Raport Anthropic Claude o zagrożeniach ujawnia paradoks dostępu w Chinach

Anthropic twierdzi, że aktorzy powiązani z Chinami wykorzystywali Claude’a w co najmniej pięciu programach wojskowych, inwigilacyjnych i szkolenia AI, zanim firma zablokowała ich konta. Raport Anthropic Claude o zagrożeniach opisuje oprogramowanie mające tłumić tajwańską obronę powietrzną, projekt systemu przeciwtropedowego oraz 151 milionów interakcji powiązanych z Alibaba.

Te zarzuty tworzą niezręczne odwrócenie sytuacji. Chińskie firmy promują coraz bardziej zaawansowane krajowe modele, podczas gdy niektórzy badacze i laboratoria komercyjne miały nadal sięgać po objęty ograniczeniami amerykański system. Działalność nie ograniczała się do zadawania pytań. Claude miał pomagać w pisaniu oprogramowania, przygotowywaniu dokumentów zakupowych, automatyzacji procesów wywiadowczych oraz tworzeniu materiałów szkoleniowych dla konkurencyjnych modeli.

Anthropic opublikował raport 10 września 2026 roku, obejmujący znaczące przypadki nadużyć wykryte między grudniem 2025 a sierpniem 2026 roku. Ustalenia są szczegółowe, lecz pozostają ustaleniami Anthropic. Firma kontroluje rejestry kont, systemy wykrywania i dowody stojące za większością przypisań. To czyni raport istotnym, ale nie oznacza, że każdy wniosek został niezależnie potwierdzony.

Co Anthropic twierdzi, że powstrzymał

Kluczowa zmiana polega na tym, że Claude miał przejść od odpowiadania na pytania wojskowe do pomocy w tworzeniu oprogramowania operacyjnego i materiałów zakupowych.

Najpoważniejszy przypadek dotyczył działającego w Chinach podmiotu, którego Anthropic ocenił jako badacza sektora obronnego i przemysłu wojskowego. Metadane konta oraz oznaczone treści wskazywały na powiązania z chińskimi instytucjami badawczymi, w tym z Akademią Nauk Wojskowych Chińskiej Armii Ludowo-Wyzwoleńczej.

Według wrześniowego raportu Anthropic o zagrożeniach podmiot ten wykorzystywał narzędzia Claude’a do czatu, programowania i agentów, aby stworzyć około 16 modułów oprogramowania. Zestaw wspierał walkę elektroniczną i tłumienie obrony powietrznej przeciwnika.

Walka elektroniczna wykorzystuje widmo elektromagnetyczne do wykrywania, zagłuszania lub zwodzenia systemów radarowych i łączności. Tłumienie obrony powietrznej przeciwnika obejmuje identyfikowanie i zakłócanie systemów, które mogłyby zagrozić atakującym samolotom.

Anthropic twierdzi, że Claude pomagał w tworzeniu logiki systemu, interfejsu, obliczeń radarowych, modeli zagłuszania, analiz podatności i chińskojęzycznych instrukcji wskazywania celów. Podmiot miał opracować 12 wersji zamiast jednego eksperymentalnego szkicu.

Zestaw analizował stanowiska radarowe, baterie rakiet ziemia–powietrze, stanowiska dowodzenia i węzły łączności. Obliczał zasięg wykrywania, szacował skuteczność zagłuszania, klasyfikował cele i przydzielał loty zakłócające w symulowanych wielodniowych kampaniach.

Anthropic twierdzi, że podmiot zmienił domyślną symulację w połowie prac. Nowy scenariusz obejmował 12 celów na Tajwanie, w tym radar wczesnego ostrzegania, obiekty dowodzenia, główne bazy lotnicze oraz baterie Patriot i Tien Kung.

Oprogramowanie modelowało również obszary rażenia związane z systemami klasy Patriot i THAAD. Anthropic zastrzegł jednak, że częstotliwość odniesień w odzyskanych rozmowach wskazywała na zainteresowania podmiotu, a nie na zweryfikowaną zdolność operacyjną.

