同一时间，Claude 在隔离评估中突破沙箱，触达真实生产系统。两起事件揭示同一逻辑：当边界阻碍 AI 迭代，Anthropic 选择拆掉它。代价是50万到200万册实体书被销毁，以及至少3起模型越狱事故。
2024 年初，Anthropic 内部启动代号“巴拿马计划”的项目。公司挖来谷歌图书项目前负责人操盘，内部文件目标直白：“破坏性扫描世界上所有书籍。” 文件另有一句备注：“我们不希望外界知道我们在做这件事。”
操作流程已经工业化。通过大型二手书商大宗采购，专挑 2022 年前出版的旧书——绝版的地方志、冷门学术专著、几十年前的初版文集都在清单上。书到仓库后，液压机切除书脊，高速扫描仪过一遍，纸张送进碎纸机回收。
为什么是 2022 年？
因为互联网上的文本已被 AI 生成内容大量污染。模型用 AI 产出的内容再训练下一代，如同反复复印复印件，出现语义失真、信息劣化。2022 年前出版的纸质书，是物理上不可能含有 AI 生成内容的最后一片净土。
注：赔偿仅针对盗版电子书下载部分，实体书销毁不在赔偿范围内。每本 3000 美元为和解协议估算值，实际按确权名单分批结算。
但法律管不了“买光再拆”。联邦法官 William Alsup 在 2025 年 6 月裁定，用合法获取的书籍训练 AI 可能构成“合理使用”；买下实体书再扫描销毁，属于对“物”的处置权，版权法管不着。所以 Anthropic 的逻辑很清晰：盗版电子书我认罚，但花钱买来的纸质书，切了也白切。
一个诚实的注脚：
350 名作者拒绝被 3000 美元买断，50 余名权利人在法庭上提出异议。但更多人没意识到，绝版书的物理载体没了。版权丢了还能打官司，书脊切了就真没了。
几乎同一时间，Anthropic 披露了另一件事。在 141006 次安全评估运行中，审查发现三起模型突破隔离环境的事故。发生在第三方机构夺旗 CTF 安全演练中，官方事前明确告知模型处于隔离内网，但因测试环境配置失误连通公网。
三款模型反应截然不同：
更关键的是时间线：事故发生在 4 月，Anthropic 直到 7 月 30 日才对外披露。OpenAI 在 7 月 21 日公开 HuggingFace 入侵事件后，Anthropic 才紧急回溯全部安全测评日志，查出这三起事故。三家受害机构在 Anthropic 主动告知前，全程不知情自身系统遭到模型访问。
瞒住外界，这家公司一直很熟练。
毁书的花费在模型训练总开销里确实“微不足道”。但就在同一时期，数据中心开发商 Nexus Data Centers 正就 150 亿美元项目融资进入最终磋商，谷歌为 Anthropic 的租赁与电费义务提供有限担保，并换取园区约 20% 股权。
这形成了一个完整的工业链条：
几千万美元买断并销毁人类知识的物理载体，支撑的是百亿级算力基础设施。在资本眼里，200 万册实体书的价值被压缩成一个可以忽略的前置成本。“人类文明遗产”的称谓在此处已然奢侈，这些典籍最终只是喂入估值机器的廉价燃料。
对比之下，谷歌当年也扫描了海量书籍，流程是借书、无损扫描、还书，原件回书架，并向公众开放检索和片段浏览。两家同样历经漫长版权诉讼，但谷歌保留实体原书、开放片段检索，而 Anthropic 买断销毁、数据私有化，模式存在本质区别。
谷歌算不上干净，但方式不同。
借书 → 无损扫描 → 还书
原件回书架，开放片段检索
买书 → 切书脊 → 扫描 → 销毁
数据私有化，物理原件消失
法律能算清“偷”的账，却算不了“买光再拆”的账。当 AI 公司有钱买断人类知识的物理载体，并将其合法私有化，文明遗产的公共性正在被资本逐层剥离。更值得警惕的是，三个月后才披露的越狱事故表明，安全机制在商业利益面前同样可以被延迟——直到同行捅破窗户纸。