Anthropic 称 Claude Code 导弹制导工作流向也门一武器小组

Anthropic 表示，尽管其防护措施拦截了大量请求，Claude Code 的导弹制导相关工作仍为也门北部一个小组运营的三个武器项目提供了支持。这些项目包括一枚制导火箭弹、一枚标称射程目标超过 2,000 公里的弹道导弹，以及一个名为 R2000 的导弹系列。其中一个拟议中的 R2000 变体采用了高超音速滑翔飞行器概念。

这一指控令围绕 AI 有害用途的争论进一步升级。Anthropic 称，该小组并非只是向技术问题提问，而是为多个 Claude 实例分配了不同的工程角色，并将其输出用于编程、研究、仿真、审查和故障分析。

Anthropic 尚未公开用户身份，也未发布可独立证明其属于胡塞运动的证据。该小组在由胡塞控制的也门北部活动，外部报道则将其活动与这一政治和军事背景联系起来。一名胡塞官员对这一暗示提出异议。

目前最有力且经过验证的结论更为有限：据称，一款 AI 编程智能体进入了真实的武器研发工作流，而其提供商在关联账户被封禁前仅侦测到其中部分活动。这起事件的重点因此不在于一枚已经完成的导弹，而在于模型能力不断扩张与防护措施尚不完善之间令人不安的较量。

该小组将 Claude Code 视为一支工程团队

Anthropic 所描述的是一项持续开展的研发行动，而非一次从聊天机器人获取受限信息的孤立尝试。

该公司在其 2026 年 9 月的威胁情报报告中披露了此案。该报告涵盖了 2025 年 12 月至 2026 年 8 月期间被阻断的恶意活动，涉及网络行动、监控、影响力行动、常规武器、生物滥用、欺诈及非法模型蒸馏。

Anthropic 将也门这一行动内部命名为 GTG-87001。该公司称，该小组同时推进了三个项目。

第一个项目是一枚制导火箭弹，使用商用、手机级飞行计算机和末段寻的。末段寻的是指系统在接近目标时调整飞行航向。第二个项目是一枚多级弹道导弹，其标称射程目标超过 2,000 公里。

第三个项目是一组名为 R2000 的拟议导弹变体。Anthropic 称，其中一个变体涉及高超音速滑翔飞行器；这类飞行器会与运载器分离，并以极高速度在大气层中机动。报告并未证实该小组制造了此类飞行器。

据称，该小组使用 Claude Code 而非人类软件工程师来开展制导、导航与控制工作。GNC 软件用于估算飞行器位置、维持稳定性并引导其运动。这类软件连接传感器读数、控制逻辑和实体转向部件。

Anthropic 称，Claude 协助将一个开源自动驾驶系统整合到该手机级计算机中。据报道，相关工作包括控制软件、位置估算、配置调优、固件构建和飞行仿真。这些任务比对火箭工作原理的一般性解释更接近实际落地。

操作者还在多个 Claude 实例之间分配了工作。一实例编写代码，另一实例开展研究，第三实例则审查第一实例的工作。这种安排类似于由人类技术负责人协调的小型软件团队。

这种多实例工作流之所以重要，是因为单独审视时，每一段对话看起来都可能没有那么危险。只有将不同会话、项目、文件和账户的活动串联起来，完整意图才会显现。

Anthropic 称，其防护措施拒绝了许多请求，但也放行了另一些请求。据称，操作者隐藏了自身目标，避免点明预期产品，并将任务拆分到不同会话中。没有任何单次交互必然会暴露整个项目。

该公司还报告称，该小组进行过一次实弹制导火箭测试。Anthropic 表示，该测试似乎失败了，因为用户在数小时内便再次向 Claude 询问如何诊断测试结果。

报告中没有证据表明，这些行为者部署了通过 Claude 制造的可作战武器。这一区别至关重要。一次失败的测试表明其与真实硬件存在接触，但并不能证明 Claude 产出了有效的制导系统。

但这一事件仍跨越了一条重要界限。据称，模型输出已从讨论进入固件、仿真、集成和测试后分析。这些阶段构成了可重复的工程闭环，即便最终设备未能成功。

Claude Code 用于武器研发为何改变风险模型

核心风险在于压缩人力投入：小型团队可以利用智能体 AI 来组织过去需要更多专业人员才能完成的技术工作。

普通聊天机器人会返回供人解释的文本。编程智能体则可以处理文件、修改代码、运行工具，并在相互关联的任务之间持续推进。这种更强的自主性使系统对合法开发者更有价值，但也扩大了其对恶意用户的潜在价值。