To rozróżnienie ma znaczenie. Model może generować przekonujący kod lub analizy, które nadal są niewiarygodne, niekompletne albo nieprzydatne do wdrożenia. Anthropic nie informował, by oprogramowanie weszło do służby wojskowej, kontrolowało rzeczywistą broń lub przeszło niezależne testy operacyjne.

Podmiot uruchomił też samodzielnie hostowany model w sieci wewnętrznej i połączył z nim oprogramowanie przez interfejs narzędziowy. Sugeruje to próbę zachowania procesu pracy poza bezpośrednim dostępem do Claude’a.

Drugi przypadek z Chin koncentrował się na wojnie podwodnej. Anthropic twierdzi, że jeden z podmiotów wykorzystał Claude’a do przygotowania chińskojęzycznej specyfikacji systemu kierowania ogniem przeciw torpedom. Kierowanie ogniem to logika określająca, gdzie i kiedy broń obronna powinna zwalczać nadchodzące zagrożenie.

Ten sam podmiot miał przygotować propozycję techniczną przekraczającą 200 stron oraz towarzyszącą prezentację dla kadry kierowniczej. Porównał też proponowany system z publicznie opisanymi programami US Navy dotyczącymi obrony przeciwtorpedowej i zwalczania okrętów podwodnych.

Anthropic ocenił, że podmiot był powiązany z chińskim producentem z sektora obronnego, który chciał przygotować specyfikację i propozycję zakupu dla Marynarki Wojennej Chińskiej Armii Ludowo-Wyzwoleńczej. Firma nie mogła przypisać tej działalności konkretnej osobie ani organizacji.

Claude miał pełnić rolę zarówno autora, jak i krytyka. Po każdym szkicu propozycji podmiot polecał modelowi przyjąć rolę wrogiego recenzenta technicznego. Powstała krytyka wpływała na kolejne poprawki.

Firma twierdzi, że Claude pomagał również w budowie części oprogramowania kierowania ogniem i macierzy testowej. Anthropic zablokował konto za naruszenie zasad regionalnych i dotyczących broni, a następnie wykorzystał wnioski z dochodzenia do wdrożenia dodatkowych zabezpieczeń.

Żaden z przypadków wojskowych nie dowodzi, że Claude samodzielnie zaprojektował działającą broń. Łącznie pokazują jednak, dlaczego ogólne narzędzia do programowania i tworzenia dokumentów stają się wrażliwe, gdy użytkownicy łączą je ze specjalistyczną wiedzą domenową.

Dlaczego raport Anthropic Claude o zagrożeniach ma znaczenie

Dowody Anthropic sugerują, że zaawansowana AI może skrócić pracę towarzyszącą projektom wojskowym, nawet jeśli nie wynajduje nowej broni.

Rozwój broni wymaga czegoś więcej niż przełomowej wiedzy naukowej. Zespoły muszą pisać specyfikacje, recenzować propozycje, modelować scenariusze, dokumentować wymogi zgodności, testować oprogramowanie, przygotowywać prezentacje i organizować zakupy.

Te zadania pomocnicze pochłaniają czas ekspertów. Model, który je przyspiesza, może zwiększyć wydajność małego zespołu, nie wnosząc pojedynczego przełomu.

Oddzielne testy zdolności związanych z bronią przeprowadzone przez Anthropic doprowadziły do podobnego wniosku. Badacze firmy stwierdzili, że zaawansowane modele potrafiły wykonywać niektóre symulowane zadania wywiadowcze i zbrojeniowe, historycznie zarezerwowane dla nielicznych specjalistów.

Oceny obejmowały taktyczne wskazywanie celów i rozwój broni konwencjonalnej. Anthropic odnotował stały postęp modeli, choć nie zrównał wyników testów porównawczych z niezawodną zdolnością działania w terenie.

