Я чинил вёрстку PDF. ИИ поставил чат на паузу из соображений безопасности

Под капотом новых защит Claude: почему блокировка срабатывает не на том, что ты написал, и почему тебя при этом тихо пересаживают на модель послабее

Короткая предыстория. Я доводил PDF документ через верстку HTML. Обычная рутина: где-то не подцепились шрифты, где-то поехала кодировка и кириллица превратилась в кракозябры. Я делаю скриншот, отправляю с просьбой «глянь, что сломалось, давай починим». И вместо фикса вёрстки получаю вот это:

Chat paused. This model has safety measures that flagged something in this session. This sometimes happens with safe, normal conversations.

Дальше три кнопки: «Edit and retry with Opus 4.8», «Continue with Haiku 4.5», «send feedback».

Первая реакция предсказуемая: «фильтры идиотские». Но если копнуть, как это устроено на самом деле, история оказывается интереснее и важнее для всех, кто строит серьёзные сетапы поверх этих моделей. Тут два слоя, и оба про механику, которую почти никто не проговаривает.

Важная развязка, без которой легко уехать в неверный диагноз. 9 июня 2026 Anthropic выпустила Fable 5, модель класса Mythos, и именно с ней дебютировал новый, нарочито широкий набор защитных классификаторов. Но уже 12 июня доступ к Fable 5 приостановили по директиве экспортного контроля США, и на момент написания (22 июня) он так и не вернулся.

Вывод простой: сегодня обычный пользователь сидит не на Fable, а на Opus 4.8. И паузу мне поставил не Fable, а собственные защиты Opus, с предложением спуститься на Haiku - хотя Sonet так же доступен. Это видно прямо по кнопкам на скриншоте: «retry with Opus», «continue with Haiku».

Почему это вообще одна история? Потому что классификаторы Opus и Fable это одно семейство (конституционные классификаторы Anthropic), и принцип, ради которого написан весь текст, работает на каждой ступени.

Защитный классификатор это отдельная ИИ-система, которая на каждый запрос проверяет, не пахнет ли он опасной зоной. У семейства этих защит три профильные области (✅ Tier 1, support-документ и анонс Anthropic):

И вот ключевая цитата из их собственной support-статьи, ради которой стоит писать этот текст (✅ Tier 1, дословно):

«The checks also review everything the model reads, not just your latest message, including memory, content from connectors, web search results, and files, so a block can be triggered by content you didn't type.»

Перечитайте. Проверка читает не ваше сообщение, а весь контекст, который видит модель: память, данные из подключённых коннекторов, результаты веб-поиска, файлы. Блок может сработать на том, что вы вообще не печатали.

(Маленькая честная сноска: эта формулировка «читаем всё, включая память» документирована для классификаторов семейства Fable. Что Opus 4.8 несёт свои защиты, Anthropic подтверждает прямым текстом; что они читают контекст ровно так же широко, это мой обоснованный вывод по общей архитектуре, ⚠, а не отдельно процитированная строка.)

Теперь разберём мой кейс, и тут важно не ошибиться с диагнозом. Соблазнительно сказать «меня заблокировали за биологию», потому что в окружении ассистента висят биоплагины с доступом к PubMed, ChEMBL и базам белков. Но есть нюанс: на Opus большинство биологических запросов как раз проходит. Anthropic пишет, что при откате на Opus пользователь получает нормальный ответ «including most biology questions». То есть жёсткая зона блока на Opus это в первую очередь кибербезопасность, под неё у Anthropic даже заведена отдельная Cyber Verification Program.

А что у меня лежало в соседних сессиях? Разбор форензики, темы вокруг обхода определенных вещей, материал по информационной безопасности, adversarial-сканы. Для кибер-классификатора это идеальный набор красных флагов. Так что мог ли меня застопорить security-материал в контексте? Мог, но я чинил HTML. И думаю что меня заблокировали именно за подозрительный скрин который мог быть похож на инжект - но это не точно:)

Сам Anthropic это признаёт прямым текстом: защиты «intentionally broad», настроены консервативно, ловят и легитимную работу, и «normal, safe conversations». Срабатывают, по их данным, меньше чем в 5% сессий. Звучит немного. Но если ты живёшь в инструменте каждый день и строишь богатый контекст, ты не в этих 95%. Ты систематически попадаешь в хвост.

Вот мысль, которую стоит проговорить, потому что она ломает интуицию (⚠ это мой вывод-рассуждение из документированной механики, а не цифра из отчёта Anthropic).

Обычная логика пользователя: «меня заблокировали, значит я попросил что-то на грани». Реальная механика: «меня заблокировали, потому что в моём контексте лежит триггер, и неважно, что я попросил сейчас».

А раз триггер ищется во всём контексте, то чем богаче твоя обвязка, тем больше поверхность срабатывания:

Получается парадокс: система безопасности бьёт ровно по тем, кто использует инструмент по максимуму. Новичок с пустой сессией и одним вопросом почти никогда не словит ложный блок. Инженер с памятью, коннекторами и агентами получает «налог» на свою же продвинутость. Это не баг конкретного классификатора, это прямое следствие архитектуры «читаем весь контекст как сигнал о намерении».

