Anthropic AI 滥用案例暴露出生物安全防护的局限

Anthropic 在发现引发武器相关担忧的活动后，封禁了与五起生物研究案例有关的账户，尽管这些研究在表面上往往具有科学合理性。这份关于 Anthropic AI 滥用的披露，将一场理论性的安全争论转变为账户层面的执法难题。

该公司并未声称 Claude 曾协助任何人制造生物武器。它也表示，无法确定这些科学家是否意图造成伤害。相反，其报告描述了研究人员在开展双用途工作时，试图隐瞒所在地、身份或研究细节的情形。

这一区别至关重要。Anthropic 发现，当综合考量提示词、机构关联、访问方式和研究模式时，相关活动显得令人担忧；但单个请求有时看起来又与常规疫苗、疗法或疾病研究无异。

这带来的冲突，比简单区分安全与不安全 AI 更为尖锐。前沿模型可以支持有价值的科学研究，但同样的协助也可能推动危险研究。封锁所有含糊不清的请求，会给正当科研人员带来实际代价。

Anthropic 的应对措施也给 OpenAI、Google、Meta、模型转售商、云服务提供商和政府带来压力。当用户能够将被拒绝的请求转向另一款模型时，单一提供商的防护措施只能提供有限保护。

Anthropic AI 滥用调查发现五起生物研究案例

核心变化在于，Anthropic 表示它在真实用户中观察到了可能的生物滥用，而不仅是在受控安全评估期间。

Anthropic 于 2026 年 9 月 10 日发布调查结果。这份披露是该公司自 2025 年 3 月以来发布的第三份公开威胁情报报告的一部分。

报告涵盖了 2025 年 12 月至 2026 年 8 月期间侦测到的恶意及违反政策活动。更广泛的案例包括网络犯罪、监控、宣传、常规武器研究，以及复制模型能力的尝试。

