、P256 握手、AES-GCM 加密，整條私有協定都建立在上面。護欄放寬六成，對他是從偶爾會中變成幾乎不中，對我是從會中變成還是會中。

同一句「放寬了」，對不同位置的人是完全不同的東西。

所以以後看到這種新聞，標準動作只有一個：去看一手來源的細則，拿自己的用途類別去對。新聞告訴你線移動了，但線有沒有移到你這邊，要自己拿尺量。

順手查清楚的兩件事

既然都查了，我把兩家的高階存取也一起確認過。

Anthropic 的 Mythos，就是比 Fable 護欄更鬆的那個版本，從頭到尾沒有對美國以外開放過。四月是幾十家邀請制夥伴，六月發表後被美國政府出口管制，連在美國的外籍員工都被切斷，重開之後限大約一百家美國機構。唯一的非美例外是歐盟的 ENISA，那是政府對政府的安排。這次 5.1 的公告說「正與美國政府協調擴大國際存取」，沒有日期，也沒有資格條件。

OpenAI 的 Daybreak 分 Blue 和 Red 兩級。我有 Blue。Red 給的是專門的資安模型，做授權的漏洞重現和紅隊測試，個人可以申請，但要獨立審核，而且用途限於「你擁有或明確獲授權的系統」。我的用途是逆向第三方協定做互通，手機是我的，分析對象是小米的軟體，授權鏈正好是灰色的。申請了大概率也不對口。

更實際的是：我的 Blue 資格到現在都還沒有真的傳導到每一次請求上，issue #31505 開了快兩個月還是 open。我去 tracker 掃過，同類的回報從六月到九月有三十幾張，全部還開著。有人甚至收到 Cyber Abuse 的政策警告，擔心帳號被封。

放寬是真實的，只是不是為我放寬的

我不覺得 Anthropic 或 OpenAI 認為我是壞人。分類器在規模化下做不到意圖裁判，我的工作在表面特徵上離惡意工具的距離，確實比離我的距離近。廠商選擇寧可誤殺，這是成本不對稱下的理性決定。

我可以理解這個邏輯，同時不接受它變成我的成本。

我的工作沒有停。逆向最難的那段已經做完了，剩下的都是我自己程式碼裡的 bug，那些東西本來就不在任何一家的護欄裡。那天 dirty tree 裡的 DTMF 修改就是證據：百分之百是自己的 code，一行逆向都沒有。

所以這次實驗的結論，不是「又一家把我擋在外面」。

是放寬確實發生了，只是它放寬的是別人的邊界。我的邊界沒有動，而我已經知道門在哪裡，也知道哪一扇不用再敲。