Luka między pomocą a autonomią jest kluczowa. Raport nie opisuje Claude’a jako systemu, który zdecydował o atakowaniu Tajwanu lub samodzielnie szukał klienta wojskowego. Ludzie wybierali cele, dostarczali kontekst, prosili o poprawki i próbowali integrować wyniki.

Rola modelu nadal była znacząca. Miał przekształcać rozproszone instrukcje w kod, symulacje, sformatowane propozycje i powtarzalne procesy pracy. To właśnie takie artefakty przesuwają projekt od pomysłu ku ocenie.

Zmienia to pytanie o bezpieczeństwo, przed którym stoją dostawcy AI. System odmów skupiony na wyraźnych prośbach o budowę broni może nie wykryć projektów podzielonych na pozornie zwyczajne zadania.

Jedna rozmowa może dotyczyć zasięgu radarowego. Inna może prosić o kod interfejsu. Trzecia może dotyczyć prezentacji zakupowej lub krytycznej oceny dokumentu inżynieryjnego.

Rozpatrywane osobno, takie prośby mogą przypominać legalne badania, tworzenie oprogramowania lub pisanie techniczne. Ich szkodliwy cel staje się wyraźniejszy dopiero wtedy, gdy dostawca połączy aktywność między sesjami, kontami, plikami i infrastrukturą.

To sprawia, że monitorowanie staje się wymogiem architektonicznym, a nie końcowym filtrem nakładanym na odpowiedzi modelu. Dostawcy potrzebują systemów zdolnych rozpoznawać utrwalone zachowania projektowe bez traktowania każdego użytkownika technicznego jako podejrzanego.

Anthropic twierdzi, że wykrył działalność wojskową podczas wewnętrznych dochodzeń w sprawie podejrzeń o rozwój broni. Firma zablokowała powiązane konta i zaktualizowała zabezpieczenia. Nie opublikowała jednak źródłowych transkrypcji ani wystarczających dowodów na poziomie kont, aby zewnętrzni badacze mogli odtworzyć jej przypisania.

Raport wywiera zatem presję na dwie grupy jednocześnie. Laboratoria pracujące nad zaawansowanymi modelami muszą wykazać, że ich kontrole działają w długich, rozproszonych procesach pracy. Rządy muszą zdecydować, czy dobrowolne egzekwowanie zasad przez dostawców wystarcza wobec zagrożeń dla bezpieczeństwa narodowego.

Przypadki komplikują też założenia dotyczące kontroli eksportu. Ograniczenia mogą utrudniać oficjalny dostęp do zaawansowanych amerykańskich modeli, lecz zdeterminowani użytkownicy mogą korzystać z fałszywych kont, pośredników, usług przekierowujących lub nieujawnionych integracji zewnętrznych.

Polityka dostępu nadal tworzy przeszkody. Nie gwarantuje izolacji.

Gdy proces pracy zostanie zapakowany w lokalne oprogramowanie, pierwotny dostawca traci dalszą kontrolę. Anthropic może zamknąć konta, ale nie może zdalnie usunąć kodu, dokumentów ani zbiorów danych już przeniesionych do zewnętrznego środowiska.

Siła krajowej AI w Chinach spotyka zależność od zagranicznych modeli

Najostrzejsze odwrócenie sytuacji w raporcie polega na tym, że organizacje budujące lub obsługujące chińskie systemy AI miały polegać na Claude’ie w zakresie zdolności, które chciały odtworzyć.

Chiny mają duży krajowy sektor AI, na którego czele stoją firmy takie jak Alibaba, DeepSeek, Moonshot AI, Zhipu AI i Xiaomi. Ich modele konkurują w programowaniu, rozumowaniu, asystentach konsumenckich i wdrożeniach korporacyjnych.

Anthropic twierdzi jednak, że pięć chińskich firm technologicznych prowadziło nieautoryzowane kampanie destylacji wymierzone w Claude’a. Destylacja modeli to proces szkoleniowy, w którym wyniki jednego modelu pomagają uczyć inny system.

