Anthropic发布2026年9月AI威胁报告：Claude被用于网络攻击、监控、诈骗和模型蒸馏

我们过去讨论AI安全时，经常会想到一个问题：

“ChatGPT或者Claude会不会被黑客拿去写恶意代码？”

但Anthropic最新公布的一份威胁情报报告显示，真正值得警惕的变化已经不再只是“AI帮助写代码”。

2026年9月10日，Anthropic发布《Detecting and countering misuse of AI: September 2026》威胁情报报告。

报告整理了Anthropic在2025年12月至2026年8月期间调查并阻断的一系列Claude滥用事件，涉及七大领域：

• 网络攻击
• 监控行动
• 影响行动和宣传
• 诈骗
• 生物研究风险
• 传统武器研发
• 非法模型蒸馏

其中既有疑似国家支持的行动，也有普通网络犯罪团伙、商业监控公司、诈骗平台和个体攻击者。

Anthropic认为，一个明显趋势已经出现：

AI正在从攻击者的“助手”，逐渐变成能够参与整个任务流程的“执行者和协调者”。

这份Anthropic报告到底讲了什么？

这不是一份关于“理论上AI可能造成什么危险”的研究。

Anthropic披露的是其威胁情报团队在真实平台使用中发现并调查的案例。

报告所覆盖的账号曾使用Claude Haiku、Sonnet和Opus等模型。

Anthropic同时特别说明，这些案例并不代表普通Claude用户的典型行为，而是公司目前发现的一批最值得关注、最具新颖性的恶意或高风险使用方式。

也就是说，不能看完报告以后得出：

“很多Claude用户都在做网络攻击。”

更加准确的理解应该是：

随着前沿AI模型能力提高，一小部分高风险用户已经开始探索如何把AI嵌入真实攻击、监控和欺诈系统中。

最大的变化：复杂网络攻击不再一定需要大量高级黑客

Anthropic在报告中提出了一个非常重要的判断：

“复杂攻击”已经越来越不能用来判断攻击者本身是不是一个复杂组织。

过去，一次持续的大规模网络攻击通常需要一个团队。

团队里可能包括负责漏洞研究、钓鱼、恶意软件开发、服务器管理、数据整理以及后续分析的不同成员。

但AI Agent开始压缩这种能力差距。

Anthropic发现，一些原本资源有限的攻击者现在能够借助AI完成过去需要多个专业人员参与的流程。

AI可以参与：

侦察 → 编写工具 → 建立基础设施 → 处理窃取的数据 → 修改工具 → 再次部署。

这可能是整份报告最重要的趋势之一。

Claude已经从“回答黑客问题”发展到参与完整攻击流程

Anthropic将这种变化概括为：

From assistant to orchestrator，也就是从助手变成协调者。

报告中的部分攻击并不是黑客不断打开Claude，手动问一句：

“下一步应该怎么办？”

而是攻击者已经开始搭建由AI驱动的自动化工作流。

这些系统可以持续执行任务。

人类主要负责：

选择目标、调整整体任务，以及检查最终窃取到的信息。

这已经非常接近一个：

人类下达目标，AI Agent负责大量中间工作的攻击系统。

案例一：AI自动修改恶意工具来躲避安全软件

Anthropic报告中的GTG-20006案例特别值得关注。

Anthropic称，这个被其关联到俄罗斯国家背景网络间谍活动的行为体，建立了一套高度自动化的AI工作流程。

攻击系统会监控自己的工具有没有被安全产品识别。

如果发现某个恶意组件已经被安全软件检测，AI Agent就会继续修改和重新构建相关工具。

然后重新部署并再次检查。

这形成了一个循环：

被发现 → 修改 → 重新构建 → 再部署 → 再检查。

过去防守方更新一次检测规则，可以明显提高攻击者下一次行动的成本。

但如果AI能够快速自动完成重新修改，攻击者适应新检测规则的速度就可能显著提高。

为什么这对网络安全行业很重要？

传统杀毒软件和EDR的一部分防御逻辑，是识别：

“这个文件或者这种行为以前见过。”

