safeguards flagged this message: что это значит и что делать, когда Claude Code останавливает классификатор безопасности

«safeguards flagged this message» означает, что классификатор безопасности (classifier), встроенный в модель Claude, среагировал на содержимое разговора и остановил ответ этой модели. Это не ошибка Claude Code и не сбой сети. Сообщение может появиться не только при работе с кибербезопасностью или биологией, но и на обычных запросах вроде приветствия или составления плана, и Anthropic сама признаёт, что ложные срабатывания возможны.

Сообщение начинается с названия модели, которую остановили. В GitHub Issues, созданных с 22 по 29 сентября 2026 года, на экране чаще всего появлялся один из двух вариантов текста (переносы строк не совсем такие, как на экране).

API Error: Opus 5.5's safeguards flagged this message (https://www.anthropic.com/legal/aup). This sometimes happens with safe, normal conversations. Claude Code can't respond to this message with Opus 5.5.

Double press esc to edit your last message, or try a different model with /model.

Send feedback with /feedback or learn more: https://support.claude.com/en/articles/8106465

Details: `[reasoning_extraction]`

API Error: Opus 5.5's safeguards flagged this session (https://www.anthropic.com/legal/aup). You may be seeing this for the first time on an Opus model: Opus 5.5 is more capable and has stronger safeguards as a result, which can sometimes flag non-cybersecurity work. We're improving these safeguards to reduce the amount of incorrectly flagged messages. Claude Code can't respond to your last message with Opus 5.5.

Double press esc to edit your last message, or try a different model with /model.

Send feedback with /feedback or learn more: https://support.claude.com/en/articles/8106465

Details: `[cyber]`

В заголовках Issues часто пишут «Message flagged by safeguards», но на экране появляется именно текст выше. Часть Opus 5.5 меняется на Fable 5.1, Opus 5, Opus 4.8 и т. д. — в зависимости от модели, с которой вы работали.

1. Что означает сообщение — его остановил классификатор, прочитавший разговор

Согласно официальной документации Claude API «Refusals and fallback», у Fable 5.1, Fable 5, Opus 5.5, Opus 5 и Sonnet 5.5 есть классификаторы безопасности, которые могут отклонить запрос. При отказе API возвращает не ошибку, а обычный ответ (HTTP 200): причина остановки указывается как stop_reason: "refusal", а область, по которой последовал отказ, — в stop_details.category. Claude Code получает это и показывает как сообщение, начинающееся с «API Error:».

Важно, что классификатор смотрит не только на последнюю отправленную фразу. В статье справочного центра, где объясняются защитные меры Opus 5.5, сказано, что классификаторы смотрят на всё, что читает модель. Сюда входят память, содержимое коннекторов, результаты веб-поиска и файлы, поэтому вас могут остановить из-за того, чего вы сами не набирали.

О третьем пункте документация Claude Code о настройке моделей прямо говорит: классификатор может сработать на первом запросе сессии, ещё до того, как вы отправили что-то необычное. Поскольку первый запрос включает содержимое CLAUDE.md и git status, в репозитории с материалами по безопасности или биологии классификатор может сработать только из-за этих сведений — таково объяснение. Четвёртый пункт соответствует словам документации API: отказ может прийти до вывода или посреди него, и в обоих случаях частичный вывод следует отбросить как неполный.

2. Текст зависит от модели и версии

Один и тот же механизм выдаёт сообщения с разным текстом. Текущий пример из официального справочника ошибок выглядит так.

API Error: Opus 4.8's safeguards flagged this message. Our intentionally broad safeguards allow us to deliver more capabilities faster, but can sometimes flag legitimate cybersecurity work. Apply to the Cyber Verification Program to reduce these interruptions. Send feedback with /feedback or learn more: https://support.claude.com/en/articles/14604842-real-time-cyber-safeguards-on-claude

Далее справочник ошибок сообщает, что на Opus 5.5 и Sonnet 5.5 сообщение начинается с <model>'s safeguards flagged this session. Два сообщения, приведённые в начале статьи, были вставлены в Issues, созданные 22 сентября 2026 года и позже. В том, что мы прочитали, сообщение flagged this session сопровождалось [cyber] или [bio], а сообщение This sometimes happens with safe, normal conversations — в основном [reasoning_extraction].