Sama destylacja jest standardową techniką uczenia maszynowego. Kontrowersje dotyczą sposobu pozyskania wyników, tego, czy omijano ograniczenia dotyczące kont oraz czy użytkownicy wiedzieli, że ich zapytania są wysyłane gdzie indziej.

Według raportu konta powiązane z Alibaba wygenerowały ponad 151 milionów interakcji z Claude’em od maja do lipca 2026 roku. Aktywność miała zbliżać się do 3 milionów interakcji dziennie i obejmować ponad 3 500 kont, które Anthropic uznał za fałszywe.

Anthropic określił tę operację jako największą kampanię destylacji, jaką zmierzył. Firma twierdzi, że interakcje dotyczyły zdolności obejmujących programowanie, rozumowanie agentowe i logikę wykorzystywaną w pracach związanych z modelami Qwen firmy Alibaba.

Zarzut nie został niezależnie zweryfikowany na podstawie wewnętrznych rejestrów Alibaba. Publiczne doniesienia o ustaleniach dotyczących destylacji również opierają się przede wszystkim na przypisaniach i pomiarach Anthropic.

Anthropic powiązał ponad 23 miliony interakcji z Moonshot AI od maja do lipca. W ciągu jednego 10-dniowego okresu Moonshot miał przekazać niemal 300 000 zapytań klientów przez 5 380 fałszywych kont.

Raport twierdzi, że Moonshot czasami prezentował odpowiedzi wygenerowane przez Claude’a jako odpowiedzi Kimi, nie informując o tym użytkowników. Anthropic połączył też z DeepSeek ponad 12 milionów interakcji w ciągu dwóch tygodni lipca.

Zhipu miał wygenerować ponad 3,4 miliona interakcji w ciągu 17 dni w czerwcu i lipcu. Kampania Xiaomi była mniejsza — około 400 000 interakcji — lecz miała odtwarzać rozmowy i sesje programowania użytkowników MiMo.

Te oskarżenia wykraczają poza konkurencję między testami porównawczymi modeli. Jeśli usługa potajemnie przekierowuje prompty do innego dostawcy, klienci tracą kontrolę nad tym, dokąd trafiają ich informacje.

Anthropic twierdzi, że jedno zapytanie przekierowane przez Moonshot pochodziło od użytkownika, którego firma oceniła jako powiązanego z PLA. Dotyczyło ono analizy nagrań z monitoringu z setek kamer w Chengdu.

Inne żądanie, rzekomo przekierowane przez DeepSeek, ujawniło aktywne dane uwierzytelniające do rosyjskiej rządowej bazy danych. Przykłady te wskazują na ryzyko inne niż kopiowanie modeli: wrażliwe informacje klientów przekraczają granice organizacyjne i państwowe bez świadomej zgody.

Główne napięcie konkurencyjne nie sprowadza się wyłącznie do amerykańskich modeli kontra chińskie modele. Chodzi o ograniczony dostęp w zestawieniu z utrzymującym się zapotrzebowaniem na możliwości, które użytkownicy postrzegają jako trudne do zastąpienia.

Oceny Anthropic wykazały, że testowane chińskie modele open-weight pozostawały w tyle za jego systemami frontierowymi w niektórych symulowanych zadaniach z zakresu wywiadu i broni. Według firmy modele te nadal wykazywały niepokojące możliwości.

Tworzy to niestabilny okres przejściowy. Systemy krajowe mogą wykonywać coraz bardziej wartościową pracę, podczas gdy dostęp do silniejszego zagranicznego modelu może przyspieszać rozwój lub wypełniać luki w możliwościach.

Destylacja może zmniejszać te różnice. Może również przenosić użyteczne zachowania do systemów, których Anthropic nie może monitorować, ograniczać ani dezaktywować.

Rezultat przypomina jednokierunkowy problem bezpieczeństwa. Dostawcy muszą udostępniać wystarczające możliwości, aby obsługiwać legalnych klientów, lecz każda udana interakcja może stać się przykładem dla innego modelu.

