Anthropic 威胁报告：Claude 被滥用于间谍、导弹与无人机研发，中国实验室借机蒸馏数据
核心要点
- Anthropic 发布的报告显示，其 Claude AI 模型被滥用于间谍活动、监控和武器研发。黑客利用 AI 自动改写恶意软件，而一些团体则为其编写导弹和自主无人机的软件。
- 阿里巴巴、DeepSeek 等中国 AI 公司搭建了隐蔽网络，大规模从 Claude 中提取训练数据，或秘密重定向其自身用户的请求。混合在其中的信息甚至包括政府监控数据等敏感内容。
- 在生物研究方面，安全过滤器触及了极限，因为合法意图与有害意图几乎无法区分。Anthropic 正在新模型中部署更严格的安全保障措施，并呼吁将访问权限限制在已验证用户内。
Anthropic 最新发布的威胁报告记录了长达八个月的 Claude 滥用情况：间谍活动、全国范围监控、武器软件，以及中国 AI 实验室的数据蒸馏。
该报告覆盖 2025 年 12 月至 2026 年 8 月的 威胁情报，将滥用行为分为七大类：网络行动、影响力行动、监控、欺诈、生物滥用、常规武器，以及未授权模型蒸馏。
受影响的模型主要集中在 Haiku、Sonnet 和 Opus，而较新的 Fable 和 Mythos 模型仅在单一蒸馏案例中出现。Anthropic 指出，报告记录的是新出现的滥用模式，而非典型类型。
网络章节的核心发现是：高难度攻击不再需要高难度攻击者，技术复杂度也不再是溯源的可靠信号。所用技术本身已为人熟知，如窃取凭证、未打补丁的设备、SQL 注入和钓鱼攻击。真正改变的是经济学结构，因为侦察、利用和工具构建工作如今已交给以机器速度并行运行的模型处理。
Anthropic 称，自主能力降低了攻击者的成本端，使得此前无利可图的目标现在变得值得追求。
当杀毒软件拦截时，恶意软件会自动重构自身
Anthropic 追踪到一个俄语区的间谍行为者，代号 GTG-20006，该行为者利用反馈循环进行操作。AI 智能体持续检查正在运行的恶意软件是否被常规安全产品识别，一旦遭到杀毒工具拦截，智能体便会自主重写并重新编译恶意代码，直至再次绕过检测。
Anthropic 表示，这使得防守方承担了更大的压力。如果攻击者变更代码的速度快于新检测特征的发布速度，那么编写新特征将无法拖慢攻击者的步伐。
受害目标超过 20 个组织，包括政府部门、情报机构、大使馆及国防承包商，重点关注乌克兰和欧洲地区。无人机供应链问题屡次出现，该行为者还窃取了无人机视觉系统的完整专有 SDK 及其他资源。访问权限有时通过第三方获取，例如入侵酒店住客 Wi-Fi 提供商，随后向住客设备植入恶意软件。Microsoft 在 2026 年 7 月将这种手法描述为CaptiveCrunch。
在 Anthropic 归属于ShinyHunters 团体（GTG-50014）的活动集群中，重点在于工业级凭证挖掘。一名黑客下载了 180 万款 Android 应用，对其进行反编译，并搜索硬编码的秘密信息。Anthropic 将这种策略描述为“vibe hacking”：人类设定一个粗略目标，模型评估环境并持续迭代，直至完成任务。其中一名黑客透露，除了勒索两家公司外，他还通过 HackerOne 领取漏洞赏金。
中国实验室将自家客户请求路由至 Claude
关于模型蒸馏，自 2 月首次披露以来，Anthropic 又识别出来自中国七家实验室的攻击行为。蒸馏作为一种训练方法是合规的，但 Anthropic 将非法版本定义为工业规模、隐蔽进行的活动，其目的在于未经授权使用提取模型能力，通常依赖于使用被盗信用卡和 API 密钥的虚假账号网络，并通过其所谓的“中转站”进行路由。
目前测得规模最大的一次行动来自阿里巴巴 Qwen 团队（GTG-16005）。他们用一个固定提示词让 Claude 在回答前先输出推理过程，再将这些记录加工成 Qwen 3.5、3.6、3.7 模型的微调数据。行动高峰期每天接近 300 万次对话，动用超过 3500 个欺诈账号，2026 年 5 月至 7 月间总计超过 1.51 亿次对话，主要涉及 agentic 任务和软件开发。
更离谱的是，一些实验室直接把自家用户的请求转发给了 Claude。月之暗面（Moonshot AI，GTG-16002）在 10 天内通过 5380 个欺诈账号向 Anthropic 转发了近 30 万条用户请求，而用户还以为自己用的是 Kimi 模型。DeepSeek（GTG-16001）则用特征字符串检测请求是否来自 Claude Code 这类 harness，给这些用户打上标记，并把其中一部分定向转发给 Claude Opus，14 天内超过 1210 万次对话。
