--- layout: post.njk source: https://yage.ai/share/anthropic-safeguard-price-fence-20260609.html speaker: yage.ai title: |- 付 Fable 的价，拿 Opus 的货：AI 安全护栏的另一重身份 date: '2026-06-09' summary: 文章分析了 Anthropic 的定价策略，指出 AI 公司利用安全护栏（safeguard）作为“价格围栏”（price fence）来实现精细化定价。通过将模型能力拆分为面向大众的受限版和面向受信任机构的满血版，Anthropic 在实现安全目标的同时，成功实现了基于支付意愿的自选择计费，这是行业在追求可预测收入和应对高额推理成本下的新范式。 area: tech-engineering category: ai-application tags: - price-fence - ai-pricing - safeguard - dual-use - llm-serving-cost people: [] companies_orgs: - Anthropic - OpenAI products_models: - Claude Fable 5 - Claude Mythos 5 - Opus 4.8 media_books: [] draft: true status: evergreen --- 6 月 9 日，Anthropic 发布了 Claude Fable 5 和 Claude Mythos 5。一个 Max 订户在这一天前后会陆续遇到三件事。第一，模型列表里出现了 Fable 5，Anthropic 迄今最强的公开模型，API 牌价每百万 token 输入 $10、输出 $50，是 Opus 4.8 的两倍。第二，问到网络安全、生物化学这些领域时，他会收到一条通知：这条回答改由上一代的 Opus 4.8 代答。第三件事要等到 6 月 23 日：Fable 5 将从 Pro 和 Max 订阅里移除，想继续用，要按 API 价格购买 usage credits。发布当天 r/ClaudeAI 上就有人发帖问：“More expensive subscription incoming?” 官方对前两件事的解释是安全：Fable 5 和 Mythos 5 是同一个底层模型，Mythos 5 满血，但只向受信任的伙伴开放；Fable 5 面向所有人，代价是一组 classifier 盯着每个请求，碰到高危领域就把回答交给 Opus 4.8。这个解释是真的，后文会讲到它有多真。不过把镜头拉远到三十天，同一组事实还有另一种读法。 ## 三十天，五个动作 Anthropic 三十天定价时间线 5 月 13 日，Anthropic 通知订阅用户：6 月 15 日起，claude -p、Agent SDK、GitHub Actions 这些程序化调用不再消耗订阅额度，改用一笔独立的月度 credit，按 API 牌价计费。5 月 28 日，Opus 4.8 发布，fast mode 的溢价从旧款的 6 倍降到 2 倍。6 月 1 日，Anthropic 机密提交 S-1，启动 IPO。6 月 9 日，Fable 5 / Mythos 5 双轨发布。6 月 15 日，credit 拆分生效。6 月 23 日，Fable 5 退出订阅。 每一条单看都是普通的产品新闻。排在一起，它们是同一件事的六个侧面：Anthropic 正在把「用模型」切成一组可以分别计价的维度，而 S-1 恰好卡在序列正中间。上市公司需要可预测的收入，订阅制里的重度用户恰恰是收入最不可预测的来源：社区有人统计过，一份 $100 一个月的 Max 订阅，八个月抽走了 API 等值一万五千美元的用量。补贴的退潮和计量的精细化，是同一件事的两面。 要看懂这套动作的设计逻辑，得回到 1849 年。 ## 1849 年的三等车厢 法国工程师 Jules Dupuit 在 1849 年解释过一个现象：铁路公司不给三等车厢装顶棚，不是为了省那几千法郎的木料钱。 > 它打击穷人，不是因为想伤害他们，而是为了吓住富人。……在拒绝给穷人必需品之后，它向富人出售多余之物。 商务旅客付得起二等票，但如果三等车厢足够舒服，他们就会去坐三等。顶棚的缺失是一道围栏，功能只有一个：让付得起高价的人自己离开低价通道。经济学后来给这类装置起了名字，price fence，价格围栏。最经典的现代围栏来自航空业：往返行程里含周六晚过夜，才能买到低价票。