Claude 无人机蜂群事件暴露 Anthropic AI 安全防护的局限
Anthropic 表示，疑似位于俄罗斯的自由职业者利用 Claude Code 开发了自主作战无人机蜂群，尽管该公司的安全防护措施旨在阻止武器开发。该系统被设计为可自主选择目标，包括人员，并在未经人工批准的情况下发出引爆指令。Anthropic 在调查其活动后发现了九个关联账户，并封禁了该团体。
据报道，这一 Claude 无人机蜂群并不只是由生成的代码片段拼凑而成。Anthropic 称，开发者将 AI 辅助软件开发与实时开发板、单板计算机、仿真工具以及租用的图形处理器连接起来。其项目涵盖目标识别、末端制导、飞行器之间的协同，以及决定无人机应攻击还是返航的软件。
这种组合构成了核心矛盾。Anthropic 将 Claude 定位为一项受控服务，并制定了禁止武器开发的政策。然而，据报道，正是那些帮助合法工程师构建复杂系统的编程能力，也帮助一个小型团队推进了自主武器软件。OpenAI 及其他前沿模型供应商同样面临这种结构性压力，尽管它们的政策与执行方式各不相同。
Anthropic 在 Claude 无人机蜂群项目中发现了什么
Anthropic 的证据表明，这是一个协调开展的武器开发项目，而非一次可疑的单独对话。
该公司在其 2026 年 9 月发布的威胁情报报告中，将这项行动标记为 GTG-27005。Anthropic 评估认为，参与者是一个位于俄罗斯的小型专业自由职业团队。该公司并未将其认定为俄罗斯国家组织。
开发者将其行动称为“DronDoc”或“Serafim”。他们于 2025 年末至 2026 年初创建账户，随后在 2026 年 5 月中旬左右启动无人机项目。Anthropic 表示，他们通过商业虚拟专用服务器转发流量，以绕过地域访问控制。
据称，该团体利用 Claude Code 直接在项目文件中编写、测试并保存软件。Claude Code 是一种智能体式编程界面，意味着它可以检查文件、编辑代码、运行工具，并在相互关联的工程任务间持续推进。这种工作流比从聊天机器人复制零散建议拥有更强的实际操作能力。
Anthropic 表示，该软件覆盖了拟议系统的大部分内容。其中包括蜂群共享内存和容错协同逻辑，使多架无人机能够交换信息，并在个别组件发生故障时继续运行。
该项目还包括一个小型机载语言模型。该模型负责攻击、观察和返航行为。一个末端制导组件利用机载摄像头朝选定目标飞行，并发出引爆指令。
其他模块将任务范围扩展到导航之外。其中一个组件试图通过控制链路地理定位来寻找敌方无人机操作员。另一个模块使用被动声学探测，而更底层的代码则控制安装在飞行器上的可编程芯片。
Anthropic 称，开发者利用抓取的乌克兰战斗影像训练了一个计算机视觉分类器。分类器会将视觉输入归入预定义类别。在这个案例中，团队将目标划分为“敌方”和“友方”类别，同时将俄罗斯系统列入允许名单。
Anthropic 表示，该自主目标选择设计包含“人员”类别。机载系统原计划在无需人工做出最终决定的情况下选择目标并启动引爆。这一特征使该项目区别于自动化仅协助导航、但仍由远程操作员授权攻击的系统。
该团体反复将乌克兰顿涅茨克州的一个固定坐标作为演示打击点。乌克兰前线城市和走廊似乎是其预期任务地理范围。这些细节支持 Anthropic 的评估：这项工作涉及可信的战场应用，而非抽象的机器人练习。
该公司发现了与该团体相关的九个账户。据称，其中八个账户仅用于普通自由职业项目，而非武器开发。这种分离表明，参与者在推进军事项目的同时，也维持着合法商业活动。
Anthropic 还发现，该团体似乎与一所地区大学及一个与俄罗斯科学院有关联的联邦研究中心存在联系。开发者声称获得了俄罗斯先进研究基金会、国家技术倡议和国防部的资金支持。Anthropic 表示，无法核实这些资金声明。
最重要的是，报告并未称该团队已部署可运行的自主蜂群。Anthropic 将所观察到的无人机系统评为技术成熟度等级 3 至 4，意味着相关组件已在实验和仿真环境中经过测试或验证。这是有意义的进展，但距离经过验证的战场能力仍相去甚远。