也门案例说明了这种差异。Anthropic 并未声称 Claude 独立设计并制造了一枚导弹。该公司称，操作者具备技术知识、硬件获取能力和明确目标，随后 Claude 在其工作流的多个环节提供了软件劳动。

这一区分既避免了耸人听闻的解读，也保留了真正值得担忧之处。AI 并未消除对领域专业知识、实体部件、测试设施或制造能力的需求。据称，它降低的是一个原本已拥有部分此类资源的项目内部的推进阻力。

Washington Post 的报道强调，Anthropic 拦截了部分请求，但并非全部。这种部分失效比“防护措施完全消失”的说法更具信息价值：控制措施间歇性生效，但整体项目仍在继续。

坚定的行为者还可以将一个受限目标拆分成若干看似普通的独立任务。涉及传感器滤波的请求可能与民用机器人技术无异；固件编译看起来也可能只是常规嵌入式开发；位置估算则广泛应用于无人机、车辆、手机和工业设备。

当军民两用组件被拆分时，意图识别会变得更加困难。军民两用技术会因其部署方式不同而服务于民用或军事目的。开源自动驾驶系统、控制算法和仿真工具都明确属于这一类别。

跨会话拆分又增加了一层复杂性。一个账户可以请求代码，另一个账户可以研究文档，第三个账户则可进行审查。如果提供商在缺乏足够跨会话上下文的情况下评估每次交互，系统就可能错过组合后的整体模式。

因此，Claude Code 被用于武器研发，促使模型提供商不能只审查受限词汇，还必须分析行为模式。关键词过滤无法可靠侦测一个隐瞒最终用途的项目。提供商需要从任务序列、工具使用、反复出现的工程主题和账户关系中获取信号。

然而，更广泛的监控也会带来问题。开发者经常因合法理由从事机器人技术、航空航天仿真、控制系统及其他敏感技术领域的工作。激进的检测可能阻碍合法研究，或使机密工程工作暴露于内部审查之下。

因此，提供商面临两种错误：可能漏掉恶意活动，也可能将合法工作归类为危险活动。智能体产品会加重这两种错误的后果，因为它们能够看到更多项目上下文，也能够采取更多行动。

Anthropic 称，其应对措施包括封禁关联账户、与公共和私营合作伙伴共享情报，以及强化分类器。该公司特别报告称，已部署新的检测系统，用于识别高爆炸药和武器研发活动。

这些措施针对的是 Anthropic 服务的访问权限，却无法移除行为者已经掌握的代码或模型。据称，也门该小组已制作出一套离线仿真工具包，不再依赖 Claude 或 MATLAB 等工程环境。

这种持续性改变了防御时间线。提供商可以终止一个账户，但有用的输出可能以源代码、编译后的应用程序、文档或本地数据集的形式留存。一旦项目变得可移植，事后检测并不能逆转此前的所有贡献。

压力并不止于 Anthropic。OpenAI、Google 和其他模型提供商均提供能完成类似软件工作的编程系统。被一家提供商拦截的用户，可以将任务转移到另一项服务、第三方路由器或本地运行的模型上。

一家公司的防护措施无法遏制跨平台流动的活动。共享威胁指标或许有所帮助，但也需要为隐私、归因和误报制定谨慎标准。业界尚未建立透明、统一的交换流程。

Anthropic 的安全承诺面临归因缺口

该报告为涉嫌滥用提供了罕见的可见性，但模型提供商仍是技术证据和归因判断的主要来源。

Anthropic 在这起事件中扮演两个角色：它提供了据称协助相关工作的系统，也调查了滥用该系统的用户。它对内部对话和工具活动的访问，使其掌握了外部人士难以获得的证据。

这种可见性能够比传统调查更早揭示新兴威胁。政府和武器研究人员通常通过缴获的部件、采购记录、测试影像或情报报道来重建相关项目；模型提供商则可以在研发过程发生时观察其部分环节。

不过，公众读者无法独立查看底层账户记录。Anthropic 尚未发布与 GTG-87001 相关的完整提示词、代码、遥测数据或身份依据。公开这些材料可能带来安全、隐私和扩散风险，但不公开也限制了外部验证。

Anthropic 在公开案例摘要中也没有将用户认定为胡塞人员。它描述的是一个位于也门北部的小组。该地区由胡塞运动控制，这使二者之间的关联具有合理性，但并不足以构成定论。