度假的人本来就跨周末，这个条件等于不存在；出差的人周末要回家，只好买全价票。航空公司从头到尾没有审查过任何人的身份，乘客用自己的行程把自己分进了贵贱两档。这就是围栏的精髓：自选择，厂商不动手，买家自己站队。 AI 行业刚刚发现，自己比历史上任何行业都更需要围栏，也比任何行业都更擅长造围栏。 ## 成本对用途是盲的 LLM 的 serving 成本随工程维度剧烈变化：模型越大成本越高，上下文越长成本越高，要求的延迟越低成本越高。但它有一个关键特点：成本对用途是盲的。同一个模型、同样的配置，用来闲聊、写周报还是寻找零日漏洞，GPU 烧的电一模一样。而这三种用途，买家愿意付的钱差几个数量级。 成本函数里没有「价值」这个自变量，统一定价因此注定两头漏钱：低价值用途收多了，高价值用途收少了。订阅制把这个矛盾推到极端。6 月 15 日的 credit 拆分公布后，开发者社区按不同工作负载算出了 12 倍到 175 倍的有效降幅；Theo Browne 的总结更直接：「你的用量刚刚被砍了 25 倍。他们把这包装成『免费 credit』，别上当。」这些数字反过来读，就是过去一年订阅用户实际享受的补贴倍数。 涨价不难，难的是只对高价值用途涨价。这正是围栏的用途：让买家按支付意愿自己站队，各收各的钱。剩下的问题是，围栏该造在哪个维度上。 ## 报价单，还是围栏 报价单与围栏的判别 先排除一类杠杆。Anthropic 价目表上有不少价差是成本的忠实映射：批处理五折，因为异步任务可以填进 GPU 的空闲时段；缓存读取一折，因为重复前缀真的不用重算；US-only 推理加价 10%，因为合规容量真的更稀缺。这些是报价单，价差背后有真实的成本差，谈不上歧视。 判断围栏的标准，是价差和成本差脱钩。6 月 15 日的入口拆分是最干净的例子：同一个订阅、同一个模型、同样的 token，交互式使用留在补贴池里，程序化调用按 API 全价计费。决定价格的变量是「谁在调用」，这个变量在成本侧没有任何对应物。fast mode 是中间态：低延迟服务有真实的成本基础（独占容量、更小的 batch），但官方文档明说「同一个模型，智能和能力没有任何变化」，2 到 6 倍的溢价买的只是速度。智能之外的维度可以单独标价，fast mode 把这件事写成了白纸黑字。 那么最经典的围栏，把产品故意做差一点的「青春版」，为什么没有出现？ ## 质量做不了围栏 信息产品造低配版的传统源远流长。1990 年 IBM 卖过一款廉价版激光打印机，测试机构发现它和高价版硬件完全相同，只是多装了一块让它变慢的芯片；Intel 的 486SX 是熔断了浮点单元的 486DX；Wolfram 为了做 Mathematica 学生版，额外开发了一个浮点模拟库，把自己的产品改慢。经济学家 Deneckere 和 McAfee 给这类产品起了名字：damaged goods，花成本把产品做差，以便分开定价。 这门传统手艺在交互式 AI 上失灵了。TextQL 创始人 Ethan Ding 有一句被广泛引用的话：「没有人会打开 Claude 然后想：要不我用个差点的版本，帮老板省点钱。」用户和模型逐字逐句地相处，质量降级会被立刻感知、立刻抛弃。Anthropic 的全部计费杠杆里没有一个是「故意变笨」，原因就在这里：质量围栏在这个市场立不住。 围栏只能造在质量以外的维度上。速度是一个，入口是一个。而 6 月 9 日的发布展示了第三个，也是迄今最精巧的一个。 ## 有史以来最好的围栏 Fable 5 和 Mythos 5 的关系，官方公告写得毫不含糊：Mythos 5 是「和 Fable 5 相同的底层模型，只是在某些领域解除了安全护栏」；system card 称它们为「同一个新模型的两种配置」。区别全在部署层。Fable 5 的每个请求都过一遍 classifier（官方称之为独立的 AI 系统），检测到网络安全、生物化学或蒸馏意图，就把回答交给 Opus 4.8，官方称触发的 session 不到 5%。Mythos 5 拆掉这些 classifier，但只向 Project Glasswing 的网络安全伙伴和即将入选的生命科学机构开放，准入扩展要与美国政府协商。 作为价格围栏，安全分级有三个其他围栏都不具备的性质。 第一，它是真的。System card 把模型的化生能力判到 CB-1，并罕见地承认这次判定「远不如以往的模型清晰」；英国 AISI 在短暂的初步测试窗口内已经朝一个通用越狱取得进展；Mythos 级模型的全部流量被强制保留 30 天。这道围栏不需要编造理由，它的安全功能货真价实。 