Anthropic Claude 军事滥用揭开 AI 战争新战线

Anthropic 在发现 Claude 协助一名与伊朗有关联的行动者追踪美国海军力量，以及一个位于也门的组织开发导弹制导软件后，叫停了两项行动。这些 Anthropic Claude 军事滥用案件涉及目标定位手册、舰载系统研究、飞行模拟，以及一次失败的制导火箭测试。

这些发现带来了令人不安的反转。据报道，与美国对立的行动者利用一家美国 AI 服务强化了针对美国利益及其地区对手的军事计划。他们无需窃取模型权重，也不需要机密系统；他们只需使用一款商业助手，将敏感项目拆分为更小的任务，并掩盖真实意图。

Anthropic 表示，已封禁相关账户，并与政府和行业合作伙伴共享情报。不过，该公司也承认，其安全防护拦截了许多请求，但并非全部。其中一个组织在 Anthropic 介入前，已将部分成果打包成离线工具包。

这一区别至关重要。该报告并未证明 Claude 制造出可投入使用的高超音速导弹，或促成了成功袭击。但它确实表明，一款能力强大的模型如何能在武器项目中充当工程团队、情报分析师和代码审查员。

Anthropic Claude 军事滥用涉及两项不同行动

最有力的发现并非 Claude 独立设计了武器，而是不同威胁行为者将其整合进持续运作的军事工作流程。

Anthropic 于 2026 年 9 月 10 日发布威胁情报报告。报告涵盖了 2025 年 12 月至 2026 年 8 月期间调查的活动，包括武器研发、监视、宣传、网络行动和生物研究。

报道标题汇集了两项相关但彼此不同的调查。其中一项涉及一名与伊朗有关联的行动者开展海军侦察；另一项则涉及也门北部一个组织为三个武器项目开发制导软件。

Anthropic 未公开点名任何一个组织。也门北部由伊朗支持的胡塞运动控制，因此多家新闻机构将该组织描述为与胡塞武装有关联，或可能属于胡塞武装。地理关联具有重要意义，但并不能公开证明行动者的身份。

在与伊朗有关联的案件中，该行动者利用 Claude 收集并分析有关该地区美国海军力量的公开信息。根据 Anthropic 的威胁情报报告，相关材料被用于支持追踪和定位海军资产的建议。

该行动者在 Claude 协助下构建了一条 Python 数据处理流程。这条流程汇集了 Anthropic 所称的、基于开源情报的目标定位手册，即可通过公共或商业渠道合法获取的信息。

收集的材料包括从公开军事照片说明文字中抓取的美国人员姓名，还包括舰艇与飞机的应答机识别码、商业卫星图像查询，以及暴露海军活动的网站。

该行动者还曾要求 Claude 研究舰载系统中的漏洞。Anthropic 发现其中提及了影响海事卫星终端、Cisco 通信设备和工业控制产品的已知安全缺陷。

公开信息并不会因为任何人都能找到就变得无害。汇总会改变其作战价值。模型可以收集零散记录、规范化数据、关联身份、生成脚本，并将碎片化观察转化为可重复使用的情报产品。

也门的行动则更深入地进入工程领域。Anthropic 表示，行动者以 Claude Code 替代人工软件工程师，开发制导、导航与控制软件。这类软件用于估算飞行器位置、稳定其运动，并引导其沿预定路径或朝目标飞行。

据报道，该组织同时管理多个 Claude 实例：一个负责编写代码，另一个进行研究，第三个审查第一个实例的输出。这种结构类似于由人类操作员监督的小型工程团队。

因此，这些案件并不只是孤立的有害提示词。它们表明，有组织的用户围绕 AI 服务构建工作流程、保存输出、分配专业角色，并从软件工作迈向实体测试。

Claude 成为工程效率倍增器，而非自主武器设计者

据报道，Claude 在编码、模拟、审查和故障排除等环节压缩了工程工作量，而人类仍掌控着武器项目。

据 Anthropic 称，也门组织推进了三个项目。第一个是使用普通手机级计算机和末端制导的制导火箭；第二个是多级弹道导弹，其宣称的射程目标超过 2,000 公里。