Справочник ошибок сообщает, что сами классификаторы работают на стороне сервера и существовали ещё до v2.1.203, а последующие обновления Claude Code меняли только текст сообщения. То есть дело не в том, что вас стали останавливать после обновления Claude Code.

Что изменилось в v2.1.284

В CHANGELOG версии v2.1.284, вышедшей 28 сентября 2026 года, есть два пункта, связанных с этим сообщением.

• Уведомление, которое появляется, когда защитные меры модели Sonnet срабатывают на сообщение, теперь объясняет, почему это произошло, и предлагает исправить сообщение и отправить его снова.
• Изменено переключение моделей из-за защитных мер в сессиях, где модель Opus закреплена через ANTHROPIC_DEFAULT_OPUS_MODEL или modelOverrides. В Anthropic API резервную модель для каждого типа срабатывания теперь выбирает сам API, а не берётся закреплённая модель.

По состоянию на 29 сентября текст нового уведомления для Sonnet не был указан в официальном справочнике ошибок и не встречался ни в одном из прочитанных нами Issues.

3. Категории в Details и переключается ли модель

Слово в Details: в конце сообщения совпадает со значением stop_details.category, которое возвращает API. В документации API перечислены пять категорий. Обратите внимание: у каждой категории, кроме reasoning_extraction, есть примечание, что она может срабатывать и на безобидной работе.

Источники: таблица категорий в Claude API «Refusals and fallback», раздел Automatic model fallback в Claude Code «Model configuration» и статья справочного центра «Why Claude switched models in your conversation with Opus 5 or Opus 5.5» (всё проверено 29 сентября 2026 года).

Когда происходит переключение

По умолчанию, если Claude Code останавливают по категории, у которой есть резервная модель, он автоматически отправляет тот же запрос на резервную модель и публикует уведомление в разговоре. Остаток сессии продолжается на резервной модели. Чтобы вернуться к исходной модели, выберите её снова через /model.

Однако справочный центр предупреждает: даже если вернуться к исходной модели, те же защитные меры могут снова вас переключить, если помеченный запрос остаётся в разговоре, а исправление предыдущего сообщения перед повторной отправкой часто помогает. Типичные ситуации, когда переключение не спасает и вы оказываетесь остановлены с сообщением вроде приведённых в начале: остановка по категории без резервной модели, например reasoning_extraction; остановка и на резервной модели; резервная модель не разрешена в availableModels; работа в неинтерактивном режиме вроде -p с включённой настройкой «спрашивать перед переключением».

4. Вы сделали что-то не так? Что Anthropic пишет о ложных срабатываниях

Если вам кажется, что «ничего плохого я не делал, а меня всё равно остановили», — это вполне возможно. Официальная документация в нескольких местах прямо признаёт ложные срабатывания.

С другой стороны, статья справочного центра, на которую ссылается сообщение (Our Approach to User Safety), говорит, что к пользователям, неоднократно нарушающим правила, могут временно применяться фильтры безопасности с повышенной чувствительностью. Учитываются ли при этом остановки из-за ложных срабатываний, официально не сказано. После остановки безопаснее сменить разговор по шагам из раздела 6, чем раз за разом отправлять тот же запрос, меняя лишь формулировку.

Как подходить к остановке с reasoning_extraction

Справочный центр приводит примеры того, что останавливает эта категория: просьбы повторить рассуждения слово в слово или выписать всю цепочку рассуждений (chain of thought) во внешний вывод. При этом, по его словам, можно по-прежнему просить Claude объяснить рассуждения, растолковать понятие или пошагово провести ревью кода, а разговорные вопросы вроде «почему ты так сделал?» не затрагиваются.

