Anthropic Claude 生物武器研究报告揭示安全防护缺口

Anthropic 披露了五起涉及科学家使用 Claude 开展可能支持生物武器研发工作的案例，尽管该公司已部署现有安全防护措施。这些 Anthropic Claude 生物武器研究发现涵盖危险病原体研究、毒素设计、隐蔽模型访问，以及试图掩盖敏感活动的行为。

这一描述需要一项重要限定。Anthropic 并未披露这些科学家的身份或所在国家，也未声称他们意图造成伤害。部分项目具有合理的医疗或防御用途，包括疫苗研究和疼痛治疗。

冲突正存在于这种不确定性之中。同样的 AI 协助既可能加速有益科学研究，也可能帮助专业人士发展更危险的生物能力。Anthropic 可以拦截明确恶意的请求，但专业研究很少会直接说明其最终目的。

该公司 9 月 10 日发布的威胁情报报告将这一长期讨论的风险转化为实际运营问题。据报道，研究人员通过转售商、中继服务、匿名化基础设施、能力较弱的模型以及经过精心措辞的请求来获取协助。

OpenAI 和其他前沿模型提供商如今面临同样的压力。如果安全防护主要依赖单个提示词中的文字，复杂用户便可将工作分散到多个账户、模型和表面上合法的科研任务中。

Anthropic 发现五起高风险生物学案例

核心变化在于，Anthropic 公布了来自真实 Claude 使用行为的证据，而不再仅依赖实验室安全评估。

这五项案例研究涉及病毒、免疫逃逸、毒液以及经计算重新设计的毒素。Anthropic 将它们描述为可能支持生物武器研发的工作实例，而非已完成的武器项目。

在第一起案例中，一套安全分类器拦截了 2026 年 5 月一项与科研资助申请有关的请求。拟议研究涉及基孔肯雅病毒的功能获得研究。

功能获得研究通过基因方式改变生物体，以创造或增强某种生物学特性。这类实验可以揭示病毒如何演化，但也可能产生令病原体更危险的知识。

该资助申请聚焦影响传播和免疫逃逸的突变，拟将选定突变工程化植入感染性克隆，并通过重复动物感染测试毒力。

基孔肯雅热是一种由蚊虫传播的病毒性疾病，可导致发热和严重关节疼痛。WHO 疾病概述指出，症状可能持续存在并造成衰弱。

Anthropic 表示，该项目可能有助于疫苗或治疗方法研发。然而，这项工作也可能令病毒危害性更强，而蓄意释放的情形可能与自然暴发相似。

相关机构进一步加剧了公司的担忧。申请材料中的信息显示研究人员为民间人员，但拟议实验将在一家军事研究机构进行。

随后，Anthropic 调查了访问路径。它发现，一个服务数十名生命科学研究人员的平台通过美国基础设施建立流量隧道。

这些研究人员位于 Anthropic 未提供服务的地区。据报道，该平台利用灰色市场转售商、合成账户和零数据保留服务来掩盖访问及内容。

当 Claude 拒绝敏感请求时，该平台会将其转交给竞争对手限制更宽松的模型。Anthropic 表示，Claude 甚至协助编写了路由代码，并将其表述为减少过度拒绝的一种方式。

该公司封禁了相关账户，并与合作伙伴共同干扰这一中继网络。运营方在数日内便通过新身份和消费者订阅恢复了访问。

这种回归比最初的封禁更值得关注。它表明，账户执法可以中断一个网络，却无法消除其需求、基础设施或对替代模型的访问。

第二起案例涉及一名研究高致病性禽流感的研究人员。相关工作聚焦哺乳动物适应性，以及超出呼吸系统范围的严重疾病。

该研究人员在数周内与 Claude 交换了数千条消息。Anthropic 表示，该模型协助进行文献综述、研究规划、数据分析、实验优先级排序和科学写作。

该活动通过美国服务器基础设施从一个不受支持的地区进行。Anthropic 还发现了注重隐私的账户信息，以及表明用户希望维持隐蔽身份的迹象。

据报道，计划中的研究尚处于早期阶段。不过，它涉及与动物模型中哺乳动物适应性和空气传播相关的突变。

Anthropic 判断 Claude 的贡献主要属于文书和分析性质。该用户只能使用 Claude Sonnet 4 和 Haiku 4.5，公司将其界定为能力较弱的模型类别。