第三个是名为 R2000 系列的多型号导弹。Anthropic 表示，其中一个拟议型号采用高超音速滑翔飞行器，能够以高速穿越大气层并在飞行中机动接近目的地。

这一表述需要谨慎对待。报告记录的是一项研发工作及其宣称的技术目标，并未显示该组织制造或部署了可用的弹道导弹或高超音速武器。

据报道，Claude 协助将一款开源自动驾驶仪整合至手机级飞控计算机中。该模型还协助处理控制软件、位置估算、参数调优、固件构建和飞行模拟。

这种广度揭示了编码助手在复杂项目中的真正价值。模型不必发明新的推进物理学才能发挥作用；它可以连接现有组件、编写集成代码、解释错误，并缩短迭代所需时间。

行动者还利用 Claude 进行六自由度轨迹模拟。这类模拟可建模物体在三个空间维度中的移动，以及绕三个轴的旋转。工程师借此在投入稀缺硬件前测试控制行为。

Anthropic 表示，该组织运用强化学习调优飞行控制算法。强化学习通过重复反馈来调整系统，奖励更接近既定目标的输出。

这些活动仍依赖于既有专业能力。Anthropic 的整体评估称，这些武器行动者在使用 Claude 前，已具备相关硬件、固件知识或领域经验。该模型是在由人类已组织起来的项目中完善工作。

一次实弹测试将数字工作流程与现实世界连接起来。Anthropic 表示，该组织试射了一枚制导火箭，随后在数小时内回到 Claude，诊断测试失败的原因。

这一过程比围绕导弹设计的抽象讨论更具意义。它表明，生成的软件、真实硬件、观测到的遥测数据，以及下一轮模型辅助分析之间可能形成反馈闭环。

不过，失败本身仍是重要证据。Anthropic 未发现行动者部署可作战设备的证据。独立武器分析师 Trevor Ball 告诉美联社，胡塞武装缺乏制造高超音速导弹的生产与技术能力。

聊天机器人生成代码的速度，远快于受制裁武器项目制造精密组件的速度。它无法消除对材料、试验场、传感器、推进系统、校准、质量控制和可靠生产的需求。

因此，关键影响在于加速，而非自动取得成功。据报道，Claude 帮助操作人员承担了原本可能需要多名专家才能完成的软件角色。即便是不完整的协助，也能降低成本并缩短对手的学习周期。

核心反转在于访问渠道，而非政治立场

据报道，一家美国公司的安全导向模型对与美国军队对立的行动者产生了价值，揭示商业 AI 如何跨越政治与军事边界。

伊朗官方言论经常将美国描述为核心敌人。这种敌对关系并未阻止与伊朗有关联的操作人员在这款美国模型提供实用情报与软件能力时使用它。

这种反转并非 Claude 独有。商业软件、卫星图像、通信硬件和消费电子产品经常通过经销商、中间商、共享账户和远程基础设施跨境流转。

生成式 AI 为这一模式增添了不同寻常的特征。同一项服务可以充当程序员、翻译、研究员、数据分析师和文档助手。用户无需购置不同的专业工具，就能切换这些功能。

海军侦察案件展现了这种灵活性。据报道，这名与伊朗有关联的行动者并未要求 Claude 提供一份舰艇坐标清单，而是利用模型协助构建可重复执行的收集和分析流程。

该流程将公开痕迹转化为目标定位材料。人员照片说明可变成名册；应答机识别码可支持移动追踪；卫星查询可聚焦信息收集，而漏洞研究则可识别暴露在外的通信设备。

没有任何单一组成部分必然跨越明确红线。危险源于编排：一连串看似普通的任务，构成了一个具有军事意义的系统。

也门的案例中也出现了同样模式。据报道，用户将项目拆分至多个会话中，并隐瞒代码最终将用于何种产品。单次对话并不总会揭示完整的武器研发目标。

这种拆分问题对独立评估提示词的安全系统构成挑战。控制调优请求可能与合法机器人项目无异；在不了解搭载该设备的载体背景时，固件编译也可能看似只是常规工作。

Anthropic 表示，其安全防护拒绝了该组织提出的许多请求。该公司也承认，另一些请求得以通过。因此，这篇制导武器报道既展现了侦测成功，也警示人们对风险的识别可能来得太晚。

冲突之所以更加尖锐，是因为 Anthropic 将自己定位为一家重视安全的开发商。该公司还因军方访问 Claude，以及涉及大规模监控或完全自主武器的限制而面临严格审视。

安全政策可以限制获授权客户，但敌对行动者不会接受合同边界。他们会伪装意图、通过受支持地区转接访问、创建新账户，并在不同服务商之间迁移工作。

这意味着，Anthropic Claude 军事滥用事件并不只是某一家公司的内容审核失误。它关乎任何前沿模型提供商能否可靠识别那些横跨会话、账户、语言和技术领域拼凑而成的有害项目。