В отчётах в Issues встречались случаи, когда остановка следовала сразу после запросов вроде следующих. Всё это сообщения пользователей, и Anthropic не объясняла, почему сработал классификатор.

• Спросили, можно ли показывать на экране «размышления» вместо вызовов инструментов (#96118)
• Попросили субагента процитировать из своего контекста строку с названием модели, на которой он работает (#96139)
• В конце длинной задачи попросили записать итоги сессии в файл (#96874)
• Попросили дополнить схему архитектуры пометками «какие варианты рассматривались и почему отвергнуты» для каждого решения (#98108)

Общее у них — просьба выписать «ход мыслей» или «собственный контекст» как есть. Если это нужно как результат работы, смените формулировку на просьбу кратко подытожить результат, например «вывод и причины выбора — в трёх строках»: так запрос смещается к разрешённому, по словам Anthropic, «объяснению рассуждений». Впрочем, есть случаи вроде дополнительного сообщения в #96118, где остановил один лишь короткий вопрос на немецком, так что переформулировка не гарантирует успеха.

5. Случаи, о которых сообщают с 22 сентября

С выхода Opus 5.5 22 сентября 2026 года такие сообщения массово появляются в Issues репозитория anthropics/claude-code. Когда мы 29 сентября посчитали через поиск GitHub, Issues, созданных с 22 по 28 сентября и содержащих «safeguards» в заголовке или тексте, оказалось 67 (по 7–12 в день; число зависит от выбора поисковых слов). В прочитанных нами Issues начиная с 22 сентября ответов сотрудников Anthropic мы не нашли, а многие были помечены «duplicate».

Случаи остановки на одном приветствии, возможно, объясняются официальным утверждением из раздела 1: «классификаторы смотрят на весь разговор и сведения о рабочем месте». Идея в том, что даже если последнее сообщение было безобидным, классификатор среагировал на CLAUDE.md, предыдущий обмен или прочитанные файлы. Однако ни в одном сообщении не показано, на что именно он среагировал, и способа это проверить не опубликовано.

6. Что делать, если вас остановили

Ниже — шаги из официального справочника ошибок и документации о настройке моделей, от самых простых к более трудоёмким. Если это случилось один раз, обычно хватает шага 3.

Если хотите каждый раз выбирать сами, а не переключаться автоматически

Если вам кажется, что на резервной модели качество работы падает, отключите «Switch models when a message is flagged» в /config или пропишите в файле настроек следующее. Тогда при каждой остановке сессия будет вставать на паузу и предлагать выбор: переключиться на резервную модель или исправить промпт и отправить его снова на текущей модели.

{
  "switchModelsOnFlag": false
}

Однако для категорий без резервной модели (например, bio на Sonnet 5.5 или Opus 5) выбор не предлагается, и всё заканчивается отказом. В неинтерактивном режиме -p и во встраиваниях через SDK, которые не могут показать запрос подтверждения, остановленный ход тоже заканчивается отказом. В облачных сессиях из мобильного приложения вариант «исправить и отправить снова» недоступен.

Если остановка случилась во время /compact

Сжатие разговора тоже заставляет модель прочитать весь разговор, поэтому его тоже могут остановить (#96648). В CHANGELOG v2.1.282 сказано, что исправлена ошибка, из-за которой сжатие не удавалось при отказе на запрос сводки, и что теперь оно повторяется на резервной модели. Если claude --version показывает версию старше 2.1.282, сначала обновитесь через claude update. Когда стоит использовать сжатие, мы разбираем в статье о том, когда запускать /compact.

7. Помогает ли Cyber Verification Program (CVP)?

CVP — бесплатная программа по заявкам, которая снижает вероятность того, что защитные меры остановят людей, занимающихся кибербезопасностью в законных оборонительных целях. Статья справочного центра о CVP делит останавливаемую работу на два вида.