攻击者为了绕过新规则，需要重新修改自己的工具。

这需要时间。

而Anthropic担心的是：

AI可能让“攻击工具变种生成”的成本越来越低。

以后防守方刚刚更新检测方式，Agent就可以继续尝试产生下一版工具。

这相当于攻防双方的自动化程度同时提高。

AI正在覆盖整个Cyber Kill Chain

从报告披露的案例来看，AI已经不局限于某个单独步骤。

Anthropic观察到Claude被用于目标研究、网络侦察、钓鱼基础设施搭建、数据整理、代码开发以及维护攻击工具等不同环节。

这就是为什么Anthropic认为：

真正的风险并不只是“AI会不会自动发现漏洞”。

更加重要的是：

AI让整个网络攻击链条变得更快、更便宜、更容易自动化。

监控系统也是这份报告的重要部分

报告另一大主题是：

Surveillance，也就是监控。

Anthropic表示，其调查发现多个不同国家和地区的相关行为体曾使用Claude辅助建立或者运营监控系统。

AI在这些案例中的价值主要不是“发明新的监控技术”。

而是帮助处理以前需要大量分析人员才能处理的数据。

例如把：

• 社交媒体
• 聊天群
• 新闻
• 公开账号
• 数据库

中的大量信息自动整理成人物档案和分析报告。

100多个WhatsApp群和Telegram频道被转成结构化数据

Anthropic披露的一个案例中，相关行为体把来自100多个WhatsApp群以及几十个Telegram频道的大量聊天信息交给Claude处理。

Claude被用于把这些信息整理成结构化中文数据。

Anthropic称，相关分析还被用于识别一些可能更容易受到影响或针对的个人。

例如通过：

经济困难、家庭分离、政治立场等信息建立人物特征。

这个案例展示了大模型一个很容易被忽视的能力：

AI并不一定创造新的监控数据，它可以让已有的海量监控数据突然变得“容易分析”。

AI正在降低“大规模监控”的人工成本

过去一个机构即使收集到百万条消息，也不代表这些消息全部有价值。

因为还需要人去：

阅读、分类、翻译、匹配人物、整理关系。

大模型最擅长的恰恰就是这些工作。

因此AI可能改变监控系统的瓶颈：

过去难的是：

“怎么处理这么多信息？”

未来越来越可能变成：

“能够获取多少信息？”

Anthropic披露一个涉及约2500万SIM卡的系统

报告中规模最大的监控案例之一来自马里。

Anthropic称，一名可能与马里国家情报机构合作的顾问使用Claude辅助开发了一套名为：

Lakana 360

的系统。

按照Anthropic的调查，该系统覆盖马里三家全国移动运营商，大约涉及2500万张SIM卡。

Anthropic称，系统可以围绕电话、短信、语音和其他电信数据构建分析能力，并建立针对特定电话号码的人物档案。

需要注意的是，Anthropic同时说明：

最终部署的系统并不是依赖Claude在线运行。

Claude主要被用于系统设计和软件开发，而最终系统采用本地模型运行。

这说明AI平台即使后来封禁相关账号，也未必能够删除已经帮助开发完成的外部软件。

AI还被用于武器相关软件开发

这份报告首次大规模披露Anthropic发现的传统武器相关滥用案例。

Anthropic表示，过去一年其调查过多个利用Claude进行武器设计软件、情报分析或者采购研究的行为体。

报告列出了来自中国、俄罗斯和也门相关地区的多个案例。

这里需要特别注意：

这些国家归因和组织关联主要来自Anthropic自己的威胁情报分析，不应自动理解为司法或政府最终认定。

一个行为体用Claude开发约16个电子战模块

Anthropic称，在GTG-17002案例中，一个位于中国的行为体使用Claude的聊天、编程以及Agent工具开发了一套中文电子战软件。

整个软件包含大约：

16个模块。

并进行了：

12个版本的迭代。

Anthropic称，这套软件涉及雷达分析、电子干扰效果评估以及与防空相关的目标分析。

这件事情真正值得注意的地方不是某一段代码。

而是：

AI被作为持续的软件工程劳动力，参与一个复杂军事软件项目从逻辑到界面的多轮开发。

AI武器风险已经不只是“教人做武器”

过去谈AI武器风险时，经常想象：

“用户问AI一个危险问题，AI回答了一段说明。”

