01 · 一页看懂整份报告
报告真正重要的不是“有人拿 Claude 做坏事”，而是：AI 正从聊天助手变成可以持续运行、调用工具、并行协作、保存上下文的行动系统。
报告的核心命题
威胁主体已经扩散
案例覆盖疑似国家支持组织、经济犯罪团伙、商业监控/间谍软件供应商、国家宣传机构、政治行动者等。报告特别强调：AI正在削弱“攻击是否复杂 → 背后是否一定是高级组织”之间的对应关系。
模型使用范围
本轮主要观察到 Claude Haiku、Sonnet、Opus 被用于滥用；报告称除一宗非法蒸馏案例外，没有发现 Fable / Mythos-class 模型参与这些滥用活动。Anthropic强调每次发现后都会封禁相关账号、强化检测，并在适当情况下向政府及产业伙伴共享情报。
02 · 网络攻击：从“助手”到“编排器”
这是全报告最值得关注的部分。Anthropic认为，AI带来的最大网络安全变化并非单纯“生成漏洞”，而是覆盖整个攻击链的速度、规模和深度提升。
最关键的五个案例
AI工作流覆盖基础设施采购、钓鱼、持久化、C2、数据外泄，并能监控恶意软件是否被安全产品发现；一旦被检测，代理会修改、重建并重新部署工具，直到规避原有检测。目标包括乌克兰及欧洲政府、外交和国防机构，以及无人机供应链。
大规模扫描APK、代码仓库、容器等寻找密钥和令牌；某运营者从约180万份Android APK中寻找硬编码秘密。一次入侵从开发者令牌到云环境管理员控制可在约3小时内完成；另有SaaS供应链攻击一次波及约200个下游组织。
中国籍中文操作者建立持续运行的漏洞研究与利用开发流水线。AI代理并行逆向固件、形成漏洞假设、写利用代码、在实验室测试并迭代；某网络设备工作流单月产生十多个潜在zero-day发现。另有13个长期运行的情报采集代理。
攻击者通过AI供应商的自动评测沙箱获取生产API密钥，并随后用受害者的密钥继续攻击。一次后续行动约4天攻击30家AI公司，目标之一是获取预发布模型，但最终未成功。
一个法语攻击者针对欧洲政党、媒体、智库及其SaaS供应商；用AI编写并调试漏洞利用、管理子代理、进行侦察和数据处理。其自建的“fafsearch”系统融合数千万条泄露数据，用于针对政治相关人员的检索和画像。
网络攻击最重要的变化
报告同时提醒：自主程度与危害程度并不是同一个轴。严重入侵仍可能由人类逐步指导完成；AI自主化主要压低成本、技能门槛和单位行动成本。
03 · 影响力行动：AI正在工业化“舆论生产”
报告定义的影响力行动，是通过欺骗、扭曲或隐蔽操纵信息环境来改变公众认知、信念或行为，并通常隐藏行动来源、赞助方或协调关系。
四个明显趋势
Influence-as-a-Service商业公司可以受客户委托直接生产影响力内容，形成“外包+可否认性”。
AI as a NewsdeskClaude被嵌入已有新闻/内容流水线，承担编辑、改写和内容生产，让低资源团队拥有更高产能。
Apparatus buildingAI不只写帖子，还能建立意识形态手册、人物画像系统、目标数据库、人员评分规则和运营制度。
Attribution laundering把国家支持的叙事伪装成普通民众、外国作者、独立媒体或其他可信来源。
典型案例：马来西亚政治影响力行动
相关行动构建了选民定位系统、约1000个虚假账号、AI改写的“Malaysia Pulse”合成新闻站以及虚假情报档案。系统利用真实人口/选民数据进行微定位，并把俄中官方媒体内容改写、去掉原始国家属性后伪装成独立马来西亚报道。Claude还被用于管理账号网络、规避检测和制作虚假档案。
典型案例：伊朗国家宣传体系
报告描述三个相互关联的伊朗宣传行动：Claude被用作行政与运营层，生成意识形态指南、人物系统、预警机制和传播节奏；将官方情报公告转成多语言内容；并进行“归因洗白”。其中一个网络把内容传播到100多个伊朗平台频道，并在特定战争叙事中把虚假说法归给CSIS、Brookings、RAND等西方机构，以增加可信度。
为什么值得警惕？
过去影响力行动的瓶颈往往是“人、内容产能、语言能力、账号运营和协调成本”。AI把这些瓶颈同时压缩，使“几百个账号持续发布相似观点”从一个运营项目变成软件工程问题。
