Anthropic Claude 威胁报告揭示中国访问悖论

Anthropic 表示，在该公司封禁相关账户之前，与中国有关联的行为者曾在至少五个军事、监控和 AI 训练项目中使用 Claude。Anthropic Claude 威胁报告描述了旨在压制台湾防空系统的软件、一份反鱼雷方案，以及与 Alibaba 有关的 1.51 亿次交互。

这些指控形成了一种尴尬的反转。中国公司不断推出能力日益增强的本土模型，但据报道，一些研究人员和商业实验室仍持续寻求使用一套受限的美国系统。这些活动并不只是提问。Claude 据称曾协助编写软件、整理采购文件、自动化情报工作流，并为竞争模型生成训练材料。

Anthropic 于 2026 年 9 月 10 日发布该报告，涵盖其在 2025 年 12 月至 2026 年 8 月期间发现的显著滥用行为。报告的发现十分具体，但终究仍是 Anthropic 自己的发现。该公司掌握账户记录、检测系统，以及大多数归因结论背后的证据。这使报告具有重要性，但并不意味着其中每项结论都已得到独立证实。

Anthropic 称其阻止了什么

核心变化在于，Claude 据称已从回答军事问题，转向协助生成作战软件和采购材料。

最具影响力的案例涉及一名位于中国的行为者，Anthropic 评估其为国防与军工领域研究人员。账户元数据和被标记的内容显示，其与中国研究机构存在关联，其中包括中国人民解放军军事科学院。

根据 Anthropic 的 9 月威胁报告，该行为者利用 Claude 的聊天、编程和代理工具构建了约 16 个软件模块。这套系统用于支持电子战和压制敌方防空系统。

电子战利用电磁频谱侦测、干扰或欺骗雷达及通信系统。压制敌方防空则涉及识别并扰乱可能威胁攻击机的系统。

Anthropic 表示，Claude 协助完成了系统逻辑、界面、雷达计算、干扰模型、漏洞分析以及中文目标指令。该行为者据称进行了 12 个版本的迭代，而非只生成一份实验性草案。

这套系统分析雷达站、地对空导弹阵地、指挥所和通信节点。它计算探测覆盖范围、估算干扰效果、对目标排序，并在模拟的多日战役中分配干扰机出动任务。

Anthropic 表示，该行为者在开发过程中途修改了默认模拟设定。新场景包含台湾的 12 个目标，包括一部预警雷达、指挥设施、主要空军基地，以及 Patriot 和天弓导弹阵地。

该软件还模拟了与 Patriot 和 THAAD 级系统相关的交战区域。不过，Anthropic 提醒称，从恢复的对话中提及这些系统的频率，只能说明该行为者的关注重点，并不能证明其具备经验证的作战能力。

这一区别很重要。模型可以生成看似令人信服的代码或分析，但这些内容仍可能不可靠、不完整，或不适合部署。Anthropic 并未报告该软件已投入军事服役、控制真实武器，或通过独立作战测试。

该行为者还在内部网络中运行了一套自托管模型，并通过工具接口将软件接入其中。这表明其试图在失去对 Claude 的直接访问后保留这套工作流。

第二个来自中国的案例聚焦水下作战。Anthropic 表示，一名行为者利用 Claude 起草了一份中文反鱼雷火控系统规范。火控是决定防御武器应在何处、何时拦截来袭威胁的逻辑系统。