但现在的风险开始变得更加系统化。

AI可能参与：

需求分析、软件工程、模拟、数据整理、研究以及长期迭代。

换句话说：

风险从“提供知识”，正在向“提供研发生产力”移动。

生物安全：Anthropic披露5类高风险研究案例

生物研究是这份报告中风险最高、同时也最难判断的一部分。

因为很多生物技术本身具有典型的“双重用途”。

同一个研究方向可能用于：

开发治疗方法。

也可能提高某种病原体或毒性物质的危险程度。

Anthropic此次披露了五类可能支持高风险生物研究的案例。

其中涉及病毒研究、病原体适应性研究、免疫逃逸相关研究以及毒性分子研究等方向。

出于风险控制考虑，Anthropic没有公开部分机构、国家和具体技术细节。

为什么生物安全比网络安全更难判断？

黑客攻击通常更容易判断是否存在恶意意图。

例如：

“帮我窃取某个账号密码。”

目的相对明确。

但生物研究完全不同。

比如研究一个病毒如何逃避免疫系统：

可以帮助科学家开发疫苗。

也可能被用于危险研究。

因此Anthropic认为，单纯依赖关键词分类器很难解决所有高端生物安全问题。

模型越强，这类Dual Use问题就越突出。

AI诈骗也开始向“工业化”发展

报告中还有一个非常具有普通用户现实意义的案例：

AI恋爱诈骗。

Anthropic发现一个位于中国的行为体运营了20多个虚假约会应用。

平台中并不全是假人。

为了让系统更加真实，运营方同时雇佣真人Gig Worker参与。

Anthropic调查发现，系统大约采用：

3个AI角色：1个真人。

真人主要负责AI比较难伪造的互动，例如实时视频以及社交媒体操作。

两周发送约236万条AI聊天消息

在Anthropic观察到的两周窗口中：

Claude驱动的虚拟角色发送了大约236万条消息。

其他AI模型则分别负责：

图片、吸引力评分、语音审核以及为真人员工生成回复建议。

这已经不是传统意义上的：

“诈骗分子用ChatGPT写几句话。”