第二，它自动完成自选择，而且粒度细到史无前例。航空公司的围栏在订票那一刻筛一次人，行程定了，档位就定了，之后整趟旅程不再过问；classifier 在每一次调用的瞬间都重新分一次箱。围栏第一次从价目表搬进了推理循环：你想干什么，模型在毫秒级判断，然后决定你拿到的是 Mythos 级的能力，还是 Opus 级的回答。 第三，它和支付能力几乎同向。需要满血网络安全能力的组织，恰好就是能签企业合同、能通过审查、能接受数据保留条款的组织。信任和支付意愿在这个市场上接近同一个变量，这是历代围栏设计者都没有得到过的运气。此外它还自带道德豁免：没有人会抗议一道以安全为名的墙。 还有一个细节，让这套结构精确命中教科书定义。Deneckere 和 McAfee 给 damaged goods 下的判据是：低配版的生产成本不低于高配版。IBM 的打印机多装一块芯片，Wolfram 多写一个模拟库，而 Fable 5 比 Mythos 5 多跑一整套 classifier 推理。受约束的版本，成本反而更高。一百多年的家族谱系，在这里接上了最新一代。Shapiro 和 Varian 在 1998 年给信息产品厂商的设计建议读起来像预言：「如果你给产品加了一个高级新功能，务必确保有办法把它关掉。」safeguard 就是那个开关，而开关的钥匙，交到了受信任伙伴的手里。 「约束雕出 SKU」也有现成的当代先例。NVIDIA 为了符合出口管制，把 A100 的互连带宽降到阈值以下，造出对华销售的 A800：降级的理由完全来自外部，客观上却完成了一次市场分割。美国的免税农用柴油要加红色染料，染料不改变任何性能，唯一的功能是标记「这桶油没交路税」。约束是真实的，围栏也是真实的，两者从来不互斥。 ## 两种解释同时为真 这套结构最容易被读成阴谋论：安全是幌子，收钱是目的。证据不支持这种读法。 Anthropic 的安全投入有真金白银的成本，产能约束也是真的：Fable 5 在订阅里分阶段放量，官方理由是需求难以预测。Damaged goods 理论甚至自带一个反直觉的辩护：Deneckere 和 McAfee 证明，引入低配版可能让所有人受益。放到这里看，如果没有 Fable 5 这个安全版，Mythos 级能力就只属于 Glasswing 那一小圈伙伴，公众什么也用不上；classifier 让超过 95% 的使用场景对所有人开放了。低配版的存在，可以是大多数人从无到有的那一步。 真正的要点是一个对称性。官方反复强调模型能力是 dual-use 的：同样的查询，在安全研究员手里有益，在攻击者手里危险。其实 safeguard 本身也是 dual-use 的：同一套 classifier，既是真实的安全工程，又客观上构成一道接近完美的价格围栏。芯片行业早就熟悉这种状态：同样是熔断几个核心，可能是在挽救有缺陷的晶圆，也可能是在为低端市场制造产品，从芯片本身看不出区别。从今往后，前沿 AI 的每一条安全机制都会处在这种状态里：外界无法分辨它的动机，也不需要分辨，因为两个功能都是真的。 ## 一个可以带走的检验 判断一条限制是否在客观上构成价格围栏，看三件东西，缺一不可：质量差或准入差、价格差、自选择机制。微软当年被欧盟强制发售去掉 Media Player 的 Windows N，有质量差，但和完整版同价，结果几乎无人购买：缺了价格梯度，降级版连围栏都当不成。Anthropic 的结构三件齐备：Fable 与 Mythos 之间有能力差和准入差，订阅与 credit 之间有价格差，classifier 和入口检测完成自选择。 这个检验的用处在于往后看。围栏的建造成本已经塌缩到一个 API 参数：speed 是一道围栏，inference_geo 是一道围栏，classifier 的触发标志是一道围栏。造一道新围栏不再需要开模具、改产线，只需要一个 if 语句，所以围栏只会越来越多。OpenAI 已经在走同一条路：GPT-5.3-Codex 的网络安全能力锁在 Trusted Access for Cyber 项目背后，通过身份验证的防御者才能解锁，相当于 Glasswing 的规模化版本。两家头部实验室在同一个季度收敛到同一个结构，说明这是行业的定价范式，而非某一家公司的权宜之计。 所以，下一次读到 AI 公司的安全公告、产能公告、合规公告时，可以多做一个动作：在每条理由旁边，找一找那个计费开关。大多数时候你都能找到。这不意味着理由是假的，只意味着在前沿 AI 这个行业里，护栏和围栏，从此是同一个装置。 全文完全由 Claude Fable 5 撰写。