Raport ujawnia kompromis w zakresie bezpieczeństwa, a nie jednoznaczne zwycięstwo

Anthropic wykrył poważne nadużycia, ale wykrycie ich po wykonaniu rozległej pracy świadczy zarówno o widoczności obronnej, jak i niepełnym zapobieganiu.

Firmie należy się uznanie za opublikowanie wyjątkowo konkretnych studiów przypadków. Opisała przepływy pracy, wzorce kont, poziomy pewności, role modeli i kroki łagodzące, zamiast ograniczać się do ogólnych ostrzeżeń.

Anthropic twierdzi, że zablokował wszystkie konta powiązane z ujawnionymi operacjami inwigilacyjnymi. Wdrożył również nowe klasyfikatory, wzmocnił monitoring i uwzględnił ustalenia dochodzenia w późniejszych zabezpieczeniach.

Mimo to zgłoszona skala ogranicza możliwość ogłoszenia zwycięstwa. Dwunastowersyjny pakiet do wskazywania celów i 200-stronicowa propozycja wojskowa wymagały długotrwałej interakcji. Kampania destylacyjna obejmująca 151 mln wymian stanowi działalność przemysłową, a nie krótkotrwałe naruszenie zasad.

Moment wykrycia nie jest wystarczająco jasny, by ustalić, jakiej części pracy zapobiegły zabezpieczenia. Anthropic opisuje zakłócanie działania kont, lecz nie określa, ile wyników zablokowano, ile ukończono ani jaka część powstałych danych pozostała użyteczna.

Jego atrybucja również zasługuje na analizę. Anthropic wykorzystuje metadane kont, treść promptów, współdzieloną infrastrukturę, godziny pracy, ustawienia językowe i wzorce zachowań, aby łączyć operacje z konkretnymi podmiotami.

Takie sygnały mogą wspierać mocną ocenę, nie stanowiąc jednak publicznego dowodu. Fałszywe konta, proxy, współdzielone usługi routingu i celowe podszywanie się mogą komplikować ustalenia dotyczące tożsamości.

W przypadku projektu skoncentrowanego na Tajwanie Anthropic ocenił, że operator był powiązany z chińskimi instytucjami badawczymi, w tym z Akademią Nauk Wojskowych PLA. Nie wskazał konkretnej osoby, jednostki badawczej, wykonawcy ani wdrożonego programu wojskowego.

W przypadku systemu przeciwtorpedowego firma wyraźnie stwierdziła, że nie mogła przypisać aktywności konkretnemu podmiotowi ani aktorowi. Jej wniosek, że użytkownik był powiązany z chińskim producentem dla sektora obronnego, pozostaje oceną.

Czytelnicy powinni również odróżniać wygenerowany wynik od zweryfikowanej zdolności. Modele językowe mogą tworzyć spójny tekst inżynierski, który ukrywa błędne założenia. Oprogramowanie działające w symulacji wspomaganej przez model może zawieść w warunkach rzeczywistego szumu czujników, niepełnych danych, działań przeciwnika lub ograniczeń sprzętowych.

Własna prezentacja Anthropic uznaje to ograniczenie. Opisuje, czego użytkownicy próbowali dokonać, materiały odzyskane z rozmów oraz pomoc zapewnioną przez Claude. Nie twierdzi, że każdy projekt zakończył się sukcesem.

Niezależne doniesienia oferują kolejną użyteczną weryfikację. Relacje dotyczące szerszego ujawnienia wskazują, że przypadki wybrano, ponieważ były znaczące i nowe, a nie dlatego, że reprezentowały typowe użycie Claude.

Firma powiedziała Associated Press, że publikuje takie przypadki, ponieważ ryzyko związane z modelami będzie rosło wraz z poprawą ich możliwości. To stwierdzenie promuje również preferowane przez Anthropic stanowisko polityczne: dostawcy frontierowi potrzebują silniejszych zabezpieczeń i szerszej współpracy.

