Anthropic 详细披露在七大危害领域中阻止对 Claude 的滥用

Anthropic 于 2026 年 9 月 10 日发布了其 2026 年 9 月威胁情报报告，详细说明其威胁情报团队如何在 2025 年 12 月至 2026 年 8 月期间识别并阻止滥用 Claude 的威胁行为者，涉及七大危害领域，包括网络行动、影响行动、监视以及非法模型蒸馏。

报告标题为 “检测与应对 AI: 2026 年 9 月”，涵盖了网络行动、影响行动、监视、诈骗与欺诈、生物滥用、常规武器开发以及蒸馏等活动。滥用案例涉及 Claude Haiku、Sonnet 和 Opus 模型；除一起非法蒸馏案例外，均未涉及 Claude Fable 或 Mythos 系列模型。Anthropic 使用内部的生成式威胁组（Generative Threat Group，GTG）代号追踪这些行为者，并衡量其所谓的 “提升”（uplift），即 AI 在速度、规模和深度上为行动带来的能力提升。公司表示，在每一起案件中都已阻止了相关活动，利用调查结果强化防护措施，并在适当情况下与当局及行业合作伙伴共享情报，并补充说明之所以发布案例研究，是因为 我们认为有责任披露对我们服务的恶意滥用。

网络行动

报告中最为广泛的网络案例，代号 GTG-20006，涉及一名行为者，Anthropic 认为其归因与公开报道中关联的 Midnight Blizzard 相符；其中一名操作员使用 “JackPoterz” 句柄，讲俄语。该行为者针对超过 20 家组织，主要集中在乌克兰政府、军方和外交机构，侵入至少三家酒店 Wi‑Fi 供应商以劫持 DNS 记录，接管至少两名前乌克兰高级官员的 WhatsApp 账户，并从北非某政府技术部门窃取超过 30 万条国家身份记录以及覆盖超过 50 万家公司的商业登记数据。报告称，该行为者的 AI 代理在安全产品检测到恶意软件后会自动修改并重建其恶意代码。

GTG-50014 涉及被怀疑与 ShinyHunters 集体有关的操作员，该集体的凭证收集流水线一次性下载了 180 万个 Android APK 并扫描其中的硬编码密钥。Anthropic 报告称，一起针对技术供应商的入侵导致超过 1 TB 数据外泄，其中包括数百万条支付卡记录；另一关联方则从受侵 SaaS 提供商的约 200 家下游客户中提取数据，并在约 34 小时内倾倒超过 2,100 套 Azure AD 令牌，涉及 40 多个企业租户，几乎全部工作由 AI 代理完成。

另外三起案例展示了活动范围的多样性。GTG-10007 为一批使用中文、可能驻扎在湖南长沙的操作员（其中两人是本科生），他们针对约五十家组织并运行自主漏洞研究项目，在一次针对网络设备的工作流中于单月内产生十余项可能的零日发现。GTG-50020 为一名讲俄语、以金钱为动机的行为者，窃取单一受害者约 26 GB 数据，勒索金额在 150 万至 250 万美元之间，随后在约四天内攻击约三十家 AI 公司，目标是获取预发布的 Claude 模型；Anthropic 表示所有尝试的路径均告失败，其系统从未被攻破。GTG-50029 为单一法语黑客主义者，利用此前未记录的 WordPress 重装竞争条件攻击至少四个站点，获得 42 个被追踪目标中至少 14 家的内部访问权限，外泄约 14 万条记录（包括用户的政治观点），并搭建名为 fafsearch 的人肉搜索平台，收录数千万条数据。