这一限制证明了狭义安全防护措施产生了一定效果。但它并未解决更广泛的问题，因为有价值的协助同样可能包括整理数据和筛选实验。

Anthropic Claude 生物武器研究揭示双重用途困境

最棘手的安全问题并非识别明显的武器请求，而是判断可信的科学工作何时越过了一条无形界线。

当同一知识、材料或方法既可支持有益结果，也可支持有害结果时，生物研究便具有双重用途。疫苗开发与病原体增强可能涉及重叠的专业知识。

第三起案例将这种重叠展现得尤为清晰。据报道，一个转售中继服务在数日内为十多名客户提供服务，并与 Claude 交换了数万条消息。

其中一名客户使用 Opus 5，在约一小时内起草了一份正痘病毒资助申请。正痘病毒包括导致天花的天花病毒，以及与 mpox 相关的病毒。

该申请涵盖其核心假设、实验设计、剂量、统计分析和应急方案，也提及活病毒实验及高等级生物安全设施的使用。

其宣称的目标涉及免疫逃逸基因和减毒。减毒是指降低病原体致病能力，常用于研究或疫苗开发。

然而，关于抑制免疫逃逸的知识可以在两个方向发挥作用。它既可帮助削弱病毒，也可保留其有害功能，或将这些功能转移至其他地方。

由于项目以减毒为框架，Claude 的分类器允许提供协助。Anthropic 表示，这一互动说明，措辞看似正当并不能保证结果安全。

其余案例涉及毒液肽和毒素重新设计。一名研究人员创建了一份图谱，收录多个有毒动物类群的毒素结构。

随后，Claude 协助构建了一个生成式优化流程。这类流程使用计算模型提出具有特定生物学特性的分子方案。

该项目列出了治疗目标，包括止痛药和抗抑郁药。然而，其底层图谱涵盖的靶点同时与缓解疼痛和造成瘫痪有关。

一些相关毒素家族被列入国际出口管制清单，因为它们可能被用作失能剂。Anthropic 还将这项工作与一项国家支持的研究计划联系起来。

在第五起案例中，一名科学家在涉及计算毒素重新设计的多个项目中使用 Claude。这些工作主要通过治疗和公共研究语言呈现。

Anthropic 发现，研究包括一种细菌毒素成分和一种与出血热病毒相关的蛋白质。这名科学家还使用 Claude 编写季度进展报告。

据该公司称，用户刻意模糊了这些生物制剂的身份，并指示 Claude 保持描述含糊且技术细节较少。

这种行为为 Anthropic 提供了比基础科研主题本身更多的情境证据。其意图仍不确定，但隐瞒行为强化了干预的理由。

这些案例说明，为何该公司如今将提示词分类器视为众多安全层之一。分类器可以识别被禁止的内容，却无法可靠推断机构目的。

对于专业人士而言，这一区别更加难以处理。专家不需要聊天机器人解释基础生物学；他们可以利用它加速文献综合、实验规划、编程和文档撰写。

Anthropic 自身的生物风险分析将此描述为低概率、高影响的担忧。其模型从论文、书籍和其他训练材料中学习科学知识。

因此，有用与危险的能力源自相同的通用科学能力。移除所有相关能力，也会阻碍医学、公共卫生和生物技术领域的正当研究。