而是：

多种AI模型共同组成一个大规模诈骗运营系统。

为什么AI特别适合放大恋爱诈骗？

传统恋爱诈骗非常依赖人工聊天。

诈骗者同时维护100个目标已经非常辛苦。

但生成式AI可以：

持续聊天、记住人物背景、调整语气，并同时服务大量用户。

这会改变诈骗活动的经济模型。

以前最大的成本是：

人。

AI降低这一成本以后，诈骗活动就可以扩大规模。

这份报告还有一个非常敏感的主题：非法模型蒸馏

报告最后很大篇幅讨论了：

Illicit Distillation，也就是Anthropic所称的“非法蒸馏”。

蒸馏本身并不是非法技术。

它是一种很常见的AI训练方式。

简单来说：

让一个能力较强的Teacher Model回答大量问题，再利用这些问答训练一个更小的Student Model。

问题在于：

如果在未经模型厂商授权的情况下，大规模秘密获取另一个模型的回答甚至推理数据用于训练，Anthropic就把这种行为定义为：

Illicit Distillation。

Anthropic称发现7家中国实验室相关蒸馏活动

Anthropic表示，自2026年2月以来，其已经发现并阻断来自7家中国AI实验室的相关活动。

报告点名涉及：

• Alibaba
• Moonshot AI
• DeepSeek
• Zhipu / Z.ai
• Xiaomi
• SenseTime
• MiniMax

这里必须强调：

以下数字和行为归因均来自Anthropic自己的调查和技术判断。

截至报告发布后的首批媒体报道，多家被点名公司的公开回应仍然有限，因此这些内容应该以“Anthropic称”来理解，而不是直接写成法院已经确认的事实。

Anthropic称阿里蒸馏活动超过1.51亿次交互

Anthropic把GTG-16005归因于Alibaba相关运营者。

按照报告：

2026年5月至7月期间，Anthropic观察到超过1.51亿次相关交互。

峰值接近：

每天300万次。

Anthropic称，这些活动主要针对Claude Opus的推理数据，用于Agent、软件工程、长期任务以及模型训练研究。

如果该归因准确，这将是Anthropic目前披露过规模最大的一次此类活动。

Anthropic称Moonshot曾把部分Kimi请求转发给Claude

报告中一个尤其值得普通AI用户关注的案例涉及Moonshot AI，也就是Kimi开发公司。

Anthropic称，其发现部分用户以为自己正在使用Kimi模型，但相关请求实际上被通过代理系统转发给Claude。

在其中一个10天窗口中，Anthropic称观察到接近：

30万条客户请求

被转发到其系统。

Anthropic进一步称，从2026年5月至7月，与Moonshot相关的蒸馏活动累计超过：

2300万次交互。

真正值得注意的是用户数据问题

这一部分甚至可能比“模型是谁训练的”更加重要。

因为如果用户把：

• 公司代码
• 内部数据
• API Key
• 个人信息
• 监控资料

提交给一个AI服务，而服务商又把请求发送给第三方模型，那么用户的数据实际接触范围就会发生变化。

Anthropic声称，在其调查到的部分转发请求中包含：

个人资料、企业代码、公司数据甚至真实访问凭证。

这也是这份报告对普通AI用户最现实的提醒之一：

选择第三方AI平台时，不能只问“它背后用什么模型”，还要问“我的数据最终会被发送到哪里”。

DeepSeek、小米等也被Anthropic点名

Anthropic报告还把多起类似活动归因于DeepSeek、Zhipu、小米、SenseTime和MiniMax相关实体。

其中Anthropic称：

DeepSeek相关活动在2026年7月的14天中超过1210万次交互；Zhipu相关活动在6月至7月的17天中超过340万次；小米相关活动在3月至4月的20天中超过40万次。

这些都是Anthropic基于平台日志、账户行为、代理基础设施和请求模式作出的归因。

因此在没有更多独立证据公开之前，阅读这些数字时应当始终保留：

“这是Anthropic报告中的归因结论”

这一前提。

AI厂商为什么如此重视Chain of Thought蒸馏？

因为模型最有价值的能力之一不仅是最终答案。

还包括：

它解决问题的方法。

如果一个实验室能够收集大量高端模型在：

• 复杂编程
• 数学
• Agent
• 数据分析

任务中的优质推理数据，就可能显著降低训练类似能力所需要的成本。

因此Anthropic一直在减少外部用户直接获取原始内部推理轨迹的能力。

Anthropic怎么防止Claude被蒸馏？

根据报告，Anthropic正在使用多层防御。

其中包括：

识别异常账户网络、检测代理服务、建立专门的提取行为分类器、批量封禁相关账户，并对部分高风险访问要求进行身份验证。

Anthropic还调整了模型推理信息的返回方式。

目标是：

让用户仍然能够看到有用的解释，但减少别人批量提取完整内部推理过程用于训练其他模型的价值。

为什么Anthropic说新一代Claude更安全？

报告有一个很容易被忽略的细节。

在大部分恶意使用案例中，攻击者使用的是Haiku、Sonnet或者较早的Opus。

Anthropic表示，除一个非法蒸馏案例外，没有发现报告中的其他滥用案例涉及最新的Fable或Mythos级模型。

Anthropic把这部分归因于新模型加入了更加严格的网络安全、生物安全和高风险任务防护。

不过这里同样需要注意：

“这次没有观察到”不等于“未来不可能出现”。

报告覆盖的是特定时间窗口中Anthropic自己能够发现的事件。

这份报告真正说明了什么？

如果只把Anthropic的报告理解成：

“Claude被坏人用了。”

其实会低估它的意义。

真正重要的是AI滥用模式正在发生三个变化。

第一，从单点能力变成完整工作流

攻击者不再只让AI写一封钓鱼邮件。

而是把AI连接到工具，让它参与整个过程。

第二，从专家工具变成能力放大器

以前需要多名专家完成的任务，可能被更小的团队甚至个人完成。

第三，从聊天变成Agent

风险最大的变化可能是：

AI开始执行，而不仅是回答。

为什么AI Agent比传统聊天机器人风险更大？

传统聊天机器人即使给出错误内容，通常还需要人类把建议转化成行动。

Agent则可以直接：

浏览网站、运行代码、处理文件、查询数据库、调用外部工具。

也就是说，中间这层“人类手工执行”的缓冲正在减少。

这会同时带来巨大的生产力，以及更高的滥用风险。

企业使用AI需要重新考虑哪些安全问题？

对普通企业而言，这份报告最大的价值不是研究国家级黑客。

而是提醒企业：

AI已经开始成为新的权限边界。

以前企业会严格控制：

谁可以访问数据库？

谁可以运行生产环境命令？

以后还需要问：

AI Agent可以访问什么？

如果一个Agent同时拥有：

邮箱、Slack、GitHub、云服务器、数据库和浏览器权限，那么一次错误理解或者Prompt Injection产生的影响会比普通Chat大得多。

企业不应该只看模型有多聪明

未来选择企业AI平台时，可能需要同时考虑：

问题	为什么重要
模型能访问什么	决定潜在影响范围
是否记录Agent行为	方便安全审计
高风险操作是否需要确认	防止自动执行错误行为
数据是否会转发第三方	关系到隐私和商业秘密
权限是否最小化	减少账号被滥用后的损失
是否能快速撤销权限	发生事件后及时止损

