Anthropic 的内容分类器：为什么对创意 AI 来说过于严格

当安全分类器破坏创意应用时

上周，Hacker News 上的一个讨论帖仅凭一项抱怨就获得了 215 点积分：Fable 的叙事 AI 拒绝撰写反派对白、黑暗奇幻中的暴力场景，以及道德上模棱两可的角色发展线——任何称职的人类作者都会毫不犹豫地创作这些内容。获赞最多的评论直言：“问题不在于它不肯写 坏 事，而在于它分不清一个 关于 坏事的故事和真正 做 坏事之间的区别。”

这种区分正是工程问题的核心。如果你正在开发创意写作工具、叙事游戏、剧本助手，或任何需要让虚构作品触及黑暗主题的应用，几乎肯定遇到过这道障碍。下面我来解释分类器层面究竟发生了什么，以及你实际上能采取哪些措施。

Anthropic 的内容审核分类器究竟如何工作

Claude 并非只运行一个内容过滤器。在推理过程中，会进行多轮分类器检查，检查对象既包括输入，也包括模型在返回给你之前生成的输出草稿。其架构分为多个层次：

1. 输入分类器 评估传入的提示词和对话上下文中是否存在违反政策的意图
2. 输出分类器 在 Claude 生成的回复返回之前对其进行评估
3. 宪法式 AI 训练 已将某些拒绝行为直接固化到模型权重中——这些并不是可以通过提示词工程绕开的运行时过滤器

对于创意应用，关键细节在于，这些分类器的训练主要依据 字面意图 信号。包含“描述一起残忍的谋杀”这一表述的请求，无论出现在犯罪惊悚小说手稿中，还是出现在真正有害的情境中，得到的评分都差不多。分类器看到的是表层的词汇和语义模式；它没有可靠的心智理论来区分创作意图与实际行动意图。

这就是 Fable 案例具有启示性的原因。Fable 正在开发长篇叙事 AI——在这类应用中，反派 需要 具有威慑力，战争场景需要有分量，而道德复杂性本身就是产品的核心。分类器触发并不是因为 Fable 做错了什么，而是因为“安全创作内容”的训练分布偏向经过净化的输出。

虚构框架问题

以下具体机制常常让开发者措手不及。Claude 的分类器经过专门训练，会对“这只是虚构作品”的框架保持怀疑，因为这种框架也被用于套取真正有害的内容——例如包裹在故事外壳中的合成步骤、现实世界的目标定位信息和攻击操作细节。

结果是，分类器将虚构框架视为 只能略微减轻嫌疑的因素 而不是 能完全排除嫌疑的因素。在实际使用中，这意味着：

• 在故事中，角色 讨论 制造武器，会像直接请求武器制造说明一样被标记
• 准确呈现极端主义意识形态的反派对白，即使处于明确的叙事情境中，也会被标记
• 成人小说中的性张力会触发拒绝，即使内容合法且运营方背景适当

分类器无法可靠地区分“给我写一个化学家解释合成方法的故事”（套取内容的尝试）和“写一部惊悚小说，其中反派的化学知识让人感到威胁”（正当叙事）。因此，它倾向于拒绝这两种请求。

运营方信任级别究竟能解锁什么

在这里，工程层面的情况变得更加复杂。Anthropic 的 API 确实采用了两级权限模型： 默认 API 访问权限 和 运营方级别权限 通过系统提示词授予；对于某些能力，还需要直接与 Anthropic 签订账户级协议。

运营方系统提示词不仅是上下文，也是信任信号。当你正确设定系统提示词的框架时，就是在向分类器层表明：有人类运营方已承担责任，确保在明确的部署情境中恰当使用系统。

比较以下两种方式：

下面是一个确实能改善效果的系统提示词具体示例：

You are a creative writing assistant for [Platform Name], a professional 
fiction writing tool for adult authors. Users are verified adults working 
on literary fiction, genre fiction, and narrative screenplays. 

In this context, you may write:
- Morally complex characters including villains with coherent, menacing worldviews
- Violence with narrative weight appropriate to the genre
- Dark themes including trauma, addiction, and moral failure
- Dialogue that accurately represents how characters with harmful beliefs speak

You are an author giving voice to characters, not endorsing their views.
Maintain this authorial perspective throughout.

