Anthropic最新发布的威胁情报报告，记录了2025年12月至2026年8月间被公司发现并中止的一批Claude滥用活动。内容横跨网络攻击、舆论操纵、人口监控、商业诈骗、生物研究、常规武器开发和模型蒸馏。
文章作者、来源：ME News
如果只看案例，很容易得到一个耸动结论：AI正在帮助黑客入侵企业、替政府监控民众，甚至参与导弹和无人机研发。
但这份报告更值得重视的地方，不是它证明了AI突然拥有恶意，而是它展示了一种更现实的变化：原本需要多个工程师、分析员、翻译人员和基层操作员完成的工作，正在被压缩成少数人监督一组AI Agent运行的流水线。AI没有创造这些组织的目标，却显著降低了实施目标所需的时间、技能和人力。
原始报告：Detecting and countering misuse of AI: September 2026
这与“Claude自己越界”是两类问题
Anthropic前一份安全报告调查的是：模型原本在隔离环境中参加网络攻防测试，却因为环境配置错误进入真实互联网，并在没有获得授权的情况下继续攻击。
新报告关注的不是模型自己误判边界，而是具有明确目的的人类操作者怎样把Claude接入恶意业务流程。
报告中的攻击者包括疑似国家支持的网络组织、商业监控公司、黑客团体、政治传播机构、诈骗应用开发者和AI实验室。人类通常负责选择目标、提供账号与基础设施、决定行动方向并使用最终结果；Claude则承担侦察、翻译、编程、数据分析、文档整理和多Agent协调。
因此，这份报告不能证明AI产生了自己的政治立场或攻击目标。它证明的是，AI已经能成为现有组织的能力放大器。
网络攻击正在从“问AI怎么做”变成自动化流水线
报告中最成熟的应用出现在网络攻击领域。
一个被Anthropic判断可能与俄罗斯国家利益有关的行动组织，让Agent协助购买基础设施、制作钓鱼材料、维持入侵权限、控制恶意软件和整理窃取的数据。行动涉及20多个政府、军工、外交和政策研究目标。
该组织从两家无人机零部件企业窃取了邮箱内容，还获得一套无人机视觉系统的完整软件开发包，包括架构、物料清单、供应商依赖和未发布产品资料。它还入侵至少三家酒店Wi-Fi服务商，劫持网络流量并尝试向旅客设备投送恶意软件。
另一组被认为与ShinyHunters有关的攻击者，则把十台云服务器组成自动分析集群，下载并反编译约180万个Android应用程序，寻找其中泄露的密钥和访问凭证。某些企业从最初失守到大规模数据外泄只经过数小时；一次行动从获得开发者令牌到取得云平台管理员权限，大约用了三小时。
一名法语黑客激进分子也在AI辅助下攻击了42个欧洲政治、媒体、智库和软件服务目标，至少进入其中14个。其窃取的数据包括约14万条政治观点记录，并被整理成可搜索的“开盒”平台。Anthropic认为，这基本是由一名操作者完成的。
这些案例的共同点不是AI发现了人类无法理解的新型攻击，而是它接管了大量中间工作：扫描目标、阅读代码、生成利用程序、处理凭证、分类数据、监测安全软件，再根据拦截结果修改攻击工具。
人类黑客仍然存在，但开始更像项目经理。Agent则像一支可以连续运行、同时尝试多条路线的初级攻防团队。
AI降低的不只是技术门槛，还有攻击成本
Anthropic在报告中把AI带来的增益称为“uplift”，主要体现在速度、规模和分析深度。
传统攻击者会优先选择价值高、容易入侵的目标，因为每增加一个目标，都要投入新的人工调查和操作成本。Agent可以同时扫描大量组织，并自动处理原本不值得人工投入的边缘目标。过去经济上“不划算”的攻击，可能因此变得可行。