Главное здесь то, что по состоянию на 29 сентября 2026 года CVP не распространяется на Opus 5.5 и Sonnet 5.5. В начале статьи о CVP сказано, что она применяется к моделям Opus и Sonnet, но не к Opus 5.5 и Sonnet 5.5, и что скоро её распространят на Opus 5.5, Sonnet 5.5 и модели класса Mythos. И анонс Opus 5.5, и анонс Sonnet 5.5 тоже называют расширение CVP делом «ближайшего времени». Сообщения из раздела 5 о том, что «заявка CVP одобрена, но Opus 5.5 всё равно останавливает», согласуются с этим объяснением.

В статье справочного центра об Opus 5.5 есть ещё одна подсказка — фраза о том, что организации, уже использующие Opus 4.8 через CVP, могут сразу начать пользоваться Opus 5 с меньшими ограничениями по кибербезопасности. Если заявка одобрена, а Opus 5.5 всё равно вас останавливает, обходной путь, соответствующий официальному объяснению, — пока выбрать Opus 5 или Opus 4.8 через /model.

Для организаций, чьи биологические исследования останавливает [bio], есть отдельная программа проверки — Life Sciences Verification Program (LSVP). В анонсе Opus 5.5 сказано, что организации, прошедшие проверку, могут использовать Opus 5.5 для исследований.

8. Оплата остановленных запросов и незавершённая работа

Оплата зависит от категории и момента остановки

Согласно документации API и справочному центру, остановленные запросы оплачиваются так. Во всех случаях они учитываются в лимитах запросов (лимитах использования).

Если вы пользуетесь подпиской, последствия видны в том, как быстро расходуется лимит использования. Автор #97335 пишет, что кэш промпта, записанный остановленным запросом, не использовался следующим запросом, поэтому в длинном разговоре примерно на 700 тыс. токенов каждая остановка означала повторную запись всего разговора. По его наблюдению, 5-часовое окно тарифа Pro ушло на четыре отказа. Это сообщение не подтверждено Anthropic, но если в длинном разговоре вас раз за разом останавливают, переход через /clear обойдётся лимиту дешевле, чем упорство в том же разговоре.

Могут остаться недоделанные операции с файлами

Документация API требует отбрасывать вывод ответа, остановленного на полпути, как неполный. Примечание, которое Claude Code добавляет в разговор после остановки, в тексте, вставленном в #97335, тоже гласит, что незавершённые вызовы инструментов не выполнялись.

Однако в #97311 описаны четыре случая, когда модель остановили во время написания правки файла (Edit), записи файла (Write) или вызова Bash, и обрезанное содержимое было выполнено как есть (v2.1.219–2.1.280, на одной машине с Linux). Для Edit и Write отображался «успех», но записанный файл или изменённые строки были обрезаны. Официального ответа пока нет, но сразу после остановки безопаснее проверить изменения через git diff, прежде чем двигаться дальше, как в шаге 2 раздела 6.

# Показать изменённые файлы
git status

# Посмотреть содержимое: нет ли обрезанных правок
git diff

# Вернуть один файл к состоянию последнего коммита (после проверки)
git restore path/to/file

Изменения, сделанные инструментами правки файлов Claude Code, можно отменить и через откат к контрольной точке. Однако файлы, переписанные через Bash, откат не затрагивает.

9. Что подтверждено, а что нет

10. Итоги

«safeguards flagged this message» означает, что классификатор безопасности модели среагировал на содержимое разговора и остановил ответ этой модели. Классификаторы работают на стороне сервера и смотрят не только на последнее сообщение, но и на весь разговор, прочитанные файлы и даже CLAUDE.md. И само сообщение, и официальная документация признают, что остановить могут и обычный разговор.

Если вас остановили, сначала посмотрите категорию в Details:, а если шла операция с файлами, проверьте её через git diff. Затем пробуйте по порядку: вернуться двойным Esc и переформулировать, начать новый разговор через /clear, сменить модель через /model. Если работу блокирует [cyber], вариант — CVP, но на 29 сентября Opus 5.5 и Sonnet 5.5 ею ещё не охвачены. Общую картину защитных мер на стороне моделей смотрите в нашем разборе Opus 5.5, другие сообщения из серии «заблокировано фильтром» — в статье о The model returned no content, а прочие ошибки — в подборке частых ошибок Claude Code и способов их устранения.