安全防护措施发挥了作用，但仅限于其狭窄设计范围内

Anthropic 的证据显示，分类器限制了部分危险请求，但仍让大范围的专业双重用途工作得以访问。

该公司最有力的结果来自前两起案例。其生物安全系统拦截了涉及增强型大流行病原体的直接协助，并使一名研究人员只能使用能力较弱的模型。

这一结果挑战了“AI 安全防护毫无作用”这一最简单的批评。它改变了用户能够访问哪些模型、哪些问题能获得回答，以及该公司认为 Claude 提供了多少协助。

不过，这些案例也揭示了转移效应。用户转向了转售商、新账户、竞争对手模型，以及经过设计以显得不那么令人担忧的提示词。

基孔肯雅热案例中的转售商构建了自动回退机制。被 Claude 拒绝的请求可以转交给另一款限制不同的模型。

这一架构使安全问题变成全市场协调问题。一家提供商可以拒绝协助，却无法阻止用户从其他地方获得它。

它也带来了衡量问题。Anthropic 能看到与 Claude 有关的行为，但无法观察跨越本地工具和竞争服务的完整研究流程。

零数据保留带来了另一项复杂因素。这类服务尽量减少存储内容，既能保护正当隐私，也会减少威胁调查可用的证据。

Anthropic 表示，更广泛的监测需要账户和机构信号。这些信号可能包括地理位置、支付模式、账户创建情况、基础设施、转售商关系以及既往执法记录。

这种监测将安全决策延伸到提示词内容之外。它会考察谁在使用模型、通过何种机构、来自哪个地区，以及采用何种访问安排。

这种方法能够发现协同规避行为，但也带来重大权衡。敏感医疗工作往往需要隐私，而受限地区的研究人员也可能只是为了日常专业访问而使用中继服务。

机构验证还可能偏向大型组织。独立科学家和小型实验室可能难以满足围绕成熟大学或企业设计的访问要求。

Anthropic 已认定，其最强大的生物学功能应通过受信任用户计划来提供。这些计划可在授予访问权限前核验身份并实施额外监督。

这样一来，模型提供商就不再只是软件供应商，而是决定哪些机构和研究人员有资格获得先进科学协助的守门人。

这一角色伴随法律、政治和伦理后果。私营公司必须在无法全面了解意图或下游实验的情况下，区分正当研究与不可接受的风险。

康奈尔大学计算机科学家 John Thickstun 在独立报道中描述了这一担忧。他质疑企业在缺乏民主或审慎监督的情况下作出影响全社会的安全判断。

他的批评并不意味着这些账户本应继续保持活跃。它指出了围绕此类决策的治理缺口，而这些决策可能影响科学、安全与知识获取。

监管机构尚未为这类案件制定共同的操作标准。因此，各提供商建立了不同的政策、阈值、监控系统和申诉流程。

这种差异会鼓励“模型比价”。被一家公司拦截的用户可以寻找对同一工作作出不同解读的提供商、转售商或开放模型。

因此，Anthropic Claude 生物武器研究披露既记录了一次防御成功，也揭示了一项结构性弱点。这些控制措施确实发挥了作用，但坚定的专业人士也会设法绕过它们。