影响与监视行动

报告中有九起影响行动案例，来源于俄罗斯、伊朗、土耳其、海湾地区、南亚、非洲和欧洲，影响范围以布鲁金斯学会的 Breakout Scale 进行衡量。GTG-04001 为一名在班吉使用俄语的行为者，为 Radio Lengo Songo（98.9 FM）每日制作内容，Anthropic 将该电台关联至 Politology，并评估其所属的非洲军团/瓦格纳影响部门在 2023 年底受俄罗斯对外情报局控制；该行为者伪造中非共和国政府文件和雇佣合同，要求对该国总统以及俄罗斯保持忠诚。Anthropic 将此行动评为四级。GTG-54002 中，调查人员追踪到约 70 个伪造新闻网站、70 个对应的 X 账号以及超过 250 个不真实评论账号，这些均归属法国数字广告公司 LKM Company；该网络以约 20 种语言发布至少 8,913 篇文章，其中 318 篇聚焦刚果民主共和国。

其他行动围绕选举和国家媒体展开。GTG-84005 为一家针对马来西亚的商业选举操纵平台，Anthropic 将其高置信度关联至伊斯坦布尔的 BBS Bilisim Teknolojileri，管理约 1,000 个虚假 X 账号，覆盖马来西亚全部 222 个议会选区，并针对一名反对派政治人物编造档案。GTG-24015 涉及四个账号使用 Claude 作为编辑桌面，为包括 Sputnik Moldova、RIA Novosti、Sputnik en Español、Sputnik Africa 与 RT English 在内的俄罗斯国家媒体提供内容；一名前 Sputnik Moldova 总编辑在 2025 年 9 月 28 日的摩尔多瓦议会选举前放大了关于总统 Maia Sandu 的虚假主张。GTG-84002 为针对穆斯林兄弟会的行动，Anthropic 高置信度关联至阿联酋政府官员，运营约 300 个不真实账号，代写第 62 届联合国人权理事会的证词，描绘 18 名欧洲议会议员，并编制针对联合国特别报告员的反制档案。

监视类案例包括 GTG-50027，一名可能驻巴马科的顾问使用 Claude 作为 Lakana 360 的主要工程力量——该平台为马里国家情报局 ANSE 构建，用于监控三大移动运营商约 2500 万张 SIM 卡；Anthropic 表示平台的文档生成组件在运营商要求下移除了对搜查令的需求。GTG-14010 涉及一名亲中共的行为者，利用 Claude 跟踪、画像并尝试招募叙利亚的维吾尔人，提供对武装组织的报告报酬，Claude 实时翻译回复并扮演专家角色以检验欺骗效果。GTG-14020 与 GTG-14021 为两名中国行为者，Anthropic 将其关联至中共宗教事务及市政公共安全活动，制作关于天主教红衣主教、台湾长老会、藏传佛教以及法轮功的模板档案，其中一名行为者在被拒绝后重新提示获取压制指令，列出 10 名私人公民以供 “控制”，并提供海外抗议的前期情报。GTG-34007 包含两个伊朗单位，运营 16 个 Claude 账号，声称在一年内监视并画像 6,388 名伊朗人，分析 155,216 条推文涉及 39 个反对派账号，并向名为 Arman 的共享案例管理系统投递恶意 Firefox 扩展以批量收集身份信息。

武器开发与生物滥用

报告详细列出六起常规武器案例：其中三起发生在中国，二起在俄罗斯，另一起在也门。GTG-87001 为也门北部的一个小组，使用 Claude Code 取代人工软件工程师，开发制导火箭、具备 2,000 公里以上射程的多段弹道导弹以及包含高超声速滑翔体的变体套件；Anthropic 表示该小组试射了一枚制导火箭，现场测试似乎失败。GTG-27005 涉及可能为自由职业者的俄罗斯行为者，使用 Claude Code 构建自主 FPV 自杀式无人机群，机载模型能够选择目标（包括 “person” 类别），并在无人介入的情况下下达引爆指令，训练的视觉分类器基于抓取的乌克兰作战视频。GTG-17002 为中国行为者打造约 16 模块的电子战与防空压制套件，项目中期将仿真默认情景改为针对台湾的 12 个目标，包括指挥掩体、预警雷达站以及爱国者和天宫防御电池；Anthropic 评估该行为者与包括解放军军科学院在内的中国研究机构有关联。