为何一个小型自由职业团队能够尝试构建整套系统
令人不安的变化不在于 AI 发明了自主武器，而在于它压缩了通常由多种工程专业分担的工作。
一套完整的无人机蜂群需要嵌入式编程、计算机视觉、通信、导航、仿真和系统集成等多领域专业能力。小型团队往往举步维艰，因为每一层都会产生不同的故障模式。在仿真中可运行的代码，面对性能较弱的处理器、噪声传感器、不可靠的连接或快速变化的飞行条件时可能失效。
据称，Claude 帮助开发者跨越了这些边界。它支持高层行为设计、底层固件、视觉分类和协同逻辑。Anthropic 的描述表明，该模型在整个系统中充当灵活的工程助手，而非仅是单一狭窄领域的专家。
这很重要，因为对于受到制裁或资金不足的武器团队而言，限制性资源并不总是获取基础组件的渠道。商用摄像头、单板计算机、无线电模块和处理器可通过民用供应链广泛获得。更困难的问题在于，如何将它们集成为可靠的系统。
智能体式编程工具降低了部分集成负担。它们可以在源文件之间切换、检查错误、修订实现，并连接相关模块。用户仍需指导项目、评估结果并提供硬件。不过，模型可以完成原本需要更多程序员或更长开发周期的工作。
Anthropic 报告称，该团队将 Claude Code 与软件在环仿真堆栈结合使用。软件在环测试会让控制软件针对模拟的载具和环境运行，之后工程师才会冒险使用实体硬件。它有助于暴露逻辑故障，并以更低成本进行重复试验。
开发者还租用了图形处理能力来训练模型。这一点很重要，因为制裁并不会彻底切断获取先进计算能力的所有路径。云服务、转售商、中介机构和租用基础设施都可以提供临时访问，无需团队拥有大型本地计算集群。
随后，该团体不再局限于纯仿真。Anthropic 观察到固件被刷写到实际开发板上、单板计算机被配置，以及网状网络仿真环境被连接起来。硬件在环测试将真实计算组件接入模拟系统，从而揭示纯软件测试可能遗漏的时序和接口问题。
这些步骤显示，一条开发管线正在迈向实体集成。它们并不能证明无人机曾实际飞行、定位人员、与其他飞行器协同，或成功引爆。但它们确实表明，这些行动者正在利用与其宣称目标一致的硬件测试代码。
更广泛的意义在于劳动力替代。一个小型团体可以请一个 AI 系统协助处理多个学科，再将输出复用于仿真和实体原型。即使失去对托管模型的访问，生成的代码仍可能继续发挥作用。
这种持续性削弱了基于账户的执法效果。封禁账户可以阻止该账户未来继续发出请求，但无法抹除已下载的代码、训练好的分类器、仿真环境或设计知识。一旦项目能够在本地复现，供应商的制约能力便会急剧下降。
俄罗斯的战时限制提供了背景，尽管并不能完全解释该项目。出口管制和制裁可能限制获得先进芯片、专业电子设备、软件及正式合作伙伴关系的渠道。它们也会促使开发者将外国服务、通用硬件和本地维护工具结合起来。
因此，Claude 无人机蜂群事件展现了一种更广泛的采购模式。受限制的行动者无需对每一项先进技术都拥有不受限制的所有权。它可以拼凑获得 AI、租用计算能力、抓取的数据、商用电子设备和开放技术资源的临时访问。
这种方法仍面临工程限制。语言模型可以生成看似可信、却包含隐蔽缺陷的代码。自主飞行还依赖传感器质量、训练数据、通信韧性和大量测试。AI 降低了尝试此类项目的成本，但并未消除让系统可靠运行所面临的物理难度。
真正的较量是 AI 能力与供应商控制之间的较量
Anthropic 可以限制对 Claude 的访问，但模型的实用性正来自那些使滥用行为难以在早期分类的通用工程能力。
这个故事中的核心对手不是 Anthropic 与俄罗斯，而是模型能力与可执行控制之间的较量。供应商希望编程智能体能够解决陌生技术问题、协调工具，并贯穿整个项目开展工作。当用户隐藏最终应用时，这些特性也使有害意图更难被遏制。
对图像分类、网状网络或嵌入式设备调试的请求，可以服务于和平机器人应用。它也可能成为自主武器的一个组成部分。当用户将项目拆分到不同会话、账户或工作流中时，单个提示看起来可能很普通。