据称，同一行为者还编制了一份超过 200 页的技术方案及配套管理层演示文稿，并将拟议系统与公开披露的美国海军反鱼雷和反潜项目进行了比较。

Anthropic 评估该行为者与一家中国国防制造商有关联，该制造商正试图为中国人民解放军海军准备规范和采购方案。该公司无法将该活动归因于某个具名个人或组织。

Claude 据称同时充当了撰写者和批评者。每完成一版方案草稿后，该行为者便指示模型扮演敌对技术评审的角色。由此产生的批评意见被用于后续修订。

该公司称，Claude 还协助构建了部分火控软件和测试矩阵。Anthropic 以违反其地区和武器政策为由封禁该账户，随后将调查结果纳入额外的安全防护措施。

这两个军事案例都不能证明 Claude 独立设计出了可用武器。但它们共同表明，当用户将通用编程和文档工具与专业领域知识相连接时，为什么这些工具会变得敏感。

Anthropic Claude 威胁报告为何重要

Anthropic 的证据表明，即便前沿 AI 没有发明新武器，它也可以压缩军事项目周边所需的人力投入。

武器研发不仅仅依赖决定性的科学突破。团队还必须撰写规范、审查方案、模拟场景、记录合规要求、测试软件、准备演示文稿和组织采购。

这些辅助工作会消耗专家时间。能够加速这些任务的模型，即使没有带来某项单一突破，也能提升小团队的产出。

Anthropic 另一项 武器能力测试得出了相关结论。其研究人员发现，前沿模型可以完成一些过去通常由稀缺专业人员承担的模拟情报与武器任务。

评估涵盖战术目标指示和常规武器开发。Anthropic 报告称，模型能力持续进步，但并未将基准测试表现等同于可靠的实战能力。

协助与自主之间的差距至关重要。报告并未描述 Claude 自行决定攻击台湾，或独立寻找军事客户。人类操作人员选择目标、提供背景、要求修改，并试图整合输出结果。

模型的作用仍然相当显著。据称，它将零散指令转化为代码、模拟、格式化方案和可重复的工作流。这些正是推动项目从构想走向评估的产物。

这改变了 AI 提供商面临的安全问题。仅聚焦于明确武器制造请求的拒答系统，可能会遗漏被拆分成多个看似普通任务的项目。

一段对话可能讨论雷达覆盖范围。另一段可能请求界面代码。第三段则可能要求准备采购演示文稿，或对工程文件进行批判性审查。

单独来看，这些请求可能像是合法研究、软件开发或技术写作。只有当提供商将跨会话、账户、文件和基础设施的活动关联起来时，其有害目的才会变得更清晰。

这使监控成为一种架构层面的要求，而不只是套在模型回复外的一道最终过滤器。提供商需要能够识别持续性项目行为的系统，同时不能将每一位技术用户都视为可疑对象。

Anthropic 表示，它是在内部调查疑似武器开发活动时发现这些军事行为的。该公司封禁了相关账户，并更新了安全防护措施。Anthropic 尚未公开底层对话记录，也没有提供足够的账户级证据，供外部调查人员复现其归因结论。

因此，这份报告同时向两类群体施压。前沿实验室必须证明其控制措施能够覆盖长期、碎片化的工作流；各国政府则必须决定，依靠提供商自愿执法是否足以应对国家安全风险。

这些案例也使出口管制的假设变得更复杂。限制措施或许能够限制对先进美国模型的官方访问，但有决心的用户仍可利用欺诈账户、中间人、路由服务或未披露的第三方集成。

访问政策依然会制造阻力，但不能确保隔离。

一旦工作流被封装进本地软件，原始提供商就会失去进一步的控制力。Anthropic 可以关闭账户，但无法远程删除已经转移至外部环境的代码、文件或数据集。

中国本土 AI 实力与对外国模型的依赖

报告中最尖锐的反转在于，那些开发或服务于中国 AI 系统的组织，据称依赖 Claude 来获取其希望复现的能力。

中国拥有庞大的本土 AI 产业，Alibaba、DeepSeek、Moonshot AI、Zhipu AI 和 Xiaomi 等公司处于领先地位。它们的模型在编程、推理、消费级助手和企业部署方面展开竞争。

但 Anthropic 表示，五家中国科技公司针对 Claude 开展了未经授权的蒸馏活动。模型蒸馏是一种训练过程，即利用一个模型的输出帮助训练另一套系统。

蒸馏本身是一项标准的机器学习技术。争议在于这些输出是如何获得的、账户限制是否被规避，以及用户是否知道其请求被发送到了其他地方。

根据报告，与 Alibaba 有关联的账户在 2026 年 5 月至 7 月期间生成了超过 1.51 亿次 Claude 交互。据称，活动量一度接近每日 300 万次交互，涉及超过 3,500 个被 Anthropic 认定为欺诈性的账户。