Anthropic 无法证明科学家意图造成伤害

该报告呈现的是警示信号，而非 Claude 协助制造生物武器的证据，也不是每位研究人员都怀有恶意意图的证据。

Anthropic 明确表示，它并未断言存在伤害意图。该公司没有公开科学家的身份、所属机构、国家及敏感技术细节。

这种克制至关重要，因为两用生物学会产生模糊的证据。一种军事隶属关系可能引发担忧，但并不能证明存在进攻性武器计划。

军事实验室也开展诊断、疾病监测、疫苗和防御性对策研究。涉及危险病原体的研究并不自动等同于武器开发。

同样，隐瞒行为也有多种解释。科学家可能为了规避安全措施、保护尚未发表的知识产权，或遵守机构保密规定而掩盖项目。

来自不支持地区的访问更明确地构成政策违规。但这仍不能独立证明其计划造成生物伤害。

Anthropic 最有力的主张涉及可观察的平台行为。它可以记录账户创建、中继使用、提示路由、对话，以及规避其限制的尝试。

对于研究人员更广泛目的的判断则需要推断。该公司并不控制其实验室，也没有公布独立的武器生产实物证据。

报道中的案例摘要强调了这一限制。Anthropic 表示，这些事件展示了能力，但并不能证明一定会产生生物武器。

甚至“能力提升”一词也需要谨慎对待。在 AI 安全研究中，能力提升指的是模型相对于现有替代方案为某人带来的额外能力。

能力提升不等于完成。更好的文献摘要或实验方案可以节省时间，却未必能解决最困难的实验室、采购、隔离或递送问题。

Anthropic 估计，在禽流感案例中，Claude 提供的能力提升有限。较早的模型主要协助文书分析、构思和写作。

Opus 5 资助申请案例看起来影响更大，因为 Claude 很快起草了一份端到端的提案。不过，一份完整的资助申请并不等于一项完成的实验。

实验室执行需要熟练人员、合适设施、材料、验证，以及反复排障。报告并未证明 Claude 替代了这些要求。

这种区分避免将故事演变为“聊天机器人制造了超级病毒”的无依据说法。已核实的事件范围更窄，但仍然意义重大。

与敏感研究相关的科学家寻求了 AI 协助。一些人规避访问限制、使用隐藏基础设施，或以令 Anthropic 担忧的方式掩盖生物学研究对象。

随后，该公司封禁账户、干扰中继、与政府部门及其他实验室分享发现，并调整其防御措施。这些行动反映了 Anthropic 的风险评估。

它们并不能独立验证该评估中每一种解读。读者必须区分平台证据与有关国家意图或未来武器化的结论。

Anthropic 也拥有机构层面的激励。发布详细的威胁情报有助于支持其关于先进模型应采取更严格安全实践和受信任访问的论点。

这并不意味着报告不可靠，而是意味着该公司同时扮演了证据持有者、调查者、规则制定者和叙述者。

独立研究人员无法完全复现其发现，因为关键数据仍属私有。公众审查依赖于经过谨慎删节的证据或可信的第三方审查。

因此，报告的谨慎是一种优势，而不是弱点。不确定性不会消除风险，但会限制任何人描述科学家动机时应有的确信程度。

真正的较量是能力与受控访问之间的平衡

Anthropic 必须让 Claude 对科学更有用，同时防止这种有用性本身变成危险研究的服务工具。

多年来，该公司一直警告，能力不断增强的模型可能会降低化学与生物威胁的门槛。Claude Opus 4 在 2025 年触发了更严格的 ASL-3 保护措施。

ASL-3 是 Anthropic 针对可能显著提升个人获取或开发灾难性武器能力的模型所采用的部署标准。它结合了多层防御。

这些层级包括提示和回复分类器、账户监控、网络安全控制，以及针对越狱的防护。越狱是一种旨在绕过模型安全行为的技术。

Anthropic 之所以采用更严格的级别，是因为它已无法自信地排除向具备基础科学训练的用户提供实质性协助的可能性。这一决定是预防性的。

当时，首席科学家 Jared Kaplan 表示，公司并未声称对危险性有确定结论。其背后的安全措施决定是为了应对其评估无法排除的风险。

2026 年 9 月的案件将焦点从新手转向专业人士。多名用户已具备科学训练、可信的机构背景，或明显拥有实验室准入条件。

对这些用户而言，一般性研究支持可能比被禁止的指令更重要。Claude 可以整理论文、起草代码、分析结果，并建议实验优先事项。

因此，随着模型能力提升，安全边界也会扩大。在较弱模型上看似无害的请求，在专家级系统上可能更具影响。