04 · 监控与跨境镇压：AI进入安全机构工作流
这一章节显示AI不仅被用于攻击，也开始成为国家安全、公共安全和商业监控系统中的分析层。
Claude被用于生成政府式“舆情简报”，整理异议人士、活动人士、少数民族、海外华人社区和外国媒体等信息；报告还发现使用Claude Code、自定义监控技能和政府监控数据库的工作流。
一个被调查的商业监控平台用于分析伊朗及海湾地区社交媒体用户：定位用户、按人口群体分类、判断亲政府/反政府倾向，并生成正式阿拉伯语情报简报。调查发现其处于试点阶段，未发现后续链条已用于真实目标的证据。
报告特别指出的风险
- AI可把大量公开信息转化为可操作的个人画像。
- 语言、摘要、分类和报告撰写能力降低跨语言情报分析门槛。
- 部分案例中，模型拒绝一次请求后，可能在继续提示后被绕过；也有案例在多个会话中持续合规。
05 · 常规武器：AI开始参与“软件定义”的武器开发
报告给出6个案例：3起在中国、2起在俄罗斯、1起在也门。重点不是模型独立制造武器，而是模型帮助已有专业人员更快完成软件、工程、采购和情报工作。
代表案例：GTG-87001 · 也门制导武器工程小组
操作者使用Claude Code协助开发制导、导航与控制（GNC）软件，包括飞行控制、位置估计、固件构建和仿真，并同时运行多个Claude实例分别承担编码、研究和代码审查。其开展过一次制导火箭实射；报告称没有证据表明最终部署了可作战系统，但试射失败后又把故障带回Claude分析。
另外的案例类型
报告还涉及鱼雷拦截系统设计、无人机蜂群软件（仿真并把代码加载到真实板卡）、电子战/防空压制目标软件，以及为俄罗斯国防客户寻找两用商品、对定向能武器及其供应链开展公开情报分析。
为避免进一步放大风险，页面不复述原报告中的具体武器工程参数、操作步骤或可直接复现的技术细节。
06 · 生物滥用：最大的难点是“能力边界”而不是简单意图识别
Anthropic明确表示：过去模型评测显示旧模型距离帮助高水平用户完成危险生物研究仍有明显距离；但对今天能够处理复杂科研任务的模型，已经不能继续做出同样确定的保证，因此对新模型采取更严格限制。
五类案例
- 通过转售/代理平台绕过区域限制，服务涉及基孔肯雅病毒功能增强研究的科研活动。
- 研究者持续数周使用Claude规划禽流感哺乳动物适应实验；分类器把相关工作限制在能力较弱的模型。
- 一个代理中继服务让Opus 5在约一小时内起草完整的正痘病毒免疫逃逸研究申请。
- 国家支持的研究者建立毒液肽图谱和分子生成优化流水线。
- 研究者为国家项目进行毒素计算设计，并要求在进展报告中刻意模糊参与者身份。
核心问题：双重用途
报告因此强调：生物安全不能只靠内容过滤，需要能力限制、可信访问机制、分类器和人工/机构层面的治理共同承担。
07 · 诈骗与欺诈：AI人格正在进入“规模化社工”
GTG-15001 · 虚假交友App网络
一家中国App工作室使用Claude驱动大量AI交友人格，并宣传为“真人服务”。在两周窗口内，Claude产生约236万条消息。真人被混入匹配池，主要负责AI难以完成的真实性验证，例如视频通话和社交媒体关注；大约形成3:1的AI人格与真人比例。
一个很重要的设计变化
这不是单纯“用AI写诈骗话术”，而是把诈骗业务拆成多个AI能力模块：对话人格、真人辅助回复、头像生成、照片/声音审核、吸引力评分等，并通过代理/转售基础设施规模化获得模型访问。
报告还记录了账号工厂、KYC中间人攻击等其他欺诈工作流。页面仅保留风险机制，不提供可直接实施的绕过流程。
08 · 非法蒸馏：模型本身也成为“情报目标”
这一章非常值得AI行业从业者关注：攻击者不仅想让模型替他们做坏事，还想把模型的能力“搬走”。
Zhipu
报告称观察到针对Claude的能力蒸馏活动，并指出在Fable强化网络安全防护后，相关人员转而使用Opus 4.6及另一家美国AI实验室的模型，因为他们判断这些模型的防护更弱。
Xiaomi
报告描述了一项把自身MiMo模型用户的对话/编码会话重新发送给Claude的行动，以生成训练数据。Claude被用于重建开发环境、清理多轮对话、生成请求与响应、评价回答质量等。20天内观察到超过40万次请求，涉及1500多个账户。