Anthropic 将该行动描述为其测量到的规模最大的蒸馏活动。该公司称，这些交互瞄准了编程、代理式推理和逻辑等能力，用于与 Alibaba 的 Qwen 模型相关的工作。

这一指控尚未通过 Alibaba 的内部记录得到独立验证。有关 蒸馏发现的公开报道，也主要依赖 Anthropic 的归因和测量数据。

Anthropic 将 2026 年 5 月至 7 月期间超过 2,300 万次交互与 Moonshot AI 联系起来。在其中一个为期 10 天的阶段，Moonshot 据称通过 5,380 个欺诈账户转发了近 30 万条客户请求。

报告称，Moonshot 有时将 Claude 生成的回答呈现为 Kimi 的回复，却未告知用户。Anthropic 还将 7 月两周内超过 1,200 万次交互与 DeepSeek 联系起来。

据称，Zhipu 在 6 月和 7 月的 17 天内生成了超过 340 万次交互。Xiaomi 的活动规模较小，约为 40 万次交互，但据称重放了 MiMo 用户的对话和编程会话。

这些指控使问题超越了模型基准测试之间的竞争。如果一项服务悄然将提示词路由给另一家提供商，客户就会失去对自身信息流向的控制。

Anthropic 表示，一条经 Moonshot 路由的请求来自一名其评估为与 PLA 有关联的用户。该请求涉及分析成都数百个摄像头的监控录像。

另一起据称通过 DeepSeek 路由的请求暴露了某俄罗斯政府数据库的有效凭据。这些案例揭示的风险不同于模型复制：敏感客户信息可能在未经知情同意的情况下跨越组织与国界流动。

核心竞争张力并不只是美国模型与中国模型之间的较量，而是受限访问与用户持续寻求其认为难以替代能力之间的矛盾。

Anthropic 的评估发现，受测的中国开放权重模型在部分模拟情报与武器任务上仍落后于其前沿系统。但该公司表示，这些模型依然展现出令人担忧的能力。

这形成了一个不稳定的过渡期。国内系统能够完成越来越有价值的工作，而获得更强外国模型的访问权限，既可能加速开发，也可能填补能力缺口。

蒸馏能够缩小这些差距，也可能将有用行为迁移至 Anthropic 无法监控、限制或停用的系统中。

其结果类似一个单向安全问题。服务提供商必须开放足够的能力以服务合法客户，但每一次成功交互都可能成为另一模型的示例。

该报告揭示的是安全权衡，而非明确胜利

Anthropic 发现了严重滥用行为，但在大量工作已完成后才检测到它，既说明其防御具有可见性，也反映出预防并不完整。

该公司发布了异常具体的案例研究，值得肯定。它描述了工作流、账户模式、置信度、模型角色和缓解措施，而非仅仅提出笼统警告。

Anthropic 表示，它已封禁所有与披露的监控行动有关的账户，还部署了新的分类器、加强了监控，并将调查结论纳入后续安全防护措施。

不过，报道所涉及的规模限制了任何“胜利”说法。一个包含 12 个版本的目标识别套件和一份 200 页的军事提案，都需要持续交互。包含 1.51 亿次交流的蒸馏活动代表的是工业化行动，而非短暂的政策违规。

检测时点尚不够明确，无法确定安全措施阻止了多少工作。Anthropic 称其扰乱了相关账户，但并未量化有多少输出被拦截、多少已经完成，或由此产生的数据有多少仍可使用。

其归因同样值得审视。Anthropic 利用账户元数据、提示词内容、共享基础设施、工作时间、语言设置和行为模式，将行动与相关行为者联系起来。

这些信号可以支撑有力评估，但并不构成公开证据。欺诈账户、代理、共享路由服务和蓄意冒充，都可能使身份认定变得复杂。

对于聚焦台湾的项目，Anthropic 评估运营者与中国研究机构有关联，包括中国人民解放军军事科学院。该公司没有点名个人、研究单位、承包商或已部署的军事项目。

对于反鱼雷案例，该公司明确表示，无法将该活动归因于某个具体实体或行为者。其认为用户与一家中国国防制造商有关联的结论，仍属于评估。

读者也应区分生成输出与经过验证的能力。语言模型可以生成看似连贯的工程文本，却掩盖错误假设。在模型辅助模拟中能够运行的软件，可能在真实传感器噪声、不完整数据、对抗性行为或硬件限制下失效。