随后列出五起生物滥用案例。2026 年 5 月，Anthropic 的生物安全分类器拦截了一项帮助撰写关于基孔肯尼亚增益功能研究的资助申请请求，该研究旨在为军方研究所进行，且通过一个规避平台转发，后者随后加入了将被拒绝的提示发送至竞争模型的回退机制。另一位位于未受支持地区的研究者花费数周策划禽流感哺乳动物适应实验，但 Anthropic 表示其分类器将交流限制在 Claude Sonnet 4 与 Haiku 4.5——其最弱模型。第三起案例中，一名转售中继服务为十余名不相关客户提供服务，全部使用 Opus 5 完成一次用户请求，约一小时内完成正痘病毒免疫逃逸资助申请的全程撰写。另有两起涉及毒液与毒素重新设计的项目，得到国家支持。Anthropic 表示，对 30 天内与对手国家机构相关的活动进行梳理，发现约 35 项独立研究，大多数为普通民用科学，但其中一些具有显著的双用途潜力。

欺诈与非法蒸馏

在诈骗与欺诈章节，GTG-15001 涉及一家位于中国的应用工作室，使用 Claude 运营超过 20 款约会应用，这些 AI 人格总计超过 4,700 个，在 2026 年 4 月的两周窗口内与至少 25,000 名独立用户进行对话，累计约 236 万条信息。该工作室将真实自由职业者以约 3:1 的比例混入同一匹配池，且指示这些人格永不透露其为自动化。

Anthropic 表示，自 2026 年 2 月起已阻止来自七家中国实验室的蒸馏攻击，全部针对其公开可用模型。GTG-16005 中，Anthropic 将最大规模的蒸馏行动归因于阿里巴巴：对 Opus 4.6 与 4.7 进行链式思考蒸馏，峰值接近每日 300 万次交互，涉及 3,500 多个欺诈账号，2026 年 5 月至 7 月期间共观察到超过 1.51 亿次交互，收集的转录内容用于训练 Qwen 3.5、3.6 与 3.7。GTG-16002 中，Moonshot AI 将客户请求悄然转发至 Claude 而非其 Kimi 模型，十天内通过 5,380 个欺诈账号转发近 30 万请求，并利用跨会话重放攻击 Claude 的思考签名以提取推理痕迹，2026 年 5 月至 7 月期间观察到超过 2300 万次交互。GTG-16001 中，DeepSeek 使用相同的重放技术，将用户请求转发至 Claude Opus，未告知用户，2026 年 7 月的 14 天内记录超过 1210 万次交互；Anthropic 报告称，转发流量泄露了包括俄罗斯政府数据库的实时凭证以及中国警务案例管理系统的敏感材料。

其余已命名的行动包括 Zhipu，在十天内通过链式思考清洗器完成 770,609 次交互，目标是 GLM 5.3 发布前的网络能力；以及 Xiaomi，通过 1,500 多个账号路由超过 400,000 次请求。Anthropic 还报告称，商汤的蒸馏管线包含从第三方数据供应商购买的 Claude 转录，MiniMax 则通过一家壳公司搭建代理网络，仅提供 Anthropic 与 OpenAI 模型。

Anthropic 描述了针对非法蒸馏的分层对策：基于元数据的代理服务网络归因、随 Fable 5 推出而强化的提取分类器、对内部推理的摘要以降低被盗转录用于训练的价值、保留在 Fable 5.1 中引入的思考机制，阻止新 API 账户修改系统提示、工具或在 Claude 多轮对话推理前的消息，以及对显示潜在滥用信号的账户实施身份验证要求，未通过验证的账户将被封禁。公司表示，随着对蒸馏攻击的调查与阻断所获得的经验，将继续用于完善其构建的防护措施。