生物部分描述了五项调查，涉及与病毒、免疫逃逸、哺乳动物适应、毒液肽和重新设计的毒素有关的研究。

Anthropic 未披露研究人员的姓名、国家、机构及若干技术细节。该公司表示，披露这些信息可能使在职科学家面临伤害，尤其是因为他们的意图仍不明确。

这种不确定性是理解报告的关键。该公司没有指出已完成的武器、部署计划，或经确认的引发疫情尝试。

其更有限的主张仍然具有重要意义。Anthropic 表示，相关行为者利用 Claude 开展了可能支持生物武器开发的工作，并反复试图隐瞒重要背景。

最详细的案例始于 2026 年 5 月。当时，一项生物安全分类器拦截了协助撰写一份涉及基孔肯雅病毒的科研经费申请的请求。

拟议研究涉及功能获得性研究，即旨在赋予生物体新的或增强的生物学特性的实验。该项目聚焦于传播和免疫逃逸。

此类研究可以支持疫苗和治疗手段，也可能让病原体更具危害性，因此仅凭科学语言很难判断意图。

Anthropic 之所以更加担忧，是因为拟议实验与一家军事研究机构有关联。根据申请材料中的信息，研究人员看似为平民。

这些用户还位于 Anthropic 未提供 Claude 服务的地区。一个平台据称通过美国基础设施隧道路由流量，以规避这些地域限制。

根据 Anthropic 的滥用调查，该平台使用中介、合成账户和零数据保留服务。该服务限制了后续调查可获取的记录。

Anthropic 表示，它封禁了相关账户、协助关闭中继基础设施，并通知了其他 AI 公司和政府部门。不过，该运营方在数日内便利用新账户恢复了访问。

该服务还开始将被拒绝的生物相关提示词发送给一款控制措施更宽松的竞争模型。据称，Claude 曾在任务被描述为减少过度拒绝后，协助编写路由代码。

这一过程使该案例的影响超出了一条孤立的违规提示词。执法行动中断了访问，但并未消除更广泛的模型“货比三家”体系。

第二项调查涉及一名美国境外用户开展的禽流感研究。相关工作考察了其对哺乳动物的适应能力，以及呼吸系统以外的严重疾病表现。

Anthropic 表示，其防护措施将该研究人员限制在能力较弱的模型中。这项限制减少了访问权限，却未能解决该项目究竟服务于公共卫生还是有害计划的问题。

第三起案例涉及一个为 12 名以上互不相关客户提供服务的中继。Anthropic 表示，该中继在数日内与 Claude 交换了数万条消息。

其中一名客户使用 Opus 5 约一小时，以起草一份涉及正痘病毒免疫逃逸的经费申请。据称，Claude 协助完成了假设、实验设计、统计分析和应急规划。

模型并未拦截该会话。Anthropic 表示，该项目被表述为围绕减毒展开，而这通常意味着降低生物制剂的有害特性。

最后几起案例涉及源自毒液的化合物和重新设计的毒素。两个项目都采用治疗性表述，但 Anthropic 发现了暗示国家支持研究和刻意隐瞒的背景信号。

这五起案例共同将 Anthropic 关于生物安全的论点，从实验室测试推向了观察到的实际行为。它们并未证明有人正在制造生物武器。

原始报道谨慎地呈现了这一区别：Anthropic 拦截的是可能支持武器开发的研究，而非阻止一个已获证实的武器计划。

防护措施发挥了作用，但只是在部分情况下

Anthropic 的证据表明，安全过滤器可以中断看似危险的请求，但意志坚定的用户仍能利用模糊空间和竞争服务。

该公司采用了多层防御措施，包括内容分类器、账户调查、区域访问控制、模型能力限制，以及与外部合作伙伴的协作。

分类器是一种自动化系统，用于评估请求是否违反政策或存在安全风险。它可以阻止、重定向活动，或将其标记为需要人工审查。

在基孔肯雅案例中，据称分类器拒绝了经费申请撰写请求。这次初步拦截让 Anthropic 的调查人员有理由审查相关账户和基础设施。

随后调查揭示了仅靠提示词无法显示的信息。相关信号包括军事关联、位置隐瞒、灰色市场访问，以及将被拒绝请求转向其他服务的尝试。

这是支持 Anthropic 方法的最有力论据。将内容审核与账户历史、机构背景和网络行为相结合后，其效用会更高。

然而，同一案例也暴露出多项弱点。该平台重新获得了访问权限，其客户继续通过中介访问 Claude，其他模型则接受了 Claude 拒绝的请求。

毒素调查揭示了另一类问题。Anthropic 表示，这些项目在很大程度上未受到其生物分类器的干预。

这一结果部分是有意为之。该分类器重点防止新手获得可能借助已知生物武器造成灾难性伤害的指令。

这些案例中的研究人员并非提出明显问题的新手，而是在从事兼具治疗和危害用途的新型化合物研究的专业人士。

如果过滤器拒绝所有关于毒素、病原体或基因改造的讨论，Claude 对科学家的实用性将大幅降低，也会在正当研究中产生大量误报。

因此，Anthropic 面临两种截然不同的风险。过于宽松的系统可能协助有害研究，而过于严厉的系统则可能阻碍医学、公共卫生和基础科学。

据称，该公司最新模型对更广泛的双用途生物问题采取了更严格的限制。这些控制措施反映了 Anthropic 对模型能力不断变化的评估。

Anthropic 此前曾认为 Claude Opus 4 和 Claude Sonnet 4.5 明显低于危险生物协助门槛。其当前报告撤回了对更新系统的这一保证。