Anthropic 自身的表述也承认这一局限。它描述了用户试图实施的内容、从对话中恢复的材料，以及 Claude 提供的协助；但并未声称每个项目都取得成功。

独立报道提供了另一项有用的检验。对这次更广泛披露的报道指出，这些案例之所以被选中，是因为其显著性和新颖性，而非因为它们代表 Claude 的典型使用方式。

该公司告诉美联社，随着能力提升，模型风险也会增加，因此才公布此类案例。这一表态也推动了 Anthropic 所偏好的政策立场：前沿服务提供商需要更强的防护措施和更广泛的合作。

Anthropic 在这场辩论中拥有商业和监管层面的激励。详细的威胁报告既能展示负责任的治理，也能支持那些较小规模或开放模型竞争者更难落实的限制措施。

这并不使证据失效，而是意味着政策制定者应寻求佐证、标准化披露规则，以及其他提供商的可比报告。

这里还存在隐私权衡。检测一个由大量对话拼合而成的项目，要求提供商审查超出单一提示词范围的模式。

安全团队需要足够的可见性，才能区分普通工程工作与协调性的武器开发流程。与此同时，用户需要明确的边界，规范数据保留、自动审查、人工访问和归因。

暴露军事滥用的同一套遥测数据，也可能揭示敏感的合法研究或客户活动。因此，安全监控必须接受独立治理，而不应成为规避隐私预期的无限例外。

账户封禁还带来另一种不确定结果。Anthropic 威胁情报负责人 Jacob Klein 告诉 Axios，当执法带来过多摩擦时，相关行为者有时会转向开放模型。

报道的监控案例说明了这一问题。与政府有关联的行动可以利用 Claude 构建工作流，随后再借助另一模型在本地部署该工作流。

提供商的执法仍然必要，因为它会提高成本、中断访问，并产生有关滥用行为的情报。但它无法消除已经通过可下载模型、复制数据或导出软件传播的能力。

蒸馏将模型访问转化为供应链风险

据称发生的蒸馏活动通过同一套隐蔽路由基础设施，将模型安全、客户隐私和国家安全联系起来。

普通客户预期由指定的 AI 服务根据该服务的政策处理请求。未披露的路由通过加入客户未选择的提供商、中介方和存储系统，打破了这种预期。

当提示词包含源代码、监控录像、凭据、企业文件或政府信息时，风险会更加严重。每增加一个路由环节，能够保留或分析这些材料的系统数量就会增加。

Anthropic 表示，一些中国实验室使用欺诈账户和第三方路由服务访问 Claude。这些机制可以掩盖流量背后的最终组织，并将活动分散到多个身份之中。

这形成了一条买方难以审查的模型供应链。界面可能展示一个品牌，而响应却部分或完全来自另一家公司的模型。

企业已经在评估数据存储地点，以及提供商是否将数据用于训练。现在，它们还必须询问：AI 供应商是否会悄然将提示词发送至外部系统，或将客户交互用于竞争性模型开发。

如果技术路由仍不透明，合同承诺本身就很薄弱。买方需要可审计的模型溯源记录，以说明哪一系统处理了请求、哪些分包方收到了其内容。

开发者在采用模型路由器和智能体框架时也面临类似问题。路由器可以根据成本、可用性或性能在不同提供商之间进行选择。这种便利可能掩盖区域限制和数据处理上的差异。

智能体系统会放大暴露风险，因为它们将提示词与文件、凭据、工具和持久化项目上下文结合起来。一次未披露的模型调用，传输的内容可能远不止用户可见的问题。

在处理敏感材料时，团队应保存自己的请求日志、提供商标识和路由政策。一个可搜索的工程知识库可以帮助审查人员追溯需求与决策，而无需将每一份内部文档复制到外部模型中。

国家安全层面的影响遵循同样的架构。如果某个受限制组织能够通过数千个中介账户访问前沿模型，提供商就必须检测协调性行为，而不能只依赖付费身份。

这需要 AI 公司、基础设施提供商和相关主管机构共享指标。不过，信息共享必须区分技术滥用信号与未经证实的政治归因。

处理欺诈流量的路由服务，可能明知故犯地协助访问，也可能根本不了解其客户情况。同样，相似的提示词模式可能反映复制、基准测试、常规开发，或共享的下游产品。

Anthropic 的报告基于其规模、规避手段和明显的训练目的，将这些活动描述为非法蒸馏。外部调查人员仍需要更多关于组织指挥、数据保留，以及输出如何进入特定模型管线的证据。

