网传Anthropic新模型泄露 43个张量是随机数

时间：2026 年 11 月 1 日（社区完成可复现核验、各家媒体开始跟进的当天；被指为泄露的仓库本身自 10 月 23 日起公开） 地点：美国旧金山 / Hugging Face 模型库 / Hacker News、Reddit 社区 人物：burner22（Hugging Face 上传者账号）、FloxUnder（Hugging Face 讨论区第 13 号帖子作者）、explosion-s、kingstnap、_ache_（参与核验的开发者） 事件详情：11 月 1 日，一个名为 burner22/numbat 的 Hugging Face 仓库把一场所谓史上最大的模型泄露推上 Hacker News 首页。模型卡自称是 Anthropic 下一代 Mythos 级训练的中途检查点：代号 numbat，约 14 万亿参数，114 层，GDN（Gated DeltaNet）与 MLA（多头潜在注意力）混合架构，1224 个 MoE 专家（top-48 加 1 个共享专家），NVFP4 量化，772 个 safetensors 分片共约 7.72 TB 张量数据，另附完整参考实现 modeling_numbat.py、131072 词元的分词器和一段训练日志尾部。仓库 10 月 23 日创建、10 月 24 日最后修改，到 11 月 1 日已有 5846 次下载。 决定性的是社区给出的可复现审计。Hugging Face 讨论区第 13 号帖子的做法是：读 safetensors 文件头拿到张量形状与字节偏移，用张量名字的 SHA-256 前 8 字节作种子驱动 NumPy 的 PCG64 随机数发生器，按形状生成标准正态分布数组，归一化权重用 exp(0.06×z)、卷积核用 z÷6 的固定配方，再转成 BF16 与分片字节逐位比对。结果是 28 个归一化权重张量（238848 个数值全部吻合）和 15 个卷积核张量（491520 个数值）完全一致，合计 730368 个 BF16 数值在 revision 6b7f8fc 上逐位命中。审计者的理由很直白：被梯度更新过的权重会偏离任何固定配方，能与带种子的随机数逐位相同，说明这些张量是被生成的，不是被训练出来的。 社区随后又补了几处硬伤：模型卡称权重为在 Trainium2 上跑评测才量化成 NVFP4，但 Trainium2 只支持 FP32、TF32、BF16、FP16 和 FP8，NVFP4 是 NVIDIA 的格式；训练日志的时间戳步进只有 6、7、8 秒，中间还夹着一条声称 178 秒的检查点记录；有人对分片做熵值检验，model-00666-of-00772.safetensors 的熵为 7.844396 比特每字节（随机数据接近 8），而真实模型 Qwen3.8 Flash-Next 的 10GB 文件熵为 6.526076 比特每字节。Hacker News 另一条讨论串的原始链接因恶意软件顾虑被删除，仓库却仍在网上，Anthropic 也没有公开回应。 背景：numbat 确实是 Anthropic 的一个内部代号，出现在 2026 年 3 月流传的 Claude Code 源码泄露里，prompts.ts 中一条注释写着上线 numbat 时删掉这一段。但正因如此它对谁都不是秘密：模型卡上唯一指向 Anthropic 内部的证据就是这个公开代号，而那段注释并没有描述模型卡上的架构。类似的所谓泄露此前已有先例，社区提到几天前就出现过深网论坛出售 Fable 5 检查点的传闻，历史上也有把开放模型改名冒充新模型的案例。 这类假货之所以容易造，是因为细节很便宜：7.7 TB 随机字节只花存储和带宽成本，Hugging Face 允许超大仓库；层数、专家数、维度可以随手写成自洽；参考实现与权重是同一批生成的，能用 load_state_dict(strict=True) 加载，证明的只是文件与代码同时被造出来，而不是来源；训练日志和评测输出都是纯文本，没有任何签名；仓库里也没有任何东西在密码学上与 Anthropic 绑定。审计者自己也留了余地：他只抽查了部分张量，没做全量推理，也承认不能排除训练时故意冻结这些参数的可能，同一讨论区还有 commenter ignis-sec 报告部分张量并不符合该配方。 影响：对普通开发者最直接的一条是别运行该仓库附带的自定义 Python 代码。依赖 trust_remote_code 的模型仓库会在本机执行任意 Python，社区在多个讨论串里明确提醒这一点，真要验证应放进没有凭据的隔离沙箱。对行业则是一次方法论提醒：核验一次所谓泄露模型并不需要下载 7.7 TB，只读每个分片开头那段很小的 safetensors 索引 JSON，一次带 Range 的 HTTP 请求就能拿到张量名字、类型和形状，再抽查几个小的归一化权重与卷积核，看分布是否处处方差恒定的完美高斯，训练过的权重有重尾和逐层漂移。同时这类假消息本身也有成本：一条指名 Anthropic 顶级模型的消息传得极快，上千次下载和大量转发都落在那个仓库上，而读者真正要判断的却是要不要运行它。截至发稿，没有看到 Anthropic 确认发生过泄露，也没有可信媒体以具名信源报道 Anthropic 正在调查，因此目前只能说未经证实且被强烈质疑，而不是不可能。 总结：这场 14 万亿参数 Anthropic 模型泄露在传播层面是真的，在内容层面是假的。决定性证据不是谁说了什么，而是 730368 个 BF16 数值与带种子的随机数逐位相同，这种精确度在被梯度更新过的权重里不可能出现。社区从怀疑到给出可复现方法只用了几个小时，说明伪造大模型检查点的成本已经远低于它的传播收益。对读者更实用的收获不是记住 numbat 这个代号，而是三件事：不要运行陌生仓库的自定义代码，核验所谓泄露模型只需读 safetensors 文件头加抽查小张量，并且要区分未经证实和不可能。 常见问题： 问：Anthropic 泄露了 14 万亿参数的模型吗？ 答：没有证据支持，43 个张量与带种子的随机数逐位一致。 问：Hugging Face 上的模型安全吗？ 答：safetensors 只是数据，但该仓库附带自定义 Python 代码，社区提醒不要运行。 问：怎么自己验证一个泄露模型？ 答：只读分片开头的 safetensors 索引 JSON，再抽查小的归一化权重看分布。 参考来源： Hugging Face 模型卡 - burner22/numbat（自称 Anthropic Mythos 级中途检查点） https://huggingface.co/burner22/numbat Hugging Face 讨论区第 13 号帖子 - FloxUnder：43 complete tensors exactly match name-seeded NumPy RNG output https://huggingface.co/burner22/numbat/discussions/13 Hugging Face 官方模型接口 - 仓库创建时间、下载量与张量统计 https://huggingface.co/api/models/burner22/numbat Hacker News 讨论串 - Alleged Mythos Class Anthropic Checkpoint Leak https://news.ycombinator.com/item?id=50327240 Hacker News 讨论串 - 熵值检验与原帖链接被删除的讨论 https://news.ycombinator.com/item?id=50326727 explainx.ai - Anthropic Mythos Leak on Hugging Face: Why It Looks Fake https://explainx.ai/blog/alleged-anthropic-mythos-checkpoint-numbat-hugging-face-fake-random-weights-2026 TLDR - burner22/numbat: Leaked pretraining checkpoint for Anthropic numbat model https://tldr.tech/story/5acc65fe-4ddf-4cb6-a35c-b43b122e6c98 掘金 - 14 万亿参数的泄露火了一晚上，评论区先把它扒干净了 https://juejin.cn/post/7702787890817384489