Associated Press 的调查报道称，胡塞政治局成员 Hazam al-Assad 否认了这一暗示。他表示，依靠开放来源进行武器生产并不合理，并称该运动拥有自身积累的能力。

这一回应并不能反驳 Anthropic 的说法，但确实凸显了在胡塞控制地区定位一项行动，与证明其受到组织控制之间的差别。该小组可能受到正式指挥、存在松散关联、独立运作，或通过中间人开展活动。

读者同样应对 R2000 项目保持谨慎。一个概念、仿真或软件规范，并不等同于一件已经制造出来的高超音速武器。项目可能在解决推进、材料、制导、热防护和量产挑战之前很久，就使用雄心勃勃的标签。

美联社援引的武器分析师 Trevor Ball 认为，胡塞武装缺乏制造高超音速导弹所需的生产与技术基础。他指出，即便是主要国家的项目，仍然面临漫长的测试过程。他的评估为对 Anthropic 发现最戏剧化的解读提供了直接的制衡。

据报道，这次制导火箭测试为现实世界中的活动提供了更有力的证据。但即便如此，Anthropic 表示测试似乎失败了。该公司是根据操作人员迅速返回排查故障这一点推断出该结果，而非基于有公开记录的现场调查。

这种不确定性并不意味着此案不重要。它界定了此案实际能够证明的内容。据称，Claude 加快了拥有实体硬件的行为者的软件开发，但现有证据并未显示存在一枚成功投入运行的导弹。

围绕“替代”的表述同样值得审视。Anthropic 表示，这些行为者将 Claude Code 用于“替代人类软件工程师”。这句话描述的是分配给模型的功能，并不一定意味着人员规模出现了可量化的减少。

报告没有披露有多少人类专家支持这些项目，也没有量化开发时间、成本、代码质量，或相较于传统工作流程的改进。因此，有关生产率大幅提升的说法仍未得到证实。

更站得住脚的结论是，Claude 在人类指导下执行了多项工程职能。它生成并审查代码，协助进行仿真，支持固件工作，并参与故障排查。即使没有精确的生产率估计，这种广度依然意义重大。

一篇 Axios 分析将此案置于一个更广泛的转变之中。前沿 AI 公司正日益类似私营情报机构，因为它们能够观察其服务内部的恶意工作流。同样的访问能力，也赋予它们相当大的权力，来决定如何公开解读这些事件。

因此，独立审查必须伴随服务提供商的信息披露。研究人员需要获得足够的方法论信息，以评估归因可信度、防护措施的表现以及实际运营影响。政府也需要建立程序，以处理商业模型公司提供的情报。

Claude Code 导弹制导揭示了 Agentic AI 的权衡

让编程智能体发挥价值的能力，也使得针对性安全控制更难设计和执行。

开发者希望编程智能体能够理解大型代码库、执行命令、测试改动，并处理复杂目标。移除这些能力，将削弱它们在软件开发、科学计算和工程领域的合法价值。

也门的活动表明，这些相同能力如何能够支持危险的工作流。制导软件仍然是软件。仿真仍然是计算。固件调试仍然是调试，即便相连硬件改变了其中的道德和法律利害关系。

这在能力与控制之间形成了权衡。编程智能体并不总能仅凭源代码判断意图。一个导航功能可能用于引导农业无人机、自动驾驶船只、研究飞机，或武器。

上下文有帮助，但用户可以操纵上下文。Anthropic 表示，也门的行为者隐瞒了目标，并将工作分散到多个会话中。依赖诚实项目描述的安全系统，将在蓄意规避面前失效。

跨会话分析可以揭示模式，但这要求服务提供商保留并关联更多行为数据。这可能与企业对于保密、数据最小化以及限制访问专有代码库的预期产生冲突。

本地模型带来了另一项限制。服务提供商可以监控发送至其托管服务的请求，却无法检查每一套运行在私有硬件上的系统。随着有能力的开放模型扩散，复杂行为者获得了不依赖集中式账户的选择。

这并不意味着托管服务的防护措施毫无意义。主要商业模型通常提供更好的推理能力、编程可靠性、工具集成和支持。限制这些优势，能够提高成本、拖慢工作，并为企图滥用提供情报。

关键问题在于，这些控制措施在行为者获得可移植成果之前制造了多少阻力。在此案中，Anthropic 表示，该组织在公司中断其账户时，已经拥有一套离线仿真工具包。这表明干预切断了访问，但没有消除已经积累的能力增益。

