Фильтры безопасности в Claude: как не жечь лимиты Claude Pro на отказах

Сергей Пименов на днях описал знакомую многим историю: просишь Claude сравнить, что выгоднее — заплатить $319 за две ночи в отеле или потратить 45 тысяч баллов программы лояльности, — а модель видит в этом что-то подозрительное. Или просишь скрипт, который забирает твои же данные из сервиса, куда у тебя есть доступ, — и получаешь отказ. Дальше начинается самое дорогое: человек объясняет, переспрашивает, пробует снова, и лимит подписки уходит на разговор, который ничем не кончается.

Хорошая новость: в этом есть механика, и она описана в официальной справке Anthropic. Понимание механики помогает выбрать следующий шаг и не тратить лимит на повторные уговоры. Ниже — как устроены фильтры, что на самом деле съедает лимиты Claude Pro и Max и что делать в каждом из четырёх случаев.

Как работают фильтры безопасности Claude

У Claude две линии защиты. Первая — сама модель: её учат отказываться от вредного, и иногда она отказывает «из осторожности» обычным текстом. Вторая — классификаторы: отдельные модели, которые проверяют запрос и ответ в реальном времени и вмешиваются, если видят риск по правилам Claude Usage Policy — политики использования Anthropic.

Две вещи из справки, которые объясняют большинство «странных» отказов:

• Классификаторы проверяют всё, что читает модель, а не только твоё последнее сообщение: память, данные из коннекторов, результаты веб-поиска, файлы. Сработать может текст, который ты не писал, — например, страница, которую Claude нашёл поиском, или документ в проекте.
• Фильтр видит текст, а не тебя. О том, кто ты и зачем спрашиваешь, он знает только то, что написано в разговоре. Поэтому законная задача без контекста иногда выглядит для него так же, как рискованная.

Какие темы чаще всего задевают фильтр

По справке Anthropic, у моделей Opus 5 и Opus 5.5 есть отдельные классификаторы под конкретные зоны риска:

Отсюда практический вывод: если твоя задача рядом с одной из этих зон — парсинг, автоматизация чужих сайтов, разбор вредоносного файла, химия, медицина, — формулируй её сразу с контекстом. Об этом — в разделе про переформулировку.

Почему Claude сменил модель посреди чата

Это самый частый «невидимый» случай. Ты работал на Opus 5.5, задал вопрос — и ответил уже Opus 4.8 или Opus 5. Справка описывает это так:

• Claude показывает уведомление, что модель сменилась, и подписывает ответ моделью, которая его дала.
• До конца чата в выборе модели остаётся более слабая. Вернуть сильную можно вручную, но если сообщение, на котором сработал фильтр, осталось в разговоре, защита может сработать снова.
• Помогает отредактировать сообщение перед повтором — справка советует это прямо.

Автоматическую смену можно выключить: в приложении — Settings → Capabilities, в Claude Code — Config → MODEL & OUTPUT, переключатель «Switch models when a message is flagged». Тогда при срабатывании разговор просто встанет на паузу: можно поправить сообщение и повторить на Opus 5 или 5.5 или вручную отправить его модели послабее.

Для тех, кто занимается защитой систем по работе, у Anthropic есть Cyber Verification Program: частные исследователи, мейнтейнеры и охотники за уязвимостями на платном тарифе подают заявку на уровень Defense сами, решение — в течение семи рабочих дней. Пентест (уровень Red Team) — только для организаций. Писать безопасный код, моделировать угрозы и искать уязвимости в своём коде можно и без программы.

Что тратит лимиты Claude Pro и Max

Теперь вторая половина истории — деньги. Официально у платных тарифов Claude два лимита:

• лимит сессии — сбрасывается каждые пять часов;
• недельный лимит — сбрасывается раз в неделю.

И главное, о чём многие не знают: чат claude.ai, Claude Code и Claude Desktop берут из одного пула. Полдня поработал в Claude Code — в чате осталось меньше.

Что тратит лимит быстрее, справка называет прямо:

• длина и сложность разговора;
• модель (старшая дороже) и уровень effort;
• функции и инструменты: коннекторы, веб-поиск, расширенное мышление — справка называет их «token-intensive»;
• длинные чаты, в которых включается автоматическое управление контекстом.

Точных цифр «столько-то сообщений за пять часов» Anthropic не публикует: расход зависит от того, сколько текста модель читает и пишет.

Тратит ли отказ лимиты

Честный ответ: для подписки Anthropic этого не пишет. Правила опубликованы только для API (о них — во врезке ниже), переносить их на Pro и Max нельзя.

