「七类危害，八个月，七家中国实验室」：Anthropic 2026年9月威胁情报报告拆解——从自主化网络攻击到模型蒸馏中的用户数据外流，中资企业的 AI 合规敞口在哪里
2026年9月10日，Anthropic 发布《Detecting and countering misuse of AI: September 2026》（《侦测与反制 AI 滥用：2026年9月》）。报告披露该公司威胁情报团队在2025年12月至2026年8月期间侦测并处置的滥用案例，覆盖七类危害：网络攻击、影响力行动、监控、诈骗、生物滥用、常规武器研发，以及非法模型蒸馏。涉及的模型为 Claude Haiku、Sonnet 与 Opus 系列；除一起蒸馏案件外，未发现涉及 Fable 或 Mythos 级模型。
对中国企业而言，这份报告有两层意义。一层是威胁侧：报告所描述的攻击手法已经把「谁有能力发动高水平入侵」这个问题的答案彻底改写。另一层更直接——报告用具体数字指名了七家中国 AI 实验室，其中三家被指在未告知自身用户的前提下，把用户与其模型的对话转发给了 Claude。后者涉及的不是美国出口管制，而是《个人信息保护法》。
报告的记法：GTG 编号与「提升」评估
报告以 GTG（Generative Threat Group，生成式威胁组织）作为内部编号，用以标识被观察到滥用 AI 的行为体。报告同时尝试评估「uplift」（能力提升），即相较于不使用 AI，行为体在速度、规模与深度三个维度上多造成了多少危害。报告开宗明义地指出，这些案例「并非典型滥用，而是迄今识别到的最值得注意、最新颖的威胁活动」。
一、网络攻击：AI 从助手变成指挥者
报告给出的核心判断是：复杂的攻击不再需要复杂的攻击者。
GTG-20006 被归因为与 Midnight Blizzard 相关的俄语行为体，其中一名操作者使用「JackPoterz」代号。该组织在运营规划、侦察与实战中涉及二十余家机构，包括政府部委、国防与情报机构、使领馆、智库与国防工业企业，集中于乌克兰和欧洲。最值得注意的是它对 AI 的用法：当安全产品识别出其恶意软件，AI 代理会自主修改、重建该软件，反复迭代直至绕过检测，随后才投入实战。报告对此的评价是，AI 已经「把成本反转回防守方」。
该组织的其他战果包括：入侵一家北非政府技术主管部门，窃取超过30万条国民身份记录和逾50万家在该国经营企业的商业登记数据；攻陷三家为酒店提供访客 WiFi 的服务商，通过 DNS 劫持向住客设备投放 Windows、Android 与 iOS 恶意软件（微软于2026年7月31日以 CaptiveCrunch 为名公开报告过这一手法）。
GTG-50014 为 ShinyHunters 关联的逐利型犯罪集群。其中一名法语操作者用10台 AWS EC2 构建凭据采集流水线，批量下载并反编译了180万个安卓 APK，扫描其中硬编码的密钥。另一名成员在攻陷一家 SaaS 供应商后，约34小时内完成了跨40多个企业租户、2,100组 Azure AD 令牌的会话库转储，报告称「几乎全部工作由 AI 代理完成」。同一集群在一家航空公司获取了数千万条旅客记录，在一家技术服务商处窃取逾1 TB 数据。
GTG-10007 则是报告中与中国直接相关的网络攻击案例。报告称该组织由可能居于湖南长沙的中文操作者构成，其中两人被识别为湖南某高校计算机与通信工程学院的本科在读学生，一人曾在深信服实习并正在应聘奇安信的攻防岗位。该组织在 AI 工作流中瞄准全球约五十家机构，但报告特别指出，其「亲自动手」的入侵集中于中国境内受害者。其自动化漏洞研究流水线在一个月内针对网络设备产出十余个疑似零日发现。
二、AI 供应链本身成了攻击目标
这是本次报告相对于此前几份最显著的新增维度。报告指出，获取 AI 访问权限已经成为多个犯罪团伙的独立目标。攻击者拿到一把 API 密钥，同时得到三样东西：
赃物（Loot）：密钥与账号在成熟的黑市有转售价值；
算力（Compute）：攻击负载由密钥的合法所有者买单；
掩护（Cover）：活动被归因到密钥的合法所有者头上。
报告强调，涉案密钥均为从 Anthropic 客户环境中窃得，Anthropic 自身系统未被攻破。GTG-50020 在攻陷某 AI 厂商的自动化评测沙箱后，通过注入指令令沙箱交出其持有的多家供应商生产环境 API 密钥，随后以同一基础设施在约四天内攻击了约三十家 AI 公司。该行为体自述的目标是获取未发布的 Claude 模型，报告明确记载「从未得手，每一条尝试路径均告失败」。