Anthropic 表示，较早的模型仍低于能够实质性协助复杂生物研究的门槛。它不再对当前模型作出同样保证。

这一说法给竞争对手带来压力。OpenAI、Google、Meta 和其他开发商也面临有关生物学能力、监控与访问控制的类似问题。

封闭模型提供商可以检查账户并更新集中式安全措施。它们也可以移除用户、保存相关记录，并与政府部门分享指标。

开放权重模型带来了不同挑战。一旦发布，其安全措施可能被修改或移除，且没有中央提供商能够封禁用户。

不过，封闭系统也会集中监控和治理权力。科学家必须将敏感提示、数据和机构背景托付给提供商。

这种权衡没有简单的解决方案。较少监控可以保护隐私，却会限制威胁检测；更多监控可以揭露滥用，却可能阻碍保密研究。

将先进生物学功能限制给经过验证的机构，可减少匿名访问；但也可能将来自较小组织或政治敏感地区的正当用户排除在外。

广泛拒绝还会产生另一种成本。拦截安全问题的分类器可能使模型在药物发现、流行病学和公共卫生准备方面不那么有用。

这种商业压力很重要，因为客户可以转向其他提供商。Anthropic 报告中的转售商据称正是将这种切换自动化。

因此，提供商既在科学实用性上竞争，也在政策宽松程度上竞争。如果安全措施差异明显，限制最少的服务可能成为后备选择。

共享威胁指标会有所帮助，但公司也会保护专有遥测数据和客户信息。政府必须决定哪些披露规则既能保护安全，又不会暴露私人研究。

Anthropic Claude 生物武器研究案例表明，仅靠模型层面的拒绝无法应对这场较量。有效控制必须覆盖身份、分发渠道、机构和重复行为。

它们还需要外部合法性。公司需要政府针对高风险研究的指导，而政府需要技术证据证明提供商目前具备观察能力。

如果没有这种责任划分，每个困难案例都会变成企业内部判断。结果将因公司、司法辖区、客户和商业压力而异。

三个信号将显示应对措施是否奏效

下一项考验是，Anthropic 能否将五个令人不安的案例研究转化为在用户改变路径和模型后依然有效的安全措施。

第一个信号是对转售商网络的持续干扰。Anthropic 表示，一名运营者在数日内重新建立访问权限，随后通过新的身份继续开发。

未来的威胁报告应说明这些网络是否仍在运作，以及新账户被发现的速度。更短的存续时间将支持 Anthropic 的分层执法策略。

同一集群反复获得访问将削弱这一评估。这表明身份核验和基础设施监控正在抬高成本，却没有封堵路径。

第二个信号是受信任用户计划如何对待正当研究人员。Anthropic 一直认为，前沿生物学能力需要经过验证的访问，而不只是提示分类。

有用的证据将包括资格规则、隐私保护、申诉流程、独立审计和误拒率衡量。这些细节决定受控访问是否仍具有科学实践价值。

一个既接纳可信研究人员、又能识别隐蔽机构的计划，将强化该公司的论点。广泛排斥或不透明的拒绝将暴露私人守门的代价。

第三个信号是模型提供商与政府之间的协调。转售商案例表明，来自 Claude 的拒绝可能会将同一请求引向其他地方。

共享滥用指标以及针对增强型大流行病研究的一致规则，将减少“模型比价”。显著的政策缺口将为坚定用户留下可预测的后备选择。

监管机构还应明确对涉嫌生物滥用的报告义务。提供商需要明确保存证据、通知政府部门和保护无辜科学家的阈值。

独立审查的重要性将不亚于新的分类器。外部专家需要获得足够的访问权限，以评估 Anthropic 的解读，同时又不暴露危险方法或个人身份。

现有证据支持一个审慎的结论。Anthropic 发现有科学家将 Claude 用于令人担忧的生物学工作，并记录了蓄意绕过部分控制措施的行为。

报告并未证明 Claude 制造了生物武器，也未证明五起案例中的所有行为者都具有恶意意图。

该报告所确立的是一个更严峻的运营现实：先进的科学辅助能力，在任何提示明确要求制造武器之前，就可能已经带来风险。

对开发者和企业采购方而言，这一教训并不局限于生物学领域。访问控制、数据保留政策、转售商监管和机构验证，如今共同决定了先进 AI 服务能够安全提供哪些能力。

知识工作者也应认识到，隐私机制具有两面性。它们能够保护敏感工作，却也可能降低调查滥用行为所需的可见性。

下一次 Anthropic Claude 生物武器研究更新，应根据结果而非新增限制的数量来评判。重复违规者是否失去了访问权限？合法研究是否得以继续？竞争对手是否堵住了明显的逃避路径？

这些问题应当指导未来数月的应对措施。应关注中继网络、可信访问规则，以及跨服务提供商协调的程度。