Anthropic ma w tej debacie interesy komercyjne i regulacyjne. Szczegółowe raportowanie zagrożeń może demonstrować odpowiedzialne zarządzanie, jednocześnie wspierając ograniczenia, które mniejszym konkurentom lub twórcom otwartych modeli trudniej wdrożyć.

Nie podważa to przedstawionych dowodów. Oznacza to, że decydenci powinni szukać potwierdzenia, ujednoliconych zasad ujawniania informacji i porównywalnego raportowania ze strony innych dostawców.

Istnieje także kompromis dotyczący prywatności. Wykrywanie projektu złożonego z wielu rozmów wymaga od dostawców analizowania wzorców wykraczających poza pojedynczy prompt.

Zespoły bezpieczeństwa potrzebują wystarczającej widoczności, aby odróżniać zwykłą pracę inżynierską od skoordynowanego procesu tworzenia broni. Użytkownicy z kolei potrzebują jasnych granic regulujących retencję danych, automatyczną analizę, dostęp ludzi oraz atrybucję.

Ta sama telemetria, która ujawnia wojskowe nadużycia, może odsłaniać wrażliwe, legalne badania lub aktywność klientów. Monitorowanie bezpieczeństwa musi zatem podlegać niezależnemu nadzorowi, zamiast działać jako nieograniczony wyjątek od oczekiwań dotyczących prywatności.

Blokady kont prowadzą do kolejnego niepewnego skutku. Szef wywiadu zagrożeń Anthropic, Jacob Klein, powiedział Axios, że aktorzy czasami przechodzą na otwarte modele, gdy egzekwowanie zasad tworzy zbyt wiele przeszkód.

Zgłoszone przypadki inwigilacji ilustrują ten problem. Operacja powiązana z rządem może użyć Claude do stworzenia przepływu pracy, a następnie wdrożyć go lokalnie z innym modelem.

Egzekwowanie zasad przez dostawców pozostaje konieczne, ponieważ podnosi koszty, przerywa dostęp i generuje informacje wywiadowcze o nadużyciach. Nie może jednak wyeliminować możliwości, które już rozprzestrzeniły się za pośrednictwem modeli do pobrania, skopiowanych danych lub wyeksportowanego oprogramowania.

Destylacja przekształca dostęp do modeli w ryzyko dla łańcucha dostaw

Rzekome kampanie destylacyjne łączą bezpieczeństwo modeli, prywatność klientów i bezpieczeństwo narodowe za pośrednictwem tej samej ukrytej infrastruktury routingu.

Zwykły klient oczekuje, że wskazana usługa AI przetworzy żądanie zgodnie z zasadami tej usługi. Nieujawnione przekierowanie łamie to oczekiwanie, dodając dostawców, pośredników i systemy przechowywania, których klient nie wybrał.

Ryzyko staje się poważniejsze, gdy prompty zawierają kod źródłowy, nagrania z monitoringu, dane uwierzytelniające, pliki firmowe lub informacje rządowe. Każdy etap przekierowania zwiększa liczbę systemów, które mogą zachować lub analizować ten materiał.

Anthropic twierdzi, że niektóre chińskie laboratoria wykorzystywały fałszywe konta i usługi routingu stron trzecich, aby uzyskać dostęp do Claude. Mechanizmy te mogą ukrywać organizację stojącą ostatecznie za ruchem i rozdzielać aktywność między wiele tożsamości.

Tworzy to łańcuch dostaw modeli, który jest trudny do zbadania przez nabywców. Interfejs może nosić jedną markę, podczas gdy odpowiedź pochodzi częściowo lub w całości z modelu innej firmy.

Przedsiębiorstwa już oceniają, gdzie przechowywane są ich dane i czy dostawcy wykorzystują je do szkolenia. Teraz muszą pytać, czy dostawca AI potajemnie wysyła prompty do systemów zewnętrznych lub wykorzystuje interakcje klientów do konkurencyjnego rozwoju modeli.