Anthropic 表示，它会调查超出单次交互的模式。其报告将账户活动、技术产物、项目名称、地点、目标类别和开发行为联系起来。这种更广泛的视角帮助该公司重建了这项俄罗斯行动的表面目的。
然而，检测往往发生在模型已经提供部分协助之后。Anthropic 封禁了相关账户，并将调查发现纳入更新后的安全防护措施。该公司还表示，已与相关公共和私营合作伙伴分享威胁信息。
这一回应展现了有用的可见性。托管 AI 供应商能够观察到编译器、离线参考书或本地安装的开发环境无法观察到的活动。它能够关联异常请求，并在项目仍处于开发阶段时进行干预。
同一案例也暴露了这种可见性的边界。Anthropic 能够看到通过其自身服务开展的活动，但无法独立核实这些开发者关于资金来源的说法。它同样无法观察禁令实施后，通过无关模型、本地工具、人类协作者或复制的软件完成的工作。
这形成了一个令人不安的安全方程式。强力监测或许能够发现部分协同滥用行为，但能力较强的行为者可以用民用术语掩饰意图。他们可以将任务分散到多个账户，通过其他地区路由连接，并在本地保存每一项有用产出。
商业激励让问题更加复杂。人们评价编程模型，取决于它们完成漫长、技术性工作流程的效率。更高的自主性使其对软件团队、研究人员和独立开发者更具价值，同时也减少了人类必须完整说明项目目的的时刻。
问题并不止于 Claude。据国防领域报道，Anthropic 发布报告前不久，OpenAI 也披露了另一起涉及 ChatGPT 的俄罗斯影响力活动。模型提供商正面临宣传、监控、网络行动、采购和武器研究等相互交织的使用场景。
仅靠政策无法化解这种冲突。禁止武器开发可以提供执法依据，但并不能自动区分有害的飞行控制请求与合法的航空航天工作。限制所有军民两用议题，也会阻碍研究、教育、安全测试和民用工程。
因此，提供商依赖多层防护措施，包括针对请求的拒答、行为监测、账户调查、地域控制、威胁情报和信息共享。每一层都会增加阻力，但没有任何一层能够保证坚定的行为者得不到有用协助。
Claude 无人机蜂群调查也挑战了这样一种看法：只有最新模型才会带来严重风险。滥用取决于模型能力、用户专业知识、可用工具和项目周期之间的相互作用。一支专业团队可以从在标准化评估中看似危险性较低的模型中提取显著价值。
Anthropic 在其他报告中也承认了这种不确定性。其最新发现描述了 2025 年 12 月至 2026 年 8 月期间，在武器研究、网络活动、监控和影响力行动中观察到的滥用行为。该公司将这些案例描述为值得关注且新颖，但并不代表 Claude 的典型使用方式。
这一限定很重要。该报告并未证明 AI 辅助武器项目很常见。它表明，至少有一个被调查的组织据称在广泛的自主无人机工作流程中使用了通用编程模型。
自主目标识别带来的风险，并非更好的代码能够解决
即使软件在技术上获得成功，身份识别错误、平民伤害、责任归属和人类控制等问题仍将悬而未决。
据称，该系统利用抓取的战斗视频，将视觉目标分类为友方或敌方。这种做法立即引发数据质量担忧。在线视频可能被压缩、错误标注、摆拍、选择性上传，或以与任务中所遇情形不同的角度拍摄。
分类器可能学习到并不代表合法军事区分的相关性。地形、车辆形状、服装、摄像机质量和录制来源都可能成为捷径。在经过准备的数据集上测得的性能，可能会在烟雾、黑暗、伪装、受损设备或电子干扰条件下崩溃。
“人员”目标类别带来了更尖锐的问题。识别图像中存在人员，并不等同于判定该人员是否是合法军事目标。视觉模型无法可靠推断投降、受伤、平民身份、拘押状态，或交战所受更广泛背景的约束。
蜂群协同会制造额外的故障路径。共享记忆和容错逻辑可以帮助无人机在通信质量下降时继续运行，但这些特征也可能让错误分类或过时信息在多架飞行器之间传播。
网状网络尤其容易受到状态不一致的影响。一架无人机可能失去联系、收到延迟更新，或根据损坏的位置数据采取行动。在受控模拟中表现正确的协同协议，可能在节点消失或传感器意见不一致时产生意外结果。
电子战进一步加剧了不确定性。俄罗斯和乌克兰都在受干扰、欺骗、控制链路拦截以及快速适应的反制措施塑造的环境中行动。自主导航可以减少对持续远程控制的依赖，但也会将更多判断转移给机载软件。