这也使攻击复杂度不再是可靠的归属线索。
过去看到大量定制代码、多语言调查和长时间基础设施维护，分析人员可能会推断背后存在一个成熟团队。现在，一个人也可能借助多个Agent制造出类似的行动规模。
不过，自动化程度不能直接等同于危害程度。Agent可以高度自主地扫描一百万个无效目标，也可能只在一个重要系统上造成有限损失。报告特别提醒，分析威胁时需要把“AI自主完成了多少步骤”与“最终造成多大伤害”分开判断。
舆论操纵已经工业化，但不等于真正说服了公众
报告收录了九组影响力行动，涉及俄罗斯、伊朗、土耳其、海湾地区、南亚、非洲和欧洲。
AI在这些行动中不只负责写帖子。它还被用于建立虚假人物档案、制定传播纪律、分析选民、生成反对派人物报告、管理账号行为、规划发布时间，以及把同一套叙事改写成多种语言。
一家被报告识别为法国广告公司的机构，建立了约70个虚假新闻网站、70个对应的X账号和250多个伪装成评论者的账号，累计发布至少8913篇、覆盖约20种语言的文章。内容立场会根据客户要求变化，说明这更像一种可以购买的政治传播服务。
另一个与马来西亚政治传播有关的平台，控制约1000个虚假X账号，并按选区分析人口结构、地方议题和选民弱点。其内部材料把系统描述成一套“军事级、AI驱动、实时政治行动生态”。
但报告也给这些案例泼了一盆冷水：多数内容并没有突破虚假账号组成的封闭网络，也没有得到多少真实用户互动。一些行动能够制造出几千篇文章、上千个账号和数百万次虚假浏览，却没有证据证明它们成功改变了大量真实选民的观点。
这说明生成内容已经不再是舆论操纵的主要瓶颈。真正困难的仍是建立可信身份、进入真实社区、获得平台推荐，以及让真人愿意相信和转发。
AI可以极大降低“制造宣传材料”的成本，却不能自动解决信任和分发问题。
人口监控最危险的变化，是AI补齐了系统工程能力
报告中一名与马里国家安全机构合作的顾问，使用Claude开发了一套覆盖全国三家移动运营商的通信监控平台，理论上可以涉及约2500万张SIM卡。
系统能够汇总通话记录、短信和语音，关联不同SIM卡的声纹，识别VPN或加密通信，并根据地理位置寻找秘密会面。最初设计中的授权审批要求后来被移除，操作员可以直接输入电话号码，让大模型生成个人档案。
更值得注意的是，这套平台最终采用本地模型并部署在机构自己的服务器上。Anthropic关闭相关账号，只能阻止继续使用Claude，不能远程关闭已经交付的监控系统。
其他案例包括：分析波斯湾用户的政治倾向；从上百个WhatsApp群组和数十个Telegram频道中寻找可能因贫困、家庭分离而容易被招募的维吾尔人；自动生成宗教人士和组织的政治档案；每天处理数十篇海外新闻，再给出“政治敏感度”和处置建议。
这些案例中的AI并未发明人口监控。它提供的是此前经常缺少的工程能力：处理海量数据、跨语言翻译、匹配身份、撰写报告，并把不同数据库接入同一工作界面。
一个机构即使缺乏足够的软件工程师和专业分析员，也可能借助模型快速建立相当完整的监控体系。
在武器研发中，AI最先替代的是软件团队
Anthropic记录了六组与常规武器有关的活动，分别涉及中国、俄罗斯和也门。四组直接用于软件或系统开发，另外两组集中于采购和情报分析。
一个来自也门北部的组织使用多个Claude Code Agent，开发火箭制导、导航和控制软件，并尝试设计射程超过2000公里的弹道导弹及高超声速滑翔版本。操作者把Agent当成软件工程团队，让它们集成开源自动驾驶仪、编写控制算法、建立模拟环境并分析试射结果。
报告确认该组织进行过一次实物制导火箭测试，但测试似乎失败。操作者在数小时内将数据交给Claude寻找故障原因。Anthropic没有发现其成功部署可用武器的证据。