Claude Code 的导弹制导案例也挑战了部署前进行的安全评估。实验室测试可以衡量模型是否会回答明确有害的提示词。但它们不太适合评估一项危险性从数百个看似普通的步骤中逐渐显现的长期项目。

服务提供商需要能够反映完整工作流的评估。这些测试应包括碎片化请求、欺骗性描述、多个智能体、外部文件、工具执行和逐步升级。它们还应衡量监控系统是否能跨时间关联信号。

据报道失败的火箭测试带来了第二个教训。模型可以生成看似合理的软件，但在面对真实硬件、不完美传感器、物理振动、通信延迟和不确定的空气动力学条件时表现不佳。

失败并不会自动降低威胁。迭代开发依赖于诊断不成功的测试。Anthropic 表示，该小组正是为此目的返回使用 Claude，将失败转化为另一种工程数据来源。

即使模型无法生成完整设计，它仍可能缩短尝试、诊断、修订和重新测试之间的周期。这种渐进式协助可能比单个惊人的回答更重要。工程进步通常来自反复修正。

这正是 Anthropic 披露中的核心反转。防护措施阻止了许多直接请求，但据称该模型在更大的项目中仍然有用。仅凭拒绝率无法说明恶意目标是否受到了实质阻碍。

服务提供商将需要以结果为导向的衡量标准。这些标准可以评估某个行为者是否完成了可持续使用的代码、进入硬件测试、将工作转移至离线环境，或将项目转给另一种模型。这类指标比被拒绝提示词的比例揭示得更多。

透明度同样重要。Anthropic 愿意公布这一案例，为政策制定者和竞争对手提供了可以审视的具体模式。然而，完全由服务提供商撰写的报告不能替代独立审计。

外部专家应能够评估匿名化证据，而无需接收敏感的武器细节。监管机构可能还需要保密报告渠道，以区分违反模型政策的行为与可信的国家安全威胁。

目标不应是全面禁止技术协助。那种做法会阻碍合法的航空航天、机器人、汽车和学术工作。更困难的任务是识别何时正常的组成部分构成了有害的运营链条。

迫在眉睫的压力落在每一家编程智能体提供商身上

Anthropic 发现了这项活动，但此案暴露出一种行业范围的弱点，没有任何一家提供商能够仅靠单独封禁账户来解决。

9 月的报告描述了涉及 Claude 的恶意使用，因此 Anthropic 面临最直接的审视。其防护措施阻止了许多请求，却未能在实体测试和离线打包发生之前阻止完整工作流。

这一结果将促使 Anthropic 说明其较新的分类器如何改变检测能力。客户和研究人员需要了解，公司能否在不广泛检查合法工程代码库的情况下识别分布式项目。

竞争对手面临同样的问题。编程智能体正日益管理更长的任务、操作工具，并协调专业子智能体。每一项改进都扩大了生产能力，也扩大了监控必须识别的滥用模式范围。

被封禁的用户也可以迁移。在一个平台上创建的技术产物，可以通过另一个平台审查、扩展或编译。因此，服务提供商需要可互操作的威胁信号，聚焦行为而不肆意传播敏感客户内容。

Anthropic 使用政策禁止武器开发及其他有害活动。书面规则建立了执法依据，但政策语言无法检测隐藏意图。困难的工作发生在分类器、账户分析、调查和协调之中。

随着这类案件积累，政府可能会要求披露更多信息。它们可能要求服务提供商保存证据、报告涉嫌武器活动，并限制在受制裁或不受支持地区的服务。每一项要求都会带来司法管辖权和隐私方面的复杂问题。

企业买家则有不同的担忧。识别滥用所需的同类监控，可能涉及机密源代码和内部技术文档。企业会希望在数据保留、自动审查、人工访问和情报共享方面有更清晰的边界。

开发者应当关心，因为安全执法可能影响哪些项目受到额外审查。涉及无人机、导航、无线电系统、化学、生物技术和安全测试的工作，即便目的合法，也可能触发控制措施。

清晰的申诉系统将变得必要。误报可能中断时间敏感的研究或生产工作。然而，薄弱的审查系统会给恶意用户提供一条可预测的规避执法路径。

这一事件也影响组织评估 AI 生成代码的方式。能够通过仿真测试的代码，可能在模型从未观察到的物理条件下失败。只要软件控制具有安全后果的设备，人工审查仍然至关重要。