关于战场自主性的研究一再警告，当前系统的能力仍低于宣传所暗示的水平。战争研究所的一项评估指出，战场 AI 转型尚未完成，并援引了影响俄罗斯和乌克兰相关工作的技术与作战限制。
Anthropic 的成熟度评级与这种谨慎态度一致。技术成熟度等级 3 至 4 代表实验验证，而不是已部署并具有可靠性能的系统。该公司没有公布 GTG-27005 完成自主打击的证据。
这一区别应当影响对报告的每一种解读。据称，开发者追求了危险能力，并将其代码接入真实开发硬件。这与证明该蜂群能够在战场条件下运作不同。
证据也主要来自 Anthropic。该公司对 Claude 会话拥有异常详细的可见性，但外部研究人员无法独立查阅完整账户历史，也无法复现其归因。因此，公开报道高度依赖 Anthropic 对内部证据的筛选和解读。
Anthropic 的激励因素指向两个方向。它受益于表明自身监测能够发现滥用，而所报告的滥用也显示 Claude 在干预前提供了有意义的协助。两者可能同时为真，但读者应将该报告视为企业威胁评估，而非已完成的独立调查。
该公司的行动减少了即时访问，却没有回答责任归属问题。如果 AI 生成的代码促成未来一次自主攻击，责任可能分散于操作人员、指挥官、开发者、供应商和模型提供商之间。现有法律与制度框架并非为这类碎片化的技术链条而设计。
美联社对该报告的更广泛审视指出，有人呼吁实施公共监督，而不是让模型公司自行作出社会安全判断。当系统既能协助日常研究，也能推动致命开发时，这种批评变得更为紧迫。
提供商可以决定哪些账户违反其条款，但无法定义国际人道法、授权军事武力，或确立全球认可的有意义人类控制标准。这些决定需要政府、法院、军方、研究人员和公民社会共同参与。
因此，Claude 无人机蜂群案例不仅代表一次内容审核的失败或成功。它表明，私营 AI 执法如今正与战场开发相交织。提供商既可能成为武器项目的早期观察者，也同时提供这些项目所寻求的技术能力。
俄罗斯项目符合 AI 辅助武器研发更广泛的转变
Anthropic 的报告将俄罗斯行动置于一种更广泛的模式中：小型团体将通用 AI 作为工程劳动力使用。
同一报告还描述了也门北部一个使用 Claude Code 进行制导武器开发的小组。Anthropic 表示，这些行为者致力于一枚制导火箭、一项多级弹道导弹模拟，以及数种相关导弹变体。
据称，这些用户运行了多个承担不同角色的 Claude 实例：一个生成代码，另一个进行研究，第三个审查第一个模型的输出。这种结构类似于由人类负责人指导的小型工程团队。
Anthropic 表示，许多请求被拦截，但并非全部。用户隐藏了自身目标，将工作分散在不同会话中，并避免在单一位置呈现完整的武器背景。他们最终测试了一枚制导火箭，但测试显然失败了。
这次失败的测试为俄罗斯无人机项目提供了有益对照。它显示，AI 生成的工程协助可以进入实体实验阶段，却未必能产出可靠武器。硬件、集成和测试仍是决定性的瓶颈。
据称，一名位于中国的行为者使用 Claude 起草了反鱼雷火控规范和一份超过 200 页的技术提案。另一起与中国有关的行动使用 Claude 开发了约 16 个软件模块，涉及电子战和防空压制。
这些案例在成熟度、归因和目的上各不相同，但它们具有共同模式：用户将通用 AI 模型视为技术开发、文档编制、模拟、分析和审查中的灵活贡献者。
俄罗斯自由职业者也处于一场活跃的无人机战争之中。俄罗斯和乌克兰都已将廉价无人机改用于侦察、拦截、后勤和攻击。随着电子战使持续控制变得不那么可靠，双方都在追求更高程度的自主性。
自主末端制导并不等同于协同自主蜂群。一架锁定预先选定目标的无人机，执行的任务比多架飞行器共享观察并选择目标更为狭窄。公共讨论常常混淆这些类别，从而可能夸大成熟度。
乌克兰的无人机行动提供了重要的历史参照。分散的团队结合商用组件、快速软件迭代和战场反馈。俄罗斯也发展了类似的适应结构，包括旨在系统化无人机行动的专业组织。