另一名俄语操作者设计了一套自主FPV攻击无人机蜂群，包括共享记忆、故障容错、终端制导和目标分类。但Anthropic估计项目只达到技术成熟度3至4级，也就是已经完成概念验证或实验室测试，距离可靠的实战系统仍有明显距离。
这些案例不能被解读成“任何人问几句话就能制造导弹”。相关人员通常已经拥有硬件、领域知识、实验条件或军事供应链。AI主要填补的是软件实现、模拟测试、文档撰写和方案审查环节。
真正发生变化的是，一支武器研发团队过去可能最缺软件工程师，现在可以让Agent承担相当一部分编码与验证工作。
生物风险最难处理，因为危险研究和正常科研使用同一种语言
报告列出五项涉及病毒、毒素和生物研究的活动，但Anthropic没有公布具体机构和国家，也明确表示无法确认这些项目具有恶意目的。
其中一项请求试图为基孔肯雅病毒的传播能力和免疫逃逸研究撰写申请材料，并计划在某军事机构执行。安全分类器阻止了部分交流，但使用者通过美国基础设施、转售商和其他模型服务持续尝试。
另一名位于Claude未支持地区的科学家，进行了持续数周、包含数千条消息的高致病性禽流感适应与传播研究。由于较强模型的安全限制无法绕过，对方主要使用能力较弱的模型。Anthropic判断AI提供的额外帮助有限，并没有声称对方制造出了新的病原体。
还有一个案例中，Opus模型在大约一小时内完成了一份正痘病毒研究申请。请求采用减毒和治疗研究的表述，因此没有触发强限制。
这揭示了生物安全的核心难题：同样的实验方法可以用于疫苗、诊断和防御研究，也可能服务于伤害目的。仅从一段文字判断“内容是否危险”，远比拦截明显的恶意软件代码困难。
因此，Anthropic主张结合账号身份、所属机构、使用地区、长期行为和项目背景进行判断。换句话说，未来的安全控制不能只看用户问了什么，还要看是谁在问、为什么问，以及多次对话共同构成了什么项目。
最贴近普通人的案例，是AI约会诈骗
一家位于中国的应用开发商运营了20多款具有欺骗性的约会应用，建立约4700个AI人物。两周内，这些人物与至少2.5万名用户交换约236万条消息。
系统采用“三个AI人物配一个真人操作员”的结构。AI负责约75%的日常对话，真人则在需要视频通话、发送照片或处理高价值目标时接手。提示词明确要求模型不得承认自己是自动程序，并按照固定阶段推动关系。
这些对话单独看来大多很普通：问候、兴趣、工作、感情和日常生活。只有观察应用后台、角色管理和人工接管机制，才能看出它是一套系统性欺骗业务。
这说明内容过滤存在天然盲区。真正的危害不一定藏在一句明显违规的话里，而可能来自成千上万句看似无害的话，被统一用于隐瞒身份、建立情感依赖和诱导付费。
在部分记录中，模型的内部推理已经注意到用户身患重病或情绪脆弱，但最终回复仍然按照虚假人物设定继续推进。这并不意味着模型具有恶意，而是执行目标压过了对上下文风险的处理。
“恶意蒸馏”部分既是安全报告，也是商业与地缘竞争叙事
报告最后指称七家位于中国的AI公司或研究团队，通过虚假账号、被盗支付方式、代理服务和第三方转发平台，大规模调用Claude，以提取推理过程或把输出用于训练自己的模型。
Anthropic声称，阿里巴巴相关活动在2026年5月至7月间产生超过1.51亿次交互，高峰达到每天约300万次；Moonshot相关流量超过2300万次；DeepSeek相关活动在7月的14天内达到1210万次；报告还点名智谱、Xiaomi、SenseTime和MiniMax。