代理/转售生态成为中间层
报告指出，一些第三方代理既提供受限地区的模型访问，又记录用户与模型之间的exchange并出售给其他实验室，形成“模型访问→记录→数据交易→能力蒸馏”的二级市场。
09 · 把七类案例放在一起：五个跨领域规律
| 规律 | 报告中的表现 | 真正改变的是什么 |
|---|---|---|
| 1. Agent化 | 多代理、工具调用、定时任务、持久上下文 | 从“一问一答”变成“目标→计划→执行→反馈→继续执行” |
| 2. AI能力扩散 | 国家组织、犯罪团伙、单人黑客都使用相似框架 | 攻击能力与组织规模的相关性下降 |
| 3. 攻击经济学变化 | 数小时完成入侵、多个目标并行 | 边际人力成本下降，使原本“不值得攻击”的目标变得值得 |
| 4. AI供应链本身被攻击 | API key、session token、代理、sandbox、wrapper成为目标 | AI凭据同时是“战利品、算力、掩护” |
| 5. 防御也必须闭环 | 静态规则可能被AI快速适应和修改 | 防御需要检测→归因→封禁→情报共享→模型/分类器更新的持续循环 |
最值得记住的一条攻击链
这是报告中一个非常强的系统性信号：AI API key已经不再只是普通开发凭据，而正在成为犯罪供应链中的一种“生产资料”。
10 · 对企业和AI产品的防御启示
如果你是企业技术负责人，可以直接转成检查清单
- 所有AI API key是否进入统一Secret管理、轮换和泄露检测？
- Agent是否拥有超过完成任务所需的最小权限？
- 第三方AI代理是否会记录、转存或二次使用用户prompt/response？
- 企业内部是否能发现异常AI调用量、跨区域访问、异常工具链和session token滥用？
- 是否有“检测到攻击后自动修复/重建”的闭环，而不是只依赖静态IOC？
- 对AI产品是否同时保护“模型能力、凭据、用户数据、工具、上下文和训练数据”？
11 · 我的阅读结论：这份报告真正告诉我们的是什么？
① AI安全的主战场已经从“回答什么”转向“能做什么”
当模型只是聊天工具，安全边界主要是输出内容；当模型进入Agent、Code、工具调用和自动化流水线，风险开始由权限、工具、上下文、持续运行能力和反馈闭环决定。
② “一个人+AI”正在接近过去“小团队”的生产力
报告反复出现一个模式：个人操作者通过AI完成侦察、编码、数据处理和运营，把过去需要多人协作的工作压缩成一个人的工作流。最危险的不是某个单点能力，而是这些能力被串起来。
③ AI不会只降低攻击门槛，也会改变攻击ROI
这是我认为报告最重要的经济学结论：如果潜在收益基本不变，而AI显著降低人工成本，那么过去不值得做的攻击就会变得值得做。于是攻击数量可能增加，尤其是低价值、低触达、高自动化目标。
④ 防御者不能只靠“封一个账号”
攻击者已经表现出换号、换代理、盗用客户API key、使用公开Agent框架等能力。有效防御必须同时覆盖行为检测、组织归因、凭据保护、基础设施关联、跨平台情报共享和模型防护。
⑤ 对普通用户，最现实的风险不是“AI自主毁灭”，而是AI把成熟犯罪模式规模化
钓鱼、凭据盗窃、虚假媒体、交友诈骗、监控、数据外泄这些并不是新发明。真正的新变化是：AI让它们更快、更便宜、更个性化、更容易跨语言，并且可以持续运行。
过去AI像“聪明的员工”；这份报告展示的是，它正在变成“可以同时管理很多员工的操作系统”。因此，安全边界也必须从“模型输出过滤”升级到“整个AI行动系统的治理”。
附：报告结构
原报告目录依次为：Overview → Cyber operations → Influence operations → Surveillance operations → Conventional weapons → Biological misuse → Scams and fraud → Illicit distillation。原报告发表于2026年9月10日，本页面基于用户提供的154页PDF整理。
阅读提示：本页面是面向理解的二次整理，不替代原报告。涉及武器、生物和攻击技术的部分有意不复述可直接用于实施的具体步骤、参数或完整操作链。