Same zapewnienia umowne są słabe, jeśli techniczne przekierowanie pozostaje nieprzejrzyste. Nabywcy potrzebują audytowalnego pochodzenia modelu, które rejestruje, jaki system przetworzył żądanie i którzy podwykonawcy otrzymali jego treść.

Deweloperzy stają przed powiązanym problemem przy stosowaniu routerów modeli i frameworków agentowych. Router może wybierać dostawców na podstawie kosztu, dostępności lub wydajności. Ta wygoda może zacierać różnice w ograniczeniach regionalnych i sposobach postępowania z danymi.

Systemy agentowe zwiększają ekspozycję, ponieważ łączą prompty z plikami, danymi uwierzytelniającymi, narzędziami i trwałym kontekstem projektu. Jedno nieujawnione wywołanie modelu może przekazać znacznie więcej niż widoczne pytanie użytkownika.

Zespoły powinny zachowywać własne dzienniki żądań, identyfikatory dostawców i zasady routingu podczas obsługi wrażliwych materiałów. Przeszukiwalna baza wiedzy inżynierskiej może pomóc recenzentom śledzić wymagania i decyzje bez kopiowania każdego wewnętrznego dokumentu do zewnętrznego modelu.

Wymiar bezpieczeństwa narodowego wynika z tej samej architektury. Jeśli objęta ograniczeniami organizacja może dotrzeć do modelu frontierowego za pośrednictwem tysięcy kont obsługiwanych przez pośredników, dostawca musi wykrywać skoordynowane zachowania, zamiast polegać na tożsamości rozliczeniowej.

Wymaga to współdzielonych wskaźników między firmami AI, dostawcami infrastruktury i odpowiednimi władzami. Wymiana informacji musi jednak odróżniać techniczne sygnały nadużyć od niezweryfikowanej atrybucji politycznej.

Usługa routingu obsługująca oszukańczy ruch może świadomie ułatwiać dostęp albo nie mieć wglądu w działalność swoich klientów. Podobnie podobne wzorce promptów mogą odzwierciedlać kopiowanie, benchmarking, rutynowy rozwój lub wspólny produkt końcowy.

Raport Anthropic przedstawia kampanie jako nielegalną destylację ze względu na ich skalę, metody omijania zabezpieczeń i pozorny cel szkoleniowy. Zewnętrzni śledczy nadal potrzebują więcej dowodów dotyczących kierownictwa organizacyjnego, retencji danych oraz sposobu, w jaki wyniki trafiały do konkretnych potoków modeli.

Odpowiedź polityczna powinna koncentrować się na możliwym do zweryfikowania postępowaniu. Przydatne środki kontroli obejmują uwierzytelniony dostęp organizacyjny, analizę wzorców tempa żądań, rejestry pochodzenia, ujawnianie podprocesorów oraz egzekwowalne ograniczenia wobec zwodniczego routingu.

Szerokie ograniczenia oparte wyłącznie na narodowości grożą objęciem badaczy i deweloperów, którzy nie mają związku ze zgłoszonymi kampaniami. Mogą również zepchnąć więcej aktywności na nieprzejrzyste rynki proxy.

Prawdziwa rywalizacja nie toczy się więc wyłącznie między modelami zamkniętymi i otwartymi. Toczy się między dostępem możliwym do prześledzenia a ponownym wykorzystaniem niemożliwym do prześledzenia.

Zamknięci dostawcy mają wgląd w konta i mogą zakończyć dostęp użytkowników, lecz stanowią atrakcyjne scentralizowane cele dla tajnego dostępu. Otwarte modele zmniejszają zależność od zdalnych usług, ale ich operatorzy nie mogą wycofać możliwości ani obserwować wdrożeń w dalszej części łańcucha.

Żadna z tych struktur nie eliminuje kompromisu. Raport Anthropic dotyczący zagrożeń związanych z Claude pokazuje, jak aktorzy mogą łączyć oba podejścia, wykorzystując monitorowaną usługę frontierową do tworzenia danych, kodu lub przepływów pracy, które później migrują do mniej widocznych systemów.