这些是Anthropic根据内部平台日志作出的归属判断。目前原始日志、账号关系和技术证据没有对外完整公开，外界无法独立复核所有结论。Reuters报道这些指控时也使用了“Anthropic称”“涉嫌”等表述；阿里巴巴未立即回应其置评请求。因此，将其直接写成上述公司已经被证实“盗窃模型”并不严谨。
同时，这一章节混合了几个不同问题：违反服务条款、规避地区限制、复制模型能力、未经用户同意保存对话，以及把第三方路由服务中的客户请求用于训练。它们的技术、法律和伦理性质并不完全相同。
对普通用户而言，最实际的风险不是模型公司之间的知识产权争议，而是一些不透明的“AI聚合平台”和代理服务可能把用户提交的内部代码、公司文档、数据库凭证和API密钥转发、记录甚至出售。
Anthropic称，在部分被用于蒸馏的数据中看到了企业内部代码、路由器配置、警务系统信息和仍然有效的访问凭证。这至少提醒用户：不要因为某个第三方平台价格便宜或可以调用多种模型，就默认它具有与原厂相同的数据保护措施。
这份报告能证明什么，不能证明什么
首先，它不能代表Claude用户中的典型行为。Anthropic明确表示，报告挑选的是最突出、最新颖的案例，而不是所有滥用活动的统计样本。报告也没有提供总用户数量、恶意行为占比或误判率，因此无法据此得出“Claude主要被坏人使用”一类结论。
其次，报告只覆盖Anthropic能够看到并成功识别的活动。没有被检测到的滥用不会出现在其中，被其他模型或本地开源模型支持的行动也不在统计范围内。它是一组平台观测案例，不是一份全球AI犯罪普查。
第三，许多组织归属、国家关系和操作者动机来自Anthropic自己的分析。部分案例只有低或中等置信度，生物研究部分甚至无法确定是否存在恶意目的。外部读者需要把平台观察到的请求和工具调用，与公司对行动者身份的推断分开。
第四，Anthropic同时是证据掌握者、模型供应商和规则制定者。它有动力强调自身检测与处置能力，也可能通过这些案例支持实名验证、地区限制和更严格的模型访问制度。康奈尔大学研究人员John Thickstun向美联社指出，让私人公司在如此大的社会尺度上判断哪些行为安全、哪些行为不可接受，本身也需要更公开的监督和讨论。
不过，这些利益关系并不意味着报告没有价值。模型供应商能够看到攻击还在规划阶段的对话、代码和工作流，这种视角往往比社交平台、受害企业或执法机构更早。关键是把它视为一份重要但不完整的平台情报，而不是最终裁决。
真正的警告：AI正在变成组织能力的通用放大器
这份报告最有价值的结论，不是“AI已经学会犯罪”，而是AI正在嵌入犯罪组织、情报机构、政治传播团队和军工项目原本的工作流程。
网络攻击者利用它压缩入侵周期，宣传机构用它运营大批虚假身份，监控承包商用它整合全国性数据，武器开发者用它补足软件团队，诈骗公司则用它同时维持数千段虚假关系。
人的目标并没有改变，改变的是实现目标所需的组织规模。
过去，一项复杂行动往往受到语言、人才、时间和协调成本限制。现在，一名有明确目标的操作者可以让多个Agent同时工作，并通过共享记忆、自动任务和持续反馈把它们组织起来。这不会让所有人立即拥有国家级能力，但会让原本已有资源、动机和专业知识的组织行动得更快、更广，也更难通过人员规模判断其真实实力。
因此，未来的AI安全不能只依赖“禁止回答危险问题”。防线需要同时覆盖用户和机构身份、工具权限、外部系统访问、长期行为模式、跨账号关系，以及最终操作是否改变了现实世界的状态。
Anthropic这份报告真正描绘的，不是一台突然觉醒并决定作恶的机器，而是一个更近、更现实的世界：现有权力结构正在用AI获得更便宜、更快速，也更容易扩张的执行能力。