该公司并未表示当今模型已经跨越某个精确测量的门槛。相反，它表示，现有证据已不足以支持此前的信心。

这是一次重要转变。随着科学推理能力增强，不确定性也在上升，因此安全措施正在变得更加严格。

Anthropic 还表示，这些生物案例通常并不涉及其最新、能力最强的系统。非法模型提取行动是报告中提到的主要例外。

这使事件变得更加复杂。观察到的滥用并不能证明最新模型带来了决定性的生物能力提升。

相反，报告显示，旧有和当前服务正在融入更广泛的研究工作流。它们的价值体现在起草、综合、规划、分析和软件支持上。

因此，这些 Anthropic AI 滥用案例首先揭示的是运营层面的问题，而非证明了灾难性能力。用户可以将工作分散到多个模型、账户和服务提供商之间。

一处的拒绝可能变成路由指令。被终止的账户可以变成新身份。受限地区可以变成经由美国基础设施传递的流量。

这些行为与既有网络安全模式相似。防御系统必须评估持续性行动，而不能只审查单个请求。

Anthropic 在军事和情报应用方面也得出了类似结论。其另一项武器评估发现，模型能够完成过去仅由稀缺专家承担的任务。

由此形成的安全模式依赖持续观察。然而，更多观察也带来了隐私、访问和治理方面的问题。

双用途生物学让意图成为最难判断的信号

争议不在于生物研究是否可能具有危险性，而在于 AI 提供商能否可靠地区分有益科学与有害准备。

双用途研究会产生同时具有有益和有害应用的知识或技术。生物学中有许多这样的例子，因为相同机制会影响疗法、疫苗、毒素和武器。

一名研究病毒如何逃避免疫系统的科学家，可能是在改善疫情检测。另一名行为者则可能利用类似发现增强病原体的有害作用。

相关术语可能几乎完全相同。设备、数据集、实验方法和文献也可能重叠。

Anthropic 表示，复杂行为者能够利用这种模糊性来维持合理否认空间。研究人员甚至可能并不完全了解某个国家计划的最终目标。

这一说法有其历史依据。大型国家项目曾将敏感工作分配给不同专业人员，而他们并不总是知道自己的贡献将被如何使用。

然而，历史先例并不能证明 Anthropic 五起案例背后的意图。该公司明确避免作出这种指控。

其执法决定依赖于综合风险信号，包括不受支持的地点、军事关联、隐藏身份、术语混淆，以及试图规避安全措施的行为。

即使放在更广泛的背景下，这些信号也可能导致误判。受限国家的研究人员使用中继服务，可能只是为了获得更好的科研工具，而非制造武器。

军事机构也可能开展防御性研究。毒素优化可能催生疼痛治疗方案，病毒适应性研究则可能改善监测与准备工作。

因此，被拦截的活动不应被描述为五起被挫败的生物武器阴谋。Anthropic 的证据支持对其进行担忧、调查和限制，但不足以得出这一结论。

一些科学家已经反映，AI 安全过滤机制会干扰常规实验室问题。研究人员告诉 The Atlantic，Claude 和 ChatGPT 曾阻止涉及病毒遗传学与病原体灭活的讨论。

这项科学批评表明了广泛限制的代价。一个系统可以降低一种风险，却同时削弱对有价值研究的支持。

OpenAI 告诉该刊物，其模型会限制可能助长伤害的生物学信息，同时引导合法研究人员使用一项经过验证的访问计划。

经验证访问提供了一种可能的折中方案。提供商可以向获批准机构赋予更广泛的能力，同时对匿名或未经验证的用户施加更严格的控制。

Anthropic 在报告中得出了类似结论。该公司认为，高能力生物学辅助工具可能需要通过可信用户计划运行。

这种做法将安全决策从仅依赖提示词措辞转向更多维度。身份、机构、地点、项目历史和问责机制都会成为访问控制的一部分。

其中的权衡仍然困难。可信访问系统可能偏向成熟实验室，同时排除独立研究人员、较小机构以及政治受限地区的科学家。

它也可能将权力集中在私营公司手中。这些公司将决定哪些机构符合资格，以及哪些科学议题应受到更严格的审查。

漏报仍然可能发生。经过验证的组织也可能滥用访问权限、隐瞒项目，或提供不完整信息。

Anthropic 的发现表明，全面开放访问和全面拒绝访问都无法解决问题。实际问题变成了：在不同验证等级下，用户应获得多少能力。

该公司还必须决定，为威胁检测而保留数据的期限。零数据保留安排能够保护机密研究，却可能阻碍调查人员还原滥用行为。

这在隐私与安全之间造成直接冲突。敏感科学往往需要保密，而检测协同行为滥用则需要足够的记录，以便将长期活动关联起来。

因此，账户监测与模型对齐同样重要。这一发展将影响实验室、企业，以及处理机密技术信息的知识工作者。

组织可能需要记录：哪些模型接收敏感数据、哪些账户拥有访问权限，以及 AI 生成的工作如何进入研究决策。受治理的 AI 知识库可以支持这类记录工作，而无需决定底层安全政策。