FAQ

Q. Что означает «safeguards flagged this message»?
A. Это значит, что классификатор безопасности модели, с которой вы работали (например, Opus 5.5 или Fable 5.1), среагировал на содержимое разговора и остановил ответ. Это не поломка Claude Code и не сетевая ошибка. В Details: в последней строке указано название сработавшей категории.

Q. Я отправил только «hi», и меня остановили. Что я сделал не так?
A. Причина не обязательно в вашем последнем сообщении. Классификаторы смотрят на весь разговор, прочитанные файлы и даже CLAUDE.md и git status. Если при запуске через claude --safe-mode остановки нет, возможно, классификатор среагировал на содержимое загружаемых настроек или файлов. Если считаете это ложным срабатыванием, сообщите через /feedback.

Q. Могут ли заблокировать мой аккаунт?
A. В документации Claude Code сказано, что переключение модели при работе с безопасностью или биологией — ожидаемая маршрутизация, а не пометка аккаунта. С другой стороны, в статье справочного центра говорится, что к пользователям, неоднократно нарушающим правила, могут временно применяться более строгие фильтры, а учитываются ли при этом ложные срабатывания, не раскрывается.

Q. Почему меня останавливают, хотя заявка CVP одобрена?
A. Потому что по состоянию на 29 сентября 2026 года CVP не распространяется на Opus 5.5 и Sonnet 5.5. Anthropic обещает расширить её в ближайшее время. Anthropic также пишет, что организации, уже использующие Opus 4.8 через CVP, могут пользоваться Opus 5 с меньшими ограничениями по кибербезопасности, поэтому пока обходной путь — выбрать Opus 5 или Opus 4.8 через /model. Проверьте также, совпадает ли ID организации, к которой привязано одобрение, с организацией, в которой вы работаете.

Q. В одном и том же разговоре меня останавливают, что бы я ни отправил. Что делать?
A. Пока помеченное содержимое остаётся в разговоре, всё, что вы отправляете, скорее всего, получит ту же оценку. Нажмите Esc дважды и вернитесь к ходу до остановки или начните новый разговор через /clear. Исходный разговор можно открыть через /resume, но при возобновлении помеченное содержимое вернётся вместе с ним.

Первоисточники, которыми мы пользовались

• Claude Code — Error reference (официальная документация): Safety measures flagged a cybersecurity topic (текущий и старый текст, v2.1.203 и v2.1.219), Usage Policy refusal, Responses seem lower quality than usual
• Claude Code — Model configuration (официальная документация): Automatic model fallback, Check what triggered fallback, Ask before switching, Security research and biology workloads
• Claude Code — Settings reference (официальная документация): switchModelsOnFlag
• Claude Code — Checkpointing (официальная документация): двойной Esc и /rewind, что охватывает откат
• Claude Code — Changelog (официально): пункты v2.1.282 и v2.1.284
• Claude API — Refusals and fallback (официальная документация): список категорий, порядок оплаты
• Claude Help Center — Why Claude switched models in your conversation with Opus 5 or Opus 5.5: переключение по категориям, категория дистилляции, связь с CVP, оплата
• Claude Help Center — Real-time cyber safeguards on Claude Opus and Sonnet: охват CVP, заявки и обжалование
• Claude Help Center — Our Approach to User Safety: модели обнаружения и фильтры безопасности
• Anthropic — Claude Opus 5.5, Claude Sonnet 5.5 (раздел Safeguards в каждом анонсе)
• GitHub Issues: #96090, #96118, #96139, #96298, #96495, #96592, #96648, #96874, #97311, #97335, #97373, #97452, #97492, #97560, #97605, #97891, #97946, #98108 (всё — сообщения пользователей; проверено 29 сентября 2026 года)