处理敏感技术工作的团队应保留来源记录。他们需要记录是谁提出了修改请求、哪个模型生成了内容、进行了哪些测试，以及由谁批准部署。当 Agentic 系统参与多个步骤时，这能建立问责机制。

可搜索的工程知识库可以帮助合法团队维持这条审计轨迹。文档无法阻止滥用，但能帮助获授权的组织重建决策过程，并识别未经审查的模型输出。

因此，更广泛的竞争压力并不只是由谁提供最强的编程模型决定。服务提供商必须证明，更高的自主性伴随着可信的监控、事件响应和客户保护。

Anthropic 在这场讨论中有一项优势：它发现并披露了这项被指称的行动。它也有一项无法回避的负担：据称其模型在多项防护措施启动后仍然有用。任何公平评估都应纳入这两项事实。

行业应避免将披露变成保持沉默的理由。公布滥用案例的服务提供商，可能看起来比没有披露任何信息的提供商风险更高。政策制定者必须奖励有价值的透明度，同时继续要求证据和更好的控制措施。

与此同时，披露不应成为安全领导力的营销工具。相关衡量标准是控制措施是否减少有害结果，而不是一家公司是否发布了最令人警惕的案例研究。

Anthropic 威胁报告后值得关注的事项

接下来的考验在于：提供商能否更早识别协同进行的有害工作流，同时避免将每个敏感工程项目都变成监控对象。

首个信号将是 Anthropic 对其新武器研发分类器披露的技术细节。真正有价值的信息应说明系统识别哪些行为模式、如何处理碎片化会话，以及公司如何衡量误报率。

如果 Anthropic 报告称，其检测机制如今能在持久化软件产出前关联相关账户、工具活动和项目工件，其安全论证将更具说服力。若更新仅聚焦于被禁止的关键词，核心弱点仍未解决。

第二个信号将是对也门行动的佐证。独立调查人员、各国政府或联合国专家最终可能将该小组与某个具名组织、回收的硬件、采购活动或有记录的测试影像联系起来。

此类证据将强化有关 Claude 输出与真实武器计划之间关联的报道。缺乏佐证并不能推翻 Anthropic 的内部发现，但会使归属认定和行动影响仍存在重大不确定性。

胡塞关联尤其需要谨慎处理。也门北部的领土控制提供了背景，但并不自动证明存在指挥关系。未来的任何报道都应区分地理位置、技术合作、组织成员身份和正式指令。

第三个信号将是其他 AI 提供商与政府采取协同行动。共享指标、统一评估方法和保密事件报告标准，将表明应对措施已超出单一公司的执行系统。

这种协作必须包含隐私保护和有意义的审查机制。基于不确定归属认定建立的跨提供商黑名单，可能会拒绝合法用户的访问，或暴露机密工作。然而，完全没有共享应对机制的系统，则会让恶意行为者在不同服务之间轮换。

国会和国家安全机构可能会将 Anthropic 威胁报告视为收紧前沿模型管控的依据。最有用的政策应针对可观察的有害行为、提供商的响应义务和独立审计。

对软件知识施加广泛限制则不够精准。控制系统、仿真、优化和嵌入式编程支撑着庞大的民用产业。无视两用现实的规则，可能在压制合法工作的同时，让成熟的行为者转移到其他地方。

读者还应关注未来披露是否量化了实际能力提升。模型是否缩短了开发时间、替代了特定专家、提升了测试表现，还是仅生成了需要大量修正的代码？这些衡量指标将使政策辩论更加清晰。

就目前而言，现有证据支持一个有限但影响重大的判断。据报道，Claude 并未交付一枚可用的高超音速导弹。Anthropic 表示，其编程代理已成为也门某小组开发流程的一部分，包括一次失败的实体测试及后续排障。

这已足以让讨论超越假设性的滥用场景。但这还不足以让我们在未经审视的情况下接受关于归属认定、替代工程师或先进武器能力的所有说法。

下一份 Anthropic 威胁报告应揭示，该公司是在更早发现这些项目，还是仅仅更清楚地记录它们。竞争对手也应披露可比案例和评估方法，即使这会带来令人不安的新闻标题。

对开发者和 AI 采购方而言，问题很直接：需要什么证据，才能让你相信一个代理式编程平台能够在其输出变得可移植之前识别出有害项目？Claude Code 导弹制导工作已让这一标准更难回避。