关键在于问责。一条模型回复不应成为高风险科学工作流中不可见的一环。

Anthropic 的披露给所有前沿 AI 提供商施加压力

最薄弱的提供商、转售商或开放模型，都可能削弱更谨慎服务所施加的安全措施。

Anthropic 的主要对手并非另一家具体公司，而是一个安全标准不一、用户可以在不同系统之间转移工作的碎片化 AI 市场。

基孔肯雅病毒调查直接说明了这一点。当 Claude 拒绝某些请求时，中间方据报将这些请求转交给另一款模型。

这种替代方案维持了客户体验，却破坏了 Claude 拒绝服务的目的。接收方提供商并未被披露。

这种模式造成了集体行动问题。一家公司承担更严格控制带来的商业和科研成本，另一项服务则承接被拒绝的需求。

用户还可以将敏感项目拆分成更小的任务。没有任何单一提示词必须暴露完整目的。

一个模型可以总结文献，另一个可以生成代码，第三个可以修改提案，而外部生物学工具则负责专门的设计工作。

当相关意图只在完整工作流中显现时，提供商层面的安全措施便难以应对。每项服务看到的都只是局部记录。

开放权重模型又增加了一层复杂性。其软件参数可被下载，并在提供商托管的执法系统之外运行。

Anthropic 对常规武器研究的分析发现，受测试的开放权重模型落后于前沿模型。但该公司仍认为，其中一些目标定位和工程能力令人担忧。

这意味着，执法不能完全依赖前沿公司。能力可能扩散到缺乏集中式账户封禁、流量监测或地区限制的模型上。

托管提供商仍保有重要优势。他们可以更新分类器、调查关联集群、暂停账户，并与其他公司共享指标。

9 月报告显示 Anthropic 正在运用这些能力。它封禁账户、修改安全措施、监测相关活动，并联系公共和私营合作伙伴。

该公司还审查了一份与对抗性国家机构有关的 30 天样本。它识别出约 35 项研究工作，其中大多数涉及普通民用科学。

这一发现同样值得关注。可疑机构集合中的大多数活动并未被描述为危险。

数量较少的令人担忧案例表明，粗放的地理限制并不充分。地区可以是一种风险信号，但不能替代关于行为的证据。

Anthropic 的披露也给监管机构带来压力。政府不能仅仅要求模型提供商防止滥用，却不界定监督、正当程序和信息共享规则。

康奈尔大学计算机科学家 John Thickstun 告诉 Associated Press，企业正在缺乏民主审议的情况下作出令人不安的社会判断。他的担忧直接适用于生物学访问决策。