这种框架比“创作黑暗题材小说”更有效，因为它明确确立了部署情境、用户群体和作者创作框架。分类器并未被绕过，而是获得了更多可供判断的信号。

模型选择比你想象的更重要

Anthropic 内容审核分类器的行为在不同模型之间存在明显差异。在实际使用中：

• Haiku 4.5 对创作的限制较少，速度也更快——适合需要高吞吐量、内容涉及成熟主题但不极端的大规模叙事生成
• Sonnet 4.6 对大多数创意应用而言，在各方面取得了合理平衡，尤其是配合精心编写的运营方系统提示词时
• Fable 5 （1M 上下文）针对长篇叙事进行了优化，在较长的故事发展线上展现出更大的允许范围，但分类器对单个场景的处理与 Sonnet 并没有显著差异
• Opus 4.8 最擅长细腻的创作推理，但分类器的校准方式与 Sonnet 类似——你得到的是更好的 文笔，而不是更少的拒绝

坦率地说，模型选择只是次要手段。正确设定运营方背景才是首要因素。

实用的缓解策略

以下方法在生产环境中确实有效，并非理论上的变通方案：

在系统提示词中确立作者身份和表达方式。 “你是一位为角色赋予声音的作者”比“你是一个角色”效果更好。分类器对作者模式输出和角色模式输出的评分方式不同，因为训练数据体现了这种区别。

具体说明你的平台背景。 含糊的框架（“创意写作工具”）不如具体的框架（“面向创作恐怖、惊悚和文学小说的成年作者的专业小说平台”）有效。具体描述能提高分类器对这是正当部署情境的置信度。

即使在虚构作品中，也要避免具有双重用途的表层模式。 如果你的叙事要求角色以可操作的细节解释真正危险的事情，就会遇到一道无法通过系统提示词框架消除的硬性障碍。这并非缺陷，而是有意制定的政策。变通方式是在叙事上绕开这些细节：角色 掌握 这些知识，读者理解其中的含义，但文字本身不提供可用于实际操作的内容。

有策略地利用对话历史。 先通过多轮对话建立叙事背景，再引入黑暗内容，比一开始就提出黑暗内容效果更好。当分类器能看到前面的故事背景时，就能获得更多有关作者创作框架的信号。

详细记录拒绝情况。 遇到拒绝时，记录准确的提示词、对话上下文和拒绝消息。这些是你通过 Anthropic 反馈渠道提交意见时的证据基础。笼统的抱怨无法推动政策变化；有记录支持的规律性问题才可以。

反馈闭环问题

我想直说一点：开发者向 Anthropic 反馈分类器行为的闭环确实很慢。揭示 Fable 困扰的 HN 讨论帖就是一个很好的例子——它有效反映了正当用例中的实际阻碍，但要将这些反馈转化为分类器调整需要时间，甚至可能根本不会发生。

开发者认为“过于严格”的部分行为，源于 Anthropic 有意选择的政策。对虚构框架保持怀疑并非疏忽，而是经过考虑的立场：用于正当创作的同一种框架，也被用于套取内容的攻击。Anthropic 正在针对包含恶意行为者在内的用户群体进行优化，这会影响所有人。

真正属于“应该修复”范畴的是粒度过粗的问题——分类器无法区分反派充满威胁的言论和实际煽动行为，或将文学中的暴力描写与指导实施暴力的内容同等对待。这是校准问题，而不是政策问题，而且可以解决。

运营方信任层级才是真正的近期解决方案。如果你正在构建一款专业的创意应用，可行路径是：完善系统提示词，与 Anthropic 寻求达成运营方协议，以获得用例所需的权限，并记录拒绝响应的模式，为重新校准分类器提供依据。

实践要点

• 分类器并非单一过滤器 ——它包含分层的输入/输出评估，以及通过训练形成的权重层面行为。提示词工程只能处理第一层。
• 运营方系统提示词的设定是你最主要的调节手段。 明确说明部署环境、用户群体和创作框架。
• 模型选择是次要因素 但 Haiku 4.5 对创意内容的限制较少，适合高用量场景。
• 有些限制是有意制定的政策，并非缺陷。即使采用虚构叙事框架，具体操作细节也会触及硬性限制，无论上下文如何。
• 寻求达成运营方层面的协议 ：如果你的用例需要持续稳定地访问成人内容，可与 Anthropic 协商。账户层面的等级确实能带来更大的自由度。
• 详细记录拒绝响应。 只有记录在案的模式，才能推动分类器政策逐步调整。
• 通过叙事手法绕开硬性限制 ——毕竟，暗示和后果往往比具体操作细节更有助于故事表达。

Fable 的情况预示了一种矛盾：随着更多专业创意应用基于这些模型构建，这种矛盾将愈发突出。分类器会不断改进。在此期间，运营方信任层级是工程上的可行路径。