政策回应应聚焦于可验证的行为。有效控制措施包括经过验证的组织访问、速率模式分析、溯源记录、分包处理方披露，以及可执行的反欺骗性路由限制。

仅基于国籍的广泛限制，可能将与所报道活动毫无关联的研究人员和开发者一并纳入。它们也可能将更多活动推向不透明的代理市场。

因此，真正的竞争并不只是封闭模型与开放模型之间的竞争，而是可追溯访问与不可追溯再利用之间的竞争。

封闭式提供商拥有账户可见性，也可以终止用户访问，但它们是极具吸引力的集中式秘密访问目标。开放模型减少了对远程服务的依赖，但其运营者无法收回能力，也无法观察下游部署。

这两种结构都无法消除权衡。Anthropic 的 Claude 威胁报告展示了行为者如何将两者结合：利用受监控的前沿服务构建数据、代码或工作流，随后将其迁移到可见性更低的系统中。

Anthropic 披露之后值得关注的事项

下一项考验是，Anthropic 的发现能否在访问、归因和跨提供商防御方面带来可衡量的变化。

第一个信号是佐证。Alibaba、Moonshot AI、DeepSeek、Zhipu AI、Xiaomi，以及 Anthropic 指涉的中国机构，应就路由、账户所有权和训练数据实践给出具体回应。

笼统否认无法解决技术问题。有价值的证据包括访问日志、路由政策、供应商记录、数据保留控制措施和独立审计。

佐证将强化该报告的核心主张：在中国国内 AI 扩张的背后，对前沿模型的依赖仍然存在。可信的反证则会削弱 Anthropic 的归因，但不会消除更广泛的访问问题。

第二个信号是，Anthropic 及其竞争对手是否会公布可比的执法衡量数据。仅凭账户封禁，几乎无法说明预防效果。

提供商应披露发现活动的速度、被拦截请求的比例，以及攻击者是否成功在多个账户之间迁移。他们还应说明新分类器在面对合法的军事相关研究时表现如何。

OpenAI、Google、Microsoft 及其他模型运营商若能持续发布报告，将有助于判断 Anthropic 所记录的是行业普遍现象，还是异常集中于 Claude 的活动。

第三个信号是围绕模型路由和来源追溯的监管行动。监管机构可要求 AI 服务披露：客户提示词何时由另一家服务商处理，或是否被保留用于模型训练。

这类规则无需依赖争议最大的军事归因，也能应对商业隐私风险。它们还会为企业采购方评估 AI 供应商提供更清晰的依据。

更严格的来源追溯要求，将支持 Anthropic 关于隐藏式路由构成安全问题的警告。若回应仅限于地缘政治层面的访问禁令，则意味着政策制定者正在处理身份问题，却忽视了基础设施。

这些军事案例值得密切关注，但不应耸人听闻。Anthropic 并未报告由 Claude 自主控制的武器，也未报告已获确认、用于实战的目标定位系统。它报告的是：AI 在软件、分析、测试、文档和采购等环节中被持续地用于人类主导的工作。

这本身已十分重要。现代机构依赖这些劳动密集型环节，而 AI 能在接近任何形式的自主战争之前，就大幅压缩这些工作。

开发者和企业采购方应通过审视自身的模型供应链来应对。应当追问：哪些模型在处理敏感工作？哪些数据会离开组织？生成的产物在导出后是否仍可审计？

最重要的问题，不在于某一家提供商能否封禁某一组账户，而在于行业能否在由此产生的软件、文档和训练数据脱离其控制之前，既保留有益的访问渠道，又能识别协调一致的滥用行为。