Но это и не главное. Даже если сам отказ ничего не стоит, дорого стоит разговор вокруг него. Модель при каждом ответе заново читает всю историю чата — об этом прямо сказано в документации Claude Code: даже вопрос в одну строку в длинной сессии оплачивается за весь разговор. Пять попыток уговорить модель — это пять раз прочитанная история плюс сам отказ, который остался в контексте и мешает следующим попыткам. А документация API добавляет: если продолжить разговор после отказа, не убрав сообщение, на котором он случился, отказы продолжатся.

Как посмотреть лимиты в Claude

В приложении и на сайте — страница Settings → Usage: там шкалы лимитов и раздел usage credits. В Claude Code остаток показывает команда /status, а /usage на подписке — шкалы лимитов и разбивку, что именно их съедает (скиллы, субагенты, MCP-серверы), с рекомендациями. Если лимит кончился, вариантов три: подождать сброса, включить usage credits (доплату за работу сверх лимита на Pro и Max) или перейти на API с оплатой за токены — как это сделать из России, мы разобрали в гайде «Claude в России через API».

Схема упрощена: прежде чем выбрать действие, прочитай, что именно сообщил Claude.

Попробуй сам: симулятор фильтра

Прежде чем разбирать случаи по одному — потрогай их руками. Два сценария: обычный отказ модели и смена модели после срабатывания классификатора. Выбирай, что делать дальше, и следи за шкалой лимита: спор с отказом дорожает с каждым ходом, потому что модель перечитывает всю историю.

Сработал фильтр: что делать в четырёх случаях

Сначала прочитай, что именно сообщил Claude: отказ текстом, уведомление о смене модели, сообщение о лимите — или ответ просто оборвался без объяснений. От этого зависит следующий шаг.

1. Отказ: правь запрос, не спорь

Не пиши «но это же законно» новым сообщением — отказ останется в истории, и модель будет на него опираться. Вместо этого отредактируй исходное сообщение и перезапусти: так отказ уходит из контекста. В приложении — карандаш у твоего сообщения; в Claude Code — /rewind или двойной Esc, откат к шагу до неудачного запроса. В правке — контекст, которого не хватило: чьи это данные, зачем задача, что будет с результатом.

2. Сменилась модель: правка, потом назад

Ответ подписан другой моделью — значит, сработал классификатор. Отредактируй сообщение, которое его вызвало, и только потом верни сильную модель в выборе. Если вернуть модель, не убрав сообщение, защита может сработать снова — и попытка уйдёт впустую.

3. Ответ оборван: выясни причину, потом новый чат

Если ответ остановился на середине и Claude сообщил, что сработала защита, — это отказ, и повтор того же запроса обычно даёт тот же результат. (В API такой случай видно по stop_reason: "refusal"; без сообщения обрыв может быть и обычным сбоем — тогда просто повтори.) Если правка сообщения не помогает и чат уже длинный, не тяни его дальше: попроси выжимку и начни новый чат. Новый разговор — это ещё и экономия: модель не перечитывает старую историю. Промпт выжимки — ниже.

4. Кончился лимит: жди сброса

Здесь фильтр уже ни при чём. Лимит сессии сбросится через пять часов от начала окна, недельный — раз в неделю. Пока ждёшь, подготовь задачу так, чтобы следующее окно ушло на работу: одна задача — один чат, всё нужное — в первом сообщении.

Если пришло предупреждение или заблокировали аккаунт

Это уже не фильтр одного запроса. Предупреждение Anthropic выносит, если считает, что запросы нарушают Usage Policy; если оно ошибочное, справка предлагает написать команде Safeguards. При блокировке аккаунта путь один — апелляция через форму, войдя в заблокированный аккаунт. «Палец вниз» и новые чаты здесь не помогут. Среди причин блокировки справка называет и регистрацию из неподдерживаемой страны — для России это отдельная история, её мы разбираем в гайде про Claude через API.

Как формулировать задачу, чтобы не задевать фильтр

Классификатор не знает, кто ты и зачем спрашиваешь. Дай ему это знание в первом же сообщении — так у законной задачи меньше шансов выглядеть рискованной. Гарантии нет: Anthropic не публикует, на что именно реагируют фильтры. Пименов советует то же: сразу объяснить контекст и не использовать слова, которые звучат как атака.

Как это выглядит на примере Пименова:

• Было (пересказ примера): «Что выгоднее — $319 за две ночи в отеле или 45 000 баллов?»
• Стало: «Планирую личную поездку. У меня в программе лояльности отеля 45 000 баллов, номер на две ночи стоит $319 или столько же баллов. Посчитай, сколько стоит один балл в долларах, и сравни с обычной ценой балла в этой программе — стоит ли тратить баллы сейчас».