提供商可以依据其使用政策终止服务。然而，决定谁可以使用先进科学辅助工具，开始类似于科研治理。

这一职责传统上涉及机构审查委员会、生物安全委员会、资助方、监管机构和国家安全机构。AI 公司如今也处于同一决策链中。

提供商还掌握了大部分证据。他们能够看到外部研究人员无法独立审查的提示词、账户关联和路由行为。

公开威胁报告有所帮助，但选择性披露存在局限。删节能够保护调查人员和用户，却使独立验证变得困难。

Anthropic 尚未公布这五起案例背后的身份信息或完整交互记录。因此，外部专家无法复现其意图评估。

该公司的说法应被视为一份严肃的一手披露，而非中立审计。其安全定位和监管利益构成相关背景。

与此同时，若将报告斥为营销，也会忽视其中具体的运营细节。中继服务、新身份、隐藏地点和刻意混淆，都是规避行为的既有指标。

恰当的回应应是审查，而非确信。提供商应披露方法、不确定性、误报风险和执法结果，同时不公开危险的技术指令。

行业协调将不可或缺，但协调也需要边界。广泛共享用户数据可能威胁隐私、学术自由和合法研究。

明确标准应界定哪些信息可以共享、与谁共享，以及依据何种法律授权。研究人员也应拥有对错误限制提出异议的渠道。

没有这些保护措施，生物安全保障措施可能演变为由少数 AI 公司管理的不透明许可制度。

证据并未表明一场由 AI 制造的大流行病迫在眉睫

Anthropic 记录了令人担忧的使用模式，但其报告并未证明 Claude 促成了可行武器，或实质性增加了病原体的危险性。

这种审慎区分并不会削弱对安全措施的需求。它界定了现有证据所能支持的结论。

Anthropic 表示，这五起案例表明，重要的两用研究与规避访问控制的受关注行为者有关。它并未将这些案例作为 Claude 协助发动迫在眉睫攻击的证据。

信息辅助与实体生物能力之间存在显著差异。现实世界的工作需要专业知识、实验室、材料、设备、测试和实际执行。

语言模型可以加速研究的部分环节，却无法消除这些门槛。仅凭账户记录，仍难以衡量这种加速的程度。

受控评估可以比较模型用户与未获辅助参与者的表现。不过，Anthropic 承认，评估无法证明某项能力会支持现实世界的武器开发。

观察到的使用行为提供了补充证据。它表明研究人员认为模型足够有用，因而将其纳入工作流程。

但相信和使用，仍不等于决定性的能力提升。模型可能改善写作、组织、翻译或编码，却无法解决最困难的生物学问题。

第三起案例凸显了这种模糊性。在约一小时内完成详细拨款提案体现了速度和广度，但提案并不是实验。

同样，对科学产出的编辑协助可以节省时间，却无法证明 Claude 选出了成功的突变，或促成了可行病原体。

Axios 的生物安全分析报道了国家安全专家更广泛的担忧。它也强调了 AI 系统如何运作以及防护措施应如何实施的不确定性。

即使发生概率很低，灾难性生物事件也值得关注。其后果足以构成采取预防、评估和早期干预措施的有力理由。

然而，夸张的描述可能损害这项工作。将模糊的研究称作被阻止的武器项目，可能降低科学家的信任，而他们的合作是必要的。

夸大也可能掩盖同一份 Anthropic 报告中记录的、更为直接的风险，包括网络犯罪、监控、宣传和常规武器开发。

与推测性的自主病原体设计不同，其中若干活动符合既有威胁模型。行为者早已了解如何利用软件辅助实施欺诈、目标定位或工程工作。

因此，Anthropic 的威胁评估应被理解为一组证据等级不同的风险组合。生物学滥用属于后果最严重的风险之一，但也最难分类。

还有一个衡量难题：Anthropic 只能看到触及其服务和检测系统的活动。

它无法量化通过本地模型、其他供应商、脱离网络的实验室，或成功规避调查的账户所开展的工作。

这五起案例并非普遍程度的估计。它们无法揭示生物领域使用中有多少比例是有害的，也无法说明还有多少值得关注的项目尚未被发现。

检测能力的提升也可能导致事件数量上升，而实际滥用并未增加。更多案例或许意味着监控更完善，而非行为正在恶化。

反过来，更少的封禁可能反映出威慑增强、可见性下降，或用户已成功迁移至其他服务。原始执法数字需要结合背景解读。

该公司的安全主张也需要独立测试。外部研究人员应同时审查其对有害任务的抵御能力，以及对合法科学研究产生的误拒问题。

一项有价值的评估应在受控条件下测试现实的、多步骤工作流，并衡量模型是否提高成功率、降低所需专业门槛，或缩短关键环节所需时间。

评估也必须保护危险细节。生物安全测试不能变成公开的操作指南。

独立监督有助于平衡这些要求。政府、学术专家和公共卫生机构应当参与，而不应仅依赖供应商自身的判断。

Anthropic 值得肯定的一点是，它说明了不确定性，而没有将每个案例都直接认定为恶意行为。随着事件发展，这种克制应继续成为核心原则。

最站得住脚的结论比新闻标题更为有限：Claude 参与了若干隐蔽且敏感的研究工作流，Anthropic 认为这些工作流风险过高，不应继续进行。

三个信号将显示这一应对措施是否奏效

接下来的考验是，AI 供应商能否限制危险协助，同时避免将合法科研用户推离平台，或仅仅让滥用行为转移到其他地方。

第一个信号是围绕中继网络和被拒绝提示词的跨供应商协调。Anthropic 表示，已与受影响的实验室、AI 公司及政府主管部门分享了相关发现。

有效的协调应形成可重复的方法，用以识别跨服务的规避性基础设施，而不应依赖公开点名研究人员或生物制剂。

如果供应商开始联手干扰同一批网络，Anthropic 的干预模式将更具可信度。如果用户仍能在数天内切换模型，账户封禁就只是暂时的阻力。

第二个信号是面向生物研究人员的可信访问机制设计。Anthropic 认为，前沿生物能力可能需要经过验证的用户计划。

一项可行的计划必须明确合资格机构、数据保留规则、审查流程及申诉机制，也应覆盖独立科学家和小型实验室。

科学界广泛采用、且有据可查的误拒案例很少，将加强分级访问的理由。若合法研究人员持续投诉，则会暴露限制过度或审查程序不佳的问题。

第三个信号是关于能力提升的独立证据。Anthropic 表示，它已无法保证当前模型仍安全地处于其先前生物能力阈值之下。

外部评估必须检验较新的系统是否实质性提升了危险结果的达成能力，而不仅仅是改善方案撰写或文献综述。结果应比较多种模型和访问配置。

若存在显著能力提升的证据，将支持更严格的访问控制和更强监管。若结果微弱或不一致，则更适合采取针对可疑行为的狭窄防护措施。

这些信号的重要性不止于生物科学。在所有 AI 将先进能力与不确定意图结合的领域，同样的治理问题都会出现。

企业应追踪哪些模型处理敏感工作、供应商如何保留数据，以及用户能否绕过内部限制。科学家也应预期，访问政策将更加强调身份识别。

政府必须决定私营部门执法是否足够。同时，也需要制定规则，以保护合法研究、隐私和有意义的监督。

在外部证据检验该公司的结论之前，Anthropic AI 滥用事件始终是不完整的故事。目前，读者应关注协调、可信访问和独立评估，而不是只计算封禁数量。

请在你自己的组织内提出一个务实的问题：你能否还原 AI 系统如何影响了一项敏感决策？如果答案是否定的，就应从访问记录、获批准的工具、数据处理规则和有文档记录的人工审查开始。