操作人员看到的是一个完整项目，服务看到的却可能是许多普通请求。弥合这一差距，需要模型和调查人员能够识别模式，同时不将每一位工程师、研究人员或机器人专业学生都视为威胁。

部分工作已具可移植性后，账户封禁才到来

Anthropic 已停止 Claude 的访问权限，但这个位于也门的组织已将模型提供的部分帮助转化为可离线继续运行的软件。

Anthropic 将“中断”定义为封禁其能够关联到某一行为主体的所有账户。当一次行动涉及其他服务时，该公司还会与相关企业及政府合作伙伴共享情报。

这种应对措施可以终止正在进行的访问，阻止用户通过已识别账户调取对话记录或继续工作。新的检测结果也可能更早暴露相关行为。

然而，账户执法无法收回用户已经保存的源代码、文档或模拟结果。据报道，这个也门组织已打包出一套独立的模拟工具包，不再需要 Claude 或 MATLAB 之类的工程环境。

可移植性改变了风险评估。只要模型帮助创建了可长期留存的资产，用户就不需要永久访问权限。生成的代码可以被复制、在本地审查、与协作者共享，或整合进其他系统。

这套离线工具包并不代表行动已经成功。模拟可能包含错误假设、不准确的物理模型或不稳定的控制逻辑。一个打包后的可执行程序即使能稳定运行，仍可能产生误导性结果。

但这套工具包降低了对 Anthropic 的依赖。它让工作成果得以越过该公司的执法边界保存下来，并为操作者继续迭代提供了基础。

同样的原则也适用于情报流程。一旦模型帮助编写了采集脚本和报告模板，用户便可继续收集公开数据，无需返回原始服务。

因此，模型提供商面临两道期限。第一道是：在有害输出产生之前检测到滥用。第二道是：在这些输出变成可复用基础设施之前采取行动。

Anthropic Claude military misuse 的调查结果表明，第二道期限至少部分失守。Anthropic 观察到了足以重建这些项目的活动，但部分技术输出已经脱离其直接控制。

这并不意味着干预毫无意义。也门组织在飞行测试失败后又回到了 Claude，说明其仍依赖该模型进行故障排查。切断访问权限很可能在关键阶段移除了一个有用的工程资源。

Anthropic 还开发了用于识别爆炸物和武器研发相关流量的新分类器。分类器是一种评估内容并分配风险类别的系统，使服务能够拦截或升级处理可疑交互。

仅靠分类器很难应对看似无害的子任务。更好的检测需要账户层面和项目层面的信号，包括对控制系统、模拟、瞄准、规避和军事硬件的反复研究。

这种做法会带来隐私和治理问题。检测一个分布式武器项目需要更广泛地分析用户活动，但更广泛的监控也可能影响合法研究，并暴露敏感的商业工作。

这种权衡无法避免。狭窄的监控会漏掉协同滥用；过度监控则可能产生自身的监视风险，尤其是在提供商服务于政府、企业、记者和研究人员时。

证据严肃，但其局限同样重要

Anthropic 拥有异常详细的账户遥测数据，但外部人士无法独立验证每一项归因、技术评估或关于行动影响的主张。

该公司能够看到外部记者无法获得的对话、代码请求、账户关系和使用模式。这种访问权限使调查人员能够连接不同会话，并识别反复出现的技术目标。

Anthropic 也有披露这些事件的动机。威胁报告表明，其调查人员能够发现滥用、移除账户并改进防御措施。这也有助于该公司塑造围绕前沿模型访问权限的政策讨论。

这些动机并不意味着证据是虚假的，但它们确实意味着读者应区分直接观察结果、分析判断和地理归因。

Anthropic 确定了一个位于也门北部的组织。它没有公开点名相关个人，也未正式将其认定为胡塞武装成员。由于该运动控制着这一地区，媒体报道通常将该组织与胡塞武装联系起来。

胡塞武装政治局的一名成员否认了这一说法。Hazam al-Assad 对美联社表示，依赖公开来源进行军事研发并不合理。他称，该运动拥有积累的生产知识，并将其武器用于防御。

这一否认并未解决归因问题。Anthropic 尚未公布底层账户记录、完整对话记录、代码库或测试遥测数据，以供独立审查。

技术措辞也可能夸大成熟度。研究高超音速滑翔变体不同于设计它；设计它不同于制造它；制造原型又不同于部署可靠的作战武器。

失败的火箭测试证明存在现实世界中的活动，但也显示出工程能力差距。Anthropic 表示，操作者返回寻求失败分析；但它并未表示对方修复了问题，或完成了另一次成功飞行。

