Anthropic Claude Sonnet 5系统卡揭示AI智能体的未来走向

Anthropic于周二正式发布Claude Sonnet 5，随之公布的基准测试图表显示其在编程、推理和智能体任务方面均有所提升。然而，Sonnet 5的系统卡所传递的信息远不止于此——它还暗示了AI智能体开始自主行动之后将面临的种种挑战。

这份长达145页的系统卡，并未将大量篇幅用于展示基准测试成绩，而是将重心放在评估智能体如何浏览网页、使用工具、规划长期任务、抵御提示注入攻击，以及在执行出错时如何恢复。恢复机制的设计，在一定程度上揭示了Anthropic认为提升智能体可靠性的下一个核心工程挑战所在。

Sonnet 5系统卡引入了此前几代大语言模型几乎未曾涉及的评估维度。例如，仅第五章就涵盖了编程智能体、计算机使用智能体和浏览器智能体的恶意利用场景、自主影响力操作，以及跨多个攻击面的提示注入鲁棒性测试——其中还包括一个针对编程、计算机使用和浏览器使用环境开展的实时漏洞悬赏计划，用以测试具有自适应能力的攻击者。

Anthropic还公布了SHADE-Arena和LinuxArena的测试结果，这两项评估旨在检验智能体是否会采取隐蔽行动——即在表面上服从指令的同时暗中追求隐藏目标。Sonnet 5在这些评估中的隐蔽行为发生率接近于零，但Anthropic将这类评估纳入测试体系本身，已足以说明他们对"在对话窗口中表现良好的模型"与"在持续自主运行时行为可靠的模型"之间差距的高度重视。

在提示注入防御方面，系统卡描述了针对三类智能体场景的鲁棒性测试：编程环境、计算机使用和浏览器导航。测试结果显示Sonnet 5相较于Sonnet 4.6有所改进，而评估体系的设计本身同样意味深长——Anthropic正在系统性地检验：一个正在浏览网页的智能体，是否会被其访问的页面中嵌入的恶意指令所劫持。

企业用户希望智能体能够协助排查事故、审查代码合并请求、更新文档、操作内部系统，并在最少人工干预的情况下编排工作流程。这类工作负载对周边基础设施提出了全新要求，其复杂程度远超模型本身。

这些本质上是基础设施层面的模式——是工程团队在智能体承担更长周期、更少监督的任务时，必须搭建和维护的底层管道。

一项长期运行的任务可能在无数情况下被中断：工具调用在执行到一半时超时，或浏览器会话在页面跳转后丢失上下文。每一次中断都要求智能体理解发生了什么变化、保留已有进度，并判断如何继续——或者识别出自己已无法继续。

Anthropic自身的评估基础设施为我们提供了一个观察窗口。系统卡介绍了若干功能，例如"工具结果清除"机制——在智能体积累上下文的过程中清除过时的工具输出——以及允许信息在活跃上下文窗口之外持久化存储的记忆工具。

这些能力解决了智能体长时间运行时面临的实际问题：状态必须在多个步骤之间持续保持，外部工具必须保持同步，故障必须在智能体使用过期或不完整信息继续运行之前被及时检测。

系统卡还提供了一些关于Anthropic对AI竞赛走向判断的线索。其一，基准测试成绩正在趋于收敛——顶尖模型在标准评估上的差距持续缩小。尚未收敛的，是智能体能否在不丢失上下文的情况下完成一项长达两小时的编程任务，能否在浏览网页时不被恶意页面劫持，以及能否在API调用失败后自我恢复。

对于正在评估智能体平台的工程团队而言，这份系统卡本身就是一份生产环境中真正重要问题的检查清单。基准测试分数只是评估的一部分，同样关键的是：平台如何处理工具调用失败、如何在长期任务中保持状态，以及在智能体于工作流程中途丢失上下文时如何恢复。这些场景，才是决定一个自主系统在部署后能否持续可靠运行的真正考验。

Q&A

Q1：Claude Sonnet 5系统卡和基准测试相比，哪个更能说明问题？

A：基准测试只展示了编程、推理等指标的提升，而145页的系统卡更深入地评估了智能体在真实场景中的表现，包括网页浏览、工具使用、长期任务规划、提示注入抵御以及出错后的恢复能力。这些维度更能反映智能体在实际部署中的可靠性，而不仅仅是实验室里的得分高低。

Q2：什么是提示注入攻击？Claude Sonnet 5是如何应对的？

A：提示注入攻击是指恶意指令被嵌入到智能体访问的网页或其他外部内容中，试图劫持智能体的行为。Anthropic针对编程环境、计算机使用和浏览器导航三类场景进行了专项鲁棒性测试，结果显示Sonnet 5的防御能力相较于Sonnet 4.6有所提升，但评估工作本身仍在持续进行中。

Q3：Anthropic如何保证智能体在长期任务中不会丢失状态或中途出错？

A：Anthropic在基础设施层面引入了多项机制，包括"工具结果清除"功能（用于清除积累过程中的过时输出）和记忆工具（支持信息在活跃上下文窗口之外持久保存）。这些设计旨在确保智能体在工具调用超时、浏览器会话中断等情况下，仍能准确判断任务状态并决定是否继续执行。