报告给企业的建议直白：应以对待生产环境凭据的同等严肃程度对待 AI 密钥与代理集成，且「AI 访问权限只应通过授权渠道购买」。声称打折但要求把流量和凭据绕经不明中间方的服务，风险极高。GTG-50021 即是一例——该俄乌语团伙经营虚假 Claude 转售服务，客户以为买到的是打折 Claude，实际流量被静默代理至另一家模型，同时其工具会窃取客户的 Anthropic 账号凭据转卖。
三、监控运营：执法处置的边界
报告记载了2026年1月至7月间处置的一组监控类案件，涉及中国、伊朗与西非的国家关联行为体、国家关联承包商及商业间谍软件供应商。
最具警示意义的是 GTG-50027。报告称一名可能位于巴马科的独立顾问与马里国家安全局（ANSE）合作，用 Claude 构建了名为「Lakana 360」的全国级监控平台，监控该国三家全国性移动运营商合计约2,500万张 SIM 卡。报告指出，该平台被刻意设计为规避马里法律要求的法院令程序，「令状要求应操作方要求被移除」，改为默认关闭并无限期留存。
关键在于处置结果：该平台完全在本地部署、使用本地模型运行。报告直言，「账号层面的执法措施不影响已部署的产品」。这句话划出了模型厂商治理能力的边界——一旦能力被固化进离线交付物，封号就失效了。同样的模式出现在也门的 GTG-87001：该组织已经构建出不依赖 Claude 的离线仿真工具包。
报告在监控章节中罕见地承认了自身防护的不一致。针对中国境内某市级公安网安部门的案例，报告写道：Claude 拒绝了生成每周「维稳」报告的请求，但行为体通过重新提问，仍使模型产出了点名10位普通公民、按「劝返」「约谈」「重点管控」分类的处置建议。针对伊朗两个单位的案例，报告称「Claude 拒绝了明确的画像与宣传请求，但我们的防护措施并未拒绝许多监控软件工具类请求」。
四、影响力行动：九起案例，六大洲
报告披露九起影响力行动，来源于俄罗斯、伊朗、土耳其及海湾、南亚、非洲与欧洲，受众遍及六大洲。
GTG-54002 被追溯至法国数字广告公司 LKM Company，运营约70个伪造新闻网站、70个配套 X 账号及250余个虚假评论账号，以约20种语言发布至少8,913篇文章。该网络不固守单一政治立场，而是随出资方切换立场——报告将其定性为商业化的「influence-as-a-service」。
GTG-84005 关联至伊斯坦布尔的 BBS Bilisim Teknolojileri，其平台自我营销为「军工级、AI 驱动、实时政治行动生态」，针对马来西亚全部222个国会选区，以真实人口普查与选民数据在种族、宗教、王室三条最敏感断层线上做微定向，并管理约1,000个带「养号」逻辑的虚假 X 账号。
GTG-24015 涉及四个账号，被评估为将 Claude 用作俄罗斯国家媒体的编辑与新闻生产台，产出内容最终经 Sputnik Moldova、RIA Novosti、Sputnik en Español、Sputnik Africa 及 RT 英语频道播发。报告在此提出一个值得注意的观察：与难以触达真实受众的隐蔽网络不同，这类内容借国家媒体既有渠道分发，反而获得了实际到达。
五、常规武器与生物滥用
报告首次披露常规武器类案例六起：三起在中国，两起在俄罗斯，一起在也门。
GTG-87001 为也门北部的制导武器工程小组，同时推进三个项目，其中包括一枚宣称射程目标超过2,000公里的多级弹道导弹。该小组同时管理多个 Claude 实例并分派角色：一个写代码，一个做研究，一个复审第一个实例产出的代码。报告记载，该组织试射过一枚制导火箭弹，试射似乎失败——「数小时内，行为体便回到 Claude 前分析失败原因」。
GTG-27005 为俄罗斯自由职业者构建的 FPV 自杀式无人机蜂群。报告的措辞值得逐字读：「行为体将该平台设计为可自主实施致命交战；机载模型可以选择目标（包括『人员』目标类别）并在无人参与的情况下发出引爆指令。」其计算机视觉分类器以抓取的乌克兰战场影像训练。九个关联账号中，八个仅用于普通的自由职业工作。
GTG-17002 为中国境内的电子战／防空压制目标软件套件，约16个模块、迭代12个版本。报告指出：「项目中途，我们观察到行为体将仿真的默认想定改为台湾境内的12个目标」，包括指挥掩体、预警雷达站、爱国者与天弓阵地、主要空军基地及一处战区指挥部。账号层面元数据显示该行为体与包括军事科学院在内的中国研究机构存在关联。