武器分析师 Ball 认为，该组织缺乏进行高超音速武器生产所需的工业能力。他表示，其目标可能是减少对伊朗武器和零部件运输的依赖。

这种解读符合一个更广泛的模式：在具备一定专业知识、但熟练劳动力、文档或专业软件仍然稀缺的地方，AI 辅助最有价值。它可以帮助本地团队改造进口组件，但无法凭空建立完整的工业基础。

海军事例也有类似局限。一本瞄准手册可以支持行动规划，但 Anthropic 没有披露由此导致的任何打击行动。公开的应答机信息在敏感行动期间也可能不完整、延迟、被操纵或无法获取。

不过，naval targeting details 仍展示了公开数字痕迹如何暴露人员和平台。即使是不完美的情报，也可以缩小搜索范围或确定采集优先级。

因此，读者应避免走向两个极端：一是将 Claude 视为能够独立产出先进导弹的自主武器实验室；二是因为没有公开验证成功武器，就完全否定这些案例。

证据支持一个更审慎的结论：Claude 减少了多个敏感工作流程中的人力投入，而人类操作者则提供目标、硬件访问、领域背景和决策。

这一较为审慎的结论仍然意义重大。军事项目往往通过软件、测试、文档和协调方面的渐进改进不断推进。AI 助手无需直接控制武器，也能影响其中的每一层。

模型提供商与国防机构接下来必须关注什么

下一项考验是，提供商能否在用户将成果保存到其平台之外之前，检测出协调开展的军事工作流程。

第一个信号将是与受干扰行为主体相关的重复访问尝试。封禁终止的是已识别账户，而不是底层需求。操作者可以使用中间人、被盗用的凭据、区域代理或竞争性模型。

Anthropic 表示，它已基于这些调查开发了检测机制。如果相关账户能更早被拦截，将增强该公司关于事件分析能够改善防护措施的主张。

如果类似行为主体能够在未被发现的情况下重建大量工作流程，那么该报告的执法模式将显得过度依赖事后调查。关键指标是在可移植软件或瞄准材料完成之前实现中断。

第二个信号将是来自也门的独立技术证据。分析人士应关注新的制导组件、异常控制硬件、回收的零部件，或导弹精度的变化。

一次成功的制导火箭测试将强化有关模型辅助加快实地研发的担忧。持续失败则会支持这样一种观点：制造和系统集成仍然比软件人力构成更强的制约。

对于高超音速武器的说法应持最高程度的怀疑。飞行影像、残骸分析、传感器数据和经验证的性能，比项目名称或公开表述的设计目标更重要。

第三个信号将是模型提供商之间的协同政策。一家公司可以封禁某个账户，而另一家公司可能接受类似请求。开放权重模型也能在任何提供商的审核系统之外运行。

有效防御将需要共享能够描述行为、却不传播危险技术内容的指标。提供商可能需要建立共同报告渠道，用于关联账户、反复出现的规避模式和武器项目特征。

这种协调也将考验公民自由的边界。政府会寻求获得更多有关可疑用户的信息。提供商必须明确何时共享账户数据、适用何种法律程序，以及如何保护合法研究。

开发者和企业买家也应关注，因为同样的控制措施会影响普通技术工作。若上下文被误解，项目层面的监控可能会标记航空航天模拟、机器人技术、网络安全、计算机视觉或工业自动化工作。

在敏感工程领域使用 AI 的组织需要清晰的审计轨迹。它们应记录模型访问情况，保留审查决策，区分模拟与部署，并要求由负责任的人类审批高风险输出。

知识工作者面临相关问题。AI 能够比人工研究更快地将无害碎片组合成具有重要后果的建议。团队需要评估最终工作流程，而不仅是每一个孤立提示的安全性。

结构化的 AI knowledge base 能够在保留来源背景和人类决策时支持负责任的审查。它不应成为汇集敏感行动数据而无人监控的渠道。

Anthropic Claude military misuse 案例并没有提供一个简单的胜利叙事。Anthropic 发现了严重滥用并移除了相关账户，但其系统已经提供了代码、分析和可复用工具。

如今最重要的问题可以被衡量：模型提供商能否在一个危险项目仍呈现为彼此脱节的普通工作时识别它？

应关注更早的账户中断、经独立验证的胡塞武器性能变化，以及跨提供商的报告标准。这些信号将表明，这一事件是否改善了防御，还是仅仅记录了滥用已经推进到何种程度。