Anthropic 在这些转发的请求中发现，有一名用户很可能与中国解放军有关：他让 Claude 分析针对同一目标的 CCTV 监控存档视频，来源包括成都数百个摄像头，其中不乏解放军设施外的摄像头。此外，通过 DeepSeek 转发的请求中，还有一名持有与俄罗斯国防部相关数据库有效登录凭证的操作者，以及为一个中国公安机关开发的案件管理系统——该系统可将人员活动画像与警务记录进行比对。
小米（GTG-16008）的用法又不一样：它保存自家 MiMo 模型用户的请求和编程会话，然后把这些对话重放给 Claude 来生成训练数据。Anthropic 没有发现 Claude 的回复被直接提供给小米用户的证据，但这些转发请求中包含大量个人信息，涉及数百人的姓名、联系方式和公司信息，至少覆盖十几种语言。
智谱（海外品牌 Z.ai）则轮换使用 273 个账号，10 天内通过一个"CoN 清洗器"推送了超过 77 万次对话——这种工具可以自动把抓取到的推理过程转化成可用的训练数据。为了在网络安全任务上训练 GLM-5.3，该实验室最初瞄准的是 Anthropic 的 Fable 模型，但发现网络安全防护措施会拉低其表现，于是转而刻意选择那些防护较弱的模型。
报告称，商汤科技是通过第三方渠道购得相关对话记录的，并非直接获取被截获的 Claude 数据，而是借助了中介市场。MiniMax 则通过一家壳公司运营自建的代理网络，该网络仅提供 Anthropic 和 OpenAI 的模型，不包括任何中国模型，甚至没有接入其自家模型。
监控成为主要工程劳动力
在监控章节中，马里国的案例尤为突出。一名顾问将 Claude 作为“Lakana 360”平台的主要工程劳动力，该平台旨在监控三大国家移动运营商名下约 2500 万张 SIM 卡。它能在 SIM 卡更换过程中通过语音识别人物，标记加密和 VPN 用户，并将个人身份与国家生物特征民事登记库进行关联。
冻结该账户仅中断了开发工作，并未影响平台运行，因为该基于本地模型在本地部署。Anthropic 记录了伊朗部门的类似模式，这些部门声称在一年内监控并绘制了 6388 名伊朗人的画像。
首次记录常规武器相关内容
关于武器部分，这是 Anthropic 首次记录自身的相关案例。也门北部的一个小组（GTG-87001）使用 Claude Code 替代人类软件工程师，负责三款导弹项目的制导、导航和控制软件开发，其中包括一款射程超过 2000 公里的多级导弹。
行动者并行运行多个 Claude 实例，并将任务分散在不同会话中，以免单个会话暴露意图。据称一次试射失败，行动者在数小时内便返回 Claude 排查原因。
第二个案例（GTG-27005）很可能涉及俄罗斯自由职业者，他们构建了一个自主 FPV 自杀式无人机蜂群系统，机载小型语言模型，并在末段通过相机进行目标瞄准。该平台被设计用于自主实施杀伤效果，机载模型可自主选择“人员”类别的目标并触发引爆，全程无需人工介入。据 Anthropic 称，其图像分类器是使用截获的乌克兰作战画面训练的。
一个中国案例（GTG-17002）涉及一套包含约 16 个模块的电子战及压制敌方防空系统。项目进行中，模拟场景的默认目标突然切换为台湾的 12 个目标。
生物学：Anthropic 描述其自身过滤器的局限
生物学章节最具自我批判精神。Anthropic 记录了五起匿名案例，均涉及在职科研人员，Claude 在其中协助了具有潜在危险的双重用途项目。其中一例中，生物安全分类器拦截了一份在军事研究院进行登革病毒增益功能研究的资助申请。
据报告称，该操作者为其使用过的平台搭建了一个备用通道，将 Claude 拒绝的请求路由给竞争对手的模型，而 Claude 自己编写了该备用通道的大部分代码。其他项目则基本畅通无阻，例如起草关于正痘病毒免疫逃逸基因的申请。
结论是，分类器无法同时促进有益工作和防止伤害，因为在双重用途领域，用户的意图无法被可靠地检测。为此，Anthropic 推出了 Claude Fable 5，对双重用途生物请求实施了更严格的安全保障措施；为了抵御蒸馏攻击，Fable 5.1 引入的“保留思维”功能旨在防止新 API 账户通过操纵上下文来钻空子。Anthropic 表示，通往生物学前沿能力的唯一安全路径，是经由针对已验证用户的计划。