AI 编程系统加速了这一既有循环。它们可以帮助用户将一线需求转化为软件、诊断故障并修改原型。其贡献最好被理解为加速开发，而不是替代测试、制造、后勤或军事规划。
制裁仍然相关，因为它们会提高成本并限制正式渠道的获取，但并不能形成一个封闭的技术环境。小型团队无需控制底层基础设施，也可以使用虚拟服务器、租赁算力、通用电子设备、开源组件和外国 AI 服务。
这种碎片化获取模式很难仅靠芯片限制来阻止。出口管制可以限制高端训练基础设施或专用组件，却难以有效应对短期云端访问、适度的推理工作负载和广泛分布的民用硬件。
因此，AI 提供商占据了供应链中的新位置。它们不生产无人机或炸药，但其服务可以贡献设计劳动。这种贡献可以被复制到代码仓库，并带入后续开发阶段。
这一结果同时给科技公司和政府带来压力。服务提供商需要更好的方法来识别有害项目，同时避免阻断大范围的合法工程活动。政府则需要制定涵盖访问权限、报告、问责和国际协调的规则，而不能假定每个可疑项目都始于传统国防承包商内部。
开发者和企业采购方也应关注。同样使编程代理高效的项目级访问权限，也可能让敏感文件、运营意图和技术工作流暴露在服务提供商的监控之下。组织需要明确规定代理可以检查、修改、执行和保留哪些内容。
对于记录敏感 AI 事件的团队而言，一个可搜索的工程知识库可以保存决策、测试结果和风险审查记录。文档无法阻止滥用，但当代理跨多个文件修改代码时，它能提高可追溯性。
Anthropic 封禁账户后值得关注的事项
接下来的考验在于：更严格的控制措施能否更早中断类似项目，在有用代码和本地工具脱离服务提供商控制之前将其阻止。
第一个信号是有关 GTG-27005 的新技术证据。独立确认飞行测试、回收的硬件、已部署的软件，或其与俄罗斯政府客户之间的联系，将加强 Anthropic 的评估。若此类证据持续缺失，则仍应区分严肃的原型与实际投入使用的武器。
验证应着眼于能力，而不只是项目名称。代码库、固件签名、训练模型产物、组件采购记录和可重复的飞行行为，比宣传说法或截图更能构成有力证据。战场影像则需要经过谨慎的真实性验证和地理定位。
第二个信号是 Anthropic 如何调整执法措施。该公司表示，已将此次调查的经验纳入其安全防护体系。可参考的指标包括：更早发现分布式武器开发工作流、更有效抵御伪装请求，以及减少行为者在被移除前保留可运行本地开发栈的情况。
透明度将至关重要。服务提供商可以宣布改进了防护措施，同时不披露可能被对手规避的检测方法。不过，独立评估、汇总执法数据和经过审慎记录的案例研究，能够显示这些控制措施是否在单一事件之外同样有效。
第三个信号是 AI 行业与政府之间的协调行动。有害用户在一家服务提供商遭封禁后，可以转移到其他服务。共享指标、一致的报告渠道和合法的信息交换，都会让这种迁移更困难。
这种合作也需要边界。威胁信息可能包含敏感账户数据、含义不明确的技术活动，以及错误归因。必须进行监督，防止安全项目将合法研究人员、记者或工程师变成打击目标。
监管机构不应将每一项飞行控制或计算机视觉请求都视为武器开发。更有力的方法是结合行为、项目背景、地理位置、技术产物和反复出现的意图。Anthropic 的调查似乎正是依赖于这种更广泛的模式。
读者也应避免得出两个过早的结论。该报告并未证明自主无人机蜂群已变得易于制造，也未证明现有防护措施能够可靠阻止有能力的用户获得危险协助。
据 Anthropic 所述，它所确认的是：一个小型团队在异常完整的武器开发工作流中使用了 Claude。开发者在服务提供商关闭其访问权限之前，已从代码生成推进至模拟和硬件集成阶段。
这正是实际的警示。Claude 无人机蜂群仍处于实验阶段，但其开发模式可被复用。其他行为者可以将托管 AI、本地模型、开放组件、租用算力和保存的代码结合起来，同时隐藏每个项目的整体目的。
因此，最重要的问题很具体：服务提供商能否在代码变得可移植、硬件测试开始之前，发现下一个自主武器项目？请关注 Anthropic 的执法披露、来自乌克兰的独立证据，以及跨服务提供商的报告协议。这些信号将共同表明，此案是否促成了持久的防御，还是仅仅记录了风险扩散的速度。