Дальше начинается то, на что многие вообще не смотрят. Блокировка это не просто «нельзя». Это развилка по моделям, и ведёт она себя по-разному в зависимости от того, включено ли у тебя авто-переключение.

Режим с включённым авто-переключением (дефолт). Заблокированный запрос молча перезапускается на следующей по силе модели, и, что важно, пикер остаётся на этой запасной модели до конца разговора (✅ Tier 1). Откатило один раз, и дальше вся сессия едет на пониженной модели, пока ты вручную не вернёшь флагман(а допустим в коворк этого сделать не получится). Вот это и есть тихий залипающий даунгрейд: ты можешь даже не заметить, что доделываешь работу не тем мозгом, который выбрал.

Режим паузы (то, что я увидел на экране). Тут блок не переключает молча, а останавливает чат и даёт явную развилку из двух кнопок (✅ Tier 1, видно на скриншоте):

Это честнее: выбор за тобой, и одна из опций сохраняет тебе сильную модель. Но цена всё равно есть, и она тоньше, чем кажется. Во-первых, тебя выбили из потока ради задачи, которая к угрозам отношения не имеет: ты пришёл чинить шрифты, а тебе предлагают переформулировать запрос или согласиться на даунгрейд. Во-вторых, кнопка «продолжить на Haiku» это путь наименьшего сопротивления: один клик, и ты уже на слабой модели, а пикер на ней залипнет. Большинство в спешке жмёт именно её.

Каскад моделей в исходном дизайне был трёхступенчатым: Fable 5 блокируется, уходит на Opus 4.8, а если и Opus срабатывает, предлагают Haiku 4.5 (✅ Tier 1). Но раз Fable сейчас недоступен, живой каскад для тебя и для меня короче: Opus 4.8 → Haiku 4.5. Anthropic честно пишет, что запасная модель «highly capable» и для большинства задач ответит хорошо. Это правда. Вопрос не в том, что Haiku плохой, а в том, что ты выбирал не его, и переключение случается из-за постороннего триггера в контексте.

И ещё деталь, которую стоит держать в голове, про деньги (✅ Tier 1, описано для штатного каскада Fable→Opus):

То есть и биллинг может меняться под тобой, в зависимости от того, в какой момент сработал классификатор.

Практическая часть, без воды.

Отключить авто-переключение. Settings → Capabilities → выключить «Switch models when a message is flagged». Тогда блок не роняет тебя молча на модель слабее, а ставит чат на паузу с явным выбором: отредактировать и повторить на флагмане, либо осознанно уйти на запасную модель. Контроль возвращается к тебе.

Edit and retry, а не просто retry. Если жмёшь «повторить» без изменений, тот же контекст остаётся в сессии, и та же защита, скорее всего, сработает снова. Сам Anthropic советует редактировать сообщение перед повтором. Но если триггер не в сообщении, а в памяти или коннекторе, правка реплики не поможет, нужно чистить источник.

Гигиена контекста как новая практика. Это, пожалуй, главный сдвиг в голове для билдера. Раз классификатор читает память, коннекторы, файлы и веб как намерение, то набор подключённого это не только про возможности, но и про поверхность ложных срабатываний. Если в задаче не нужны биоплагины или security-заметки, отключи их на время. Не держи в активной памяти то, что не работает на текущую задачу. У контекста теперь есть «температура» с точки зрения защит.

Жми Send feedback. Anthropic прямым текстом просит репортить ложные блоки: эти репорты сужают фильтры. Каждый твой обоснованный фидбек делает классификатор чуть менее тупым для всех остальных. Это не жалоба в пустоту, это единственный документированный механизм улучшения.

Вывод уровнем выше частного кейса.

Мы привыкли думать про промпт как про «то, что я написал модели». Новое поколение защит заставляет думать про промпт как про всё окно контекста сразу, потому что классификатор оценивает именно его целиком, и оценивает как заявление о намерении. Твоя память, твои инструменты, твои подтянутые источники, всё это теперь часть «запроса» в глазах системы безопасности, даже если ты в текущем сообщении про это ни слова.

Для проектирования агентов и рабочих сетапов это меняет дизайн. Раньше вопрос звучал «какой контекст даст лучший ответ». Теперь к нему добавляется второй: «какой контекст не уронит мне сессию на ровном месте». Богатый сетап это сила и одновременно поверхность ложных срабатываний. Управление контекстом становится не только про качество, но и про доступность модели.

И финальная честная рамка. Я не считаю, что защиты не нужны. Возможности уровня Mythos реально двойного назначения, и Anthropic открыто описывает, зачем закрутил гайки, настолько серьёзно, что сам флагман Fable на момент этого текста снят с доступа по требованию государства. Но широкий, контекстный, залипающий-в-даунгрейд механизм имеет конкретную цену, и эту цену платят не злоумышленники, а обычные билдеры за обычной работой. Знать, как это устроено под капотом, значит уметь эту цену снижать: вернуть себе контроль над выбором модели, навести гигиену в контексте и не молчать, когда тебя блокируют за починку шрифтов.

Источники (Tier 1, официальные материалы Anthropic):