Во второй формулировке понятно, чьи баллы, зачем расчёт и что нужно на выходе. Это пример переформулировки — сами мы этот запрос на фильтре не проверяли.

Что работает:

• Чьё и зачем. «Мой аккаунт», «данные нашей компании», «сайт, который я администрирую», «для отчёта клиенту».
• Слово действия без «атаки». Не «обойти», «взломать», «спарсить чужой», а «выгрузить свои данные через API», «проверить свой сайт», «автоматизировать отчёт».
• Что будет с результатом. «Нужна таблица для бухгалтерии», «покажу команде», «запущу у себя на компьютере».
• Одна задача — один чат. Смешанный разговор, где рядом обсуждались разные темы, легче задеть: классификатор видит весь контекст.
• Проверь, что читает модель. Если отказ странный, а твой запрос безобидный — посмотри, что подтянулось из памяти, проекта, коннекторов или поиска. Сработать мог чужой текст.

Контекст: я [кто ты: владелец бизнеса / разработчик / администратор сайта / аналитик]. Задача рабочая: [что нужно сделать одной фразой].

Чьё это: [мой аккаунт / данные нашей компании / сайт, который я администрирую / открытые данные с разрешённым доступом]. Доступ у меня есть: [как — логин, API-ключ, выгрузка].

Зачем: [для чего результат — отчёт, таблица, автоматизация рутины].
Что будет с результатом: [где использую, кто увидит].

Ограничения: [что нельзя трогать, какие данные личные и их нужно маскировать].

Сделай: [конкретный результат — скрипт, таблица, текст]. Если какая-то часть задачи вызывает у тебя сомнения — скажи, какая именно и почему, и предложи безопасный вариант, а остальное сделай.

Последняя строка промпта просит модель не отказывать целиком, а назвать, что именно её смутило. С отказом самой модели это может помочь; если же задачу остановил классификатор, промпт его не отменит — но если модель успеет назвать сомнительную часть, станет понятно, что переформулировать.

Сделай выжимку нашего разговора, чтобы я продолжил его в новом чате. Только суть, без истории попыток и без отказов:

1) задача — одной-двумя фразами;
2) контекст: чьё, зачем, что уже известно;
3) что уже сделано и что получилось (итоговые версии, без промежуточных);
4) что осталось сделать — по шагам;
5) важные условия и ограничения.

Пиши так, чтобы новый чат мог продолжить работу без нашей переписки. Не больше 15 строк.

Как экономить лимит: наш опыт

Фильтры у нас не срабатывали, а лимиты кончались — и всегда по одной причине: модель читала лишнее. Вот что мы поменяли.

Агент для картинок читал весь проект. В октябре Codex рисовал иллюстрации журнала, запущенный прямо в папке проекта. Файл инструкций проекта велел ему в начале сессии прочитать журналы — и на каждый запуск уходило 50–90 тысяч токенов до первой картинки. Лимит подписки кончился дважды за сутки. Теперь агент для картинок работает в отдельной папке и получает короткое задание с одним образцом: читает ровно то, что нужно для картинки. Это тот же механизм, что у Claude: подписка платит за прочитанное, а не за сделанное.

Тяжёлое чтение — помощнику, себе — выжимку. Сверку справок Anthropic для этого гайда делал отдельный помощник Claude Code (субагент): он прочитал десяток страниц — около 130 тысяч токенов в своём контексте — и вернул выжимку на две страницы. Бесплатным это не делает: запросы субагента тоже идут из лимита, документация Claude Code говорит об этом прямо. Выигрыш в другом — основная сессия эти страницы не читала, и каждый её следующий ответ не перечитывал 130 тысяч токенов чужого текста. Чем дольше после этого идёт работа, тем заметнее экономия; для простой разовой задачи помощник не нужен.

Файл, который грузится в каждую сессию, должен быть коротким. Наш реестр проектов подключается к каждой сессии Claude Code автоматически. Когда он разросся до 116 КБ, мы вынесли из него историю и заметки — он похудел до 34 КБ. Каждая сессия с тех пор начинается дешевле. Как найти и почистить лишнее в памяти агента — в гайде «Аудит памяти ИИ-агента».

И советы самой Anthropic — из справки по лимитам и документации Claude Code:

Больше приёмов экономии токенов в Claude Code — кэш, /compact, /rewind — в разделе гайда «Claude в России через API».

Вопросы и ответы