普通用户需要担心Claude吗？

没有必要因为这份报告就认为使用Claude本身非常危险。

Anthropic披露的是其平台发现并阻断的高风险滥用案例。

这些事件并不代表普通用户日常使用Claude的典型风险。

反过来看，公司能够公开这些案例，本身也说明AI平台已经开始建立类似传统网络安全公司的：

Threat Intelligence威胁情报能力。

未来OpenAI、Anthropic、Google等大型模型厂商可能不仅需要开发模型。

还必须像云服务商和安全公司一样：

持续监控、归因、封禁和共享威胁情报。

Anthropic 2026年9月威胁报告常见问题

Anthropic这份威胁报告什么时候发布？

Anthropic于2026年9月10日发布《Detecting and countering misuse of AI: September 2026》，主要覆盖2025年12月至2026年8月期间调查到的Claude滥用案例。

报告涉及哪些AI安全风险？

主要覆盖网络攻击、监控、影响行动、诈骗、生物风险、传统武器研发以及非法模型蒸馏七大领域。

Claude真的被用于网络攻击了吗？

根据Anthropic自己的威胁情报调查，是。报告描述了多个使用Claude辅助网络侦察、攻击工具开发、钓鱼、数据整理和其他网络行动的案例。Anthropic表示相关账户已被封禁或采取其他阻断措施。

Claude真的被用于政府监控吗？

Anthropic报告称，其发现多个与国家机构、承包商或安全组织相关的行为体使用Claude开发或者运营监控分析工具。不过具体国家和组织归因主要来自Anthropic自己的调查判断。

什么是AI模型蒸馏？

模型蒸馏是利用能力较强模型的输出训练更小模型的一种技术，本身是正常机器学习方法。Anthropic所谓“非法蒸馏”特指未经授权、大规模秘密提取Claude能力和推理数据的行为。

Anthropic真的指控阿里、Kimi和DeepSeek蒸馏Claude吗？

是。Anthropic报告把多起大规模活动归因于Alibaba、Moonshot、DeepSeek等中国AI实验室。不过这些属于Anthropic发布的技术归因和指控，阅读时应该与经过法院或独立调查最终确认的事实区分开。

Anthropic为什么不公开Claude完整思维链？

其中一个重要安全原因就是防止大规模提取模型推理数据用于蒸馏。Anthropic正在通过隐藏原始推理轨迹、检测异常提取行为等方式降低这种风险。

最新版Claude更安全吗？

Anthropic表示，Fable和Mythos等较新模型增加了更严格的网络安全和生物安全防护。本次报告的大部分实际滥用案例发生在Haiku、Sonnet和Opus等模型上，但这并不能证明新模型未来不会受到攻击者尝试。

总结：AI最大的安全变化不是“知道更多”，而是“能做更多”

Anthropic这份2026年9月威胁报告真正值得关注的，并不是某一个黑客案例，也不是某一家被点名的AI公司。

它展示的是一条越来越清晰的发展路径：

生成式AI正在从知识工具，变成执行基础设施。

当AI只是聊天机器人时，恶意用户主要利用它：

写文章、生成代码、寻找信息。

当AI变成Agent以后，它开始可以：

研究 → 编程 → 调用工具 → 分析数据 → 根据结果继续修改 → 自动执行下一步。

而这种能力对正常用户非常有价值。

同样也会被恶意行为体利用。

Anthropic这次披露的网络攻击、监控、诈骗、武器研究和模型蒸馏案例，看起来属于完全不同的领域。

但背后其实存在一个共同点：

AI把过去需要大量人力的复杂知识工作自动化了。

对正常企业来说，这是生产力。

对攻击者来说，同样也是生产力。

所以未来AI安全真正需要解决的问题，可能已经不再只是：

“这个模型会不会回答一个危险问题？”

而是：

“当模型拥有浏览器、代码、数据库和真实系统权限以后，我们如何控制它能够代表用户做什么？”

这可能才是Claude、ChatGPT以及下一代AI Agent真正进入现实工作以后，最重要的安全问题。