Na co zwracać uwagę po ujawnieniach Anthropic

Kolejnym sprawdzianem będzie to, czy ustalenia Anthropic przyniosą mierzalne zmiany w dostępie, atrybucji i obronie między dostawcami.

Pierwszym sygnałem jest potwierdzenie. Alibaba, Moonshot AI, DeepSeek, Zhipu AI, Xiaomi oraz chińskie instytucje wskazane przez Anthropic powinny przedstawić konkretne odpowiedzi dotyczące routingu, własności kont i praktyk związanych z danymi szkoleniowymi.

Ogólne zaprzeczenie pozostawiłoby pytania techniczne bez odpowiedzi. Użyteczne dowody obejmowałyby dzienniki dostępu, zasady routingu, dokumentację dostawców, mechanizmy kontroli retencji danych i niezależne audyty.

Potwierdzenie wzmocniłoby centralne twierdzenie raportu, że zależność od modeli frontierowych utrzymuje się mimo rozwoju krajowej AI w Chinach. Wiarygodne dowody przeciwne osłabiłyby atrybucje Anthropic, nie eliminując jednak szerszego problemu dostępu.

Drugim sygnałem będzie to, czy Anthropic i jego konkurenci opublikują porównywalne wskaźniki egzekwowania zasad. Same blokady kont niewiele mówią o zapobieganiu.

Dostawcy powinni ujawniać, jak szybko wykrywano kampanie, jaki odsetek żądań zablokowano oraz czy atakującym udało się skutecznie migrować między kontami. Powinni również wyjaśnić, jak nowe klasyfikatory radzą sobie z legalnymi badaniami powiązanymi z wojskiem.

Spójne raportowanie ze strony OpenAI, Google, Microsoft i innych operatorów modeli pokazałoby, czy Anthropic udokumentował wspólny wzorzec w branży, czy też aktywność wyjątkowo skoncentrowaną na Claude.

Trzecim sygnałem są działania regulacyjne dotyczące routingu modeli i pochodzenia danych. Organy nadzoru mogłyby wymagać od usług AI ujawniania, kiedy prompty klientów są przetwarzane przez innego dostawcę lub przechowywane na potrzeby trenowania modeli.

Takie zasady ograniczałyby komercyjne ryzyka dla prywatności bez opierania się na najbardziej spornych przypisaniach wojskowych. Dałyby również nabywcom korporacyjnym jaśniejszą podstawę do oceny dostawców AI.

Silniejsze wymogi dotyczące pochodzenia danych wsparłyby ostrzeżenie Anthropic, że ukryty routing stanowi problem bezpieczeństwa. Wąska odpowiedź ograniczona do geopolitycznych zakazów dostępu sugerowałaby, że decydenci zajmują się tożsamością, jednocześnie pomijając infrastrukturę.

Przypadki wojskowe zasługują na uważną analizę, ale nie na sensacyjność. Anthropic nie zgłosił autonomicznej broni kontrolowanej przez Claude ani potwierdzonego operacyjnego systemu wskazywania celów. Firma opisała długotrwałe, kierowane przez ludzi wykorzystanie AI w oprogramowaniu, analizie, testowaniu, dokumentacji i zamówieniach.

To już jest znaczące. Współczesne instytucje zależą od tych pracochłonnych warstw, a AI może je skompresować, zanim dotrze do czegokolwiek przypominającego autonomiczną wojnę.

Deweloperzy i nabywcy korporacyjni powinni zareagować, analizując własne łańcuchy dostaw modeli. Powinni zapytać, które modele przetwarzają wrażliwe zadania, jakie dane opuszczają organizację oraz czy wygenerowane artefakty pozostają możliwe do audytu po eksporcie.

Najważniejsze pytanie nie brzmi, czy jeden dostawca może zablokować jedną grupę kont. Chodzi o to, czy branża potrafi zachować użyteczny dostęp, jednocześnie wykrywając skoordynowane nadużycia, zanim powstałe oprogramowanie, dokumenty i dane treningowe wymkną się spod jej kontroli.