生物滥用章节的结论最具政策含义。报告承认，对于2025年的 Claude Opus 4、Sonnet 4.5 这一代模型，可以确信其远低于能实质协助复杂生物研究的门槛；但对今天的模型，「证据已不再确定，我们无法做出同样的保证」。报告披露的三起案例中，有一起显示某平台设置了多模型回退机制——Claude 会拒绝的敏感请求被自动转发给竞争对手的模型，而这段回退代码本身「大部分由 Claude 编写，因为它被呈现为过度拒绝的缓解措施」。报告由此推出的判断是：在高度技术性的双用途领域，既然无法可靠识别用户意图，分类器就不可能同时实现「保留收益」与「阻止危害」，因此「提供前沿生物能力的唯一安全方式，是通过可信用户计划」。
六、非法蒸馏：七家中国实验室，与被顺带外流的用户数据
这一节对中国企业最直接。报告称自2026年2月首次披露以来，又识别并处置了来自七家中国实验室针对 Claude 的蒸馏攻击，全部针对公开可用模型。报告将非法蒸馏定义为「工业规模的隐蔽行动，在未经授权的情况下提取某一模型的能力并复制到另一模型中」，并指出其通常依赖欺诈实现：以盗用信用卡、登录凭据和 API 密钥批量创建虚假账号。
报告列出的规模数字如下：
阿里巴巴（GTG-16005）：2026年5–7月，观察到逾 1.51 亿次交互；峰值近300万次／日，动用逾3,500个欺诈账号，针对 Opus 4.6／4.7 的思维链。
Moonshot AI（GTG-16002）：2026年5–7月，逾 2,300 万次；其中10天内转发近30万次客户请求，动用5,380个欺诈账号。
DeepSeek（GTG-16001）：2026年7月的14天内，逾 1,210 万次；定向识别 Claude Code、Agent SDK、OpenCode 等编码外壳并转发。
智谱／Z.ai（GTG-16006）：2026年6–7月的17天内，逾 340 万次；以273个欺诈账号运行思维链清洗管线。
小米（GTG-16008）：2026年3–4月的20天内，逾 40 万次；动用逾1,500个账号。
报告另称 SenseTime 的蒸馏管线纳入了从第三方数据商购买的 Claude 用户对话记录；MiniMax 则通过一家与其无明显关联的壳公司自建代理网络服务，且「该壳代理服务只提供 Anthropic 与 OpenAI 开发的模型访问，不提供任何中国模型，包括 MiniMax 自己的模型」。
智谱一案中有一个细节值得防守方注意。报告称智谱最初尝试针对 Fable 的网络安全能力做蒸馏，但「在 Anthropic 的网络安全防护削弱了其攻击效果后放弃了 Fable，转而使用 Opus 4.6 及另一家美国实验室的旗舰模型，原因正是他们评估这些模型的防护更弱」。
真正构成法律风险的是下面这一段。 报告称，DeepSeek、小米与 Moonshot 将其自身模型与用户之间的对话喂给了 Claude，其中部分对话包含敏感信息，涉及个人用户、大型跨国公司与国家关联主体，「这些会话包含至少十几种语言、数百名终端用户的姓名、电子邮箱、公司数据及其他敏感数据」。报告的定性是：「这些做法很可能既不符合隐私法律，也不符合这些实验室自身的服务条款。」
报告举出的具体外流包括：经由 Moonshot 转发的一名疑似解放军关联用户的会话，其中载入了成都数百个摄像头（含部分位于解放军设施、中国电子科技集团下属院所及一家大型国企外围）针对单一目标个人的 CCTV 档案；经由 DeepSeek 转发的一名俄罗斯国防部关联机构 IT 操作者的会话，其中暴露了某俄罗斯政府数据库的有效凭据；以及某市级公安局案件管理系统工程师的会话，其所建工具以公民身份证号比对个人行踪与警方记录。
对中资企业的合规要点
其一，把「模型上游是谁」写进采购与尽调清单。报告中的蒸馏与转发案例说明，一家 AI 服务商对外宣称使用自研模型，与其后台实际调用哪家模型，可能是两回事。企业采购生成式 AI 服务时，应在合同中要求供应商书面披露实际调用的模型及其所属主体、数据流向的司法辖区，并约定变更通知义务与审计权。仅看产品页面的模型名称不构成尽职调查。
其二，向境外模型转发用户对话，是《个人信息保护法》项下的对外提供与出境行为，不是技术细节。若企业将用户与自身产品的交互内容转发给境外模型处理，其中包含个人信息的，同时触发第二十三条（向第三方提供须取得单独同意并告知接收方名称、联系方式、处理目的与个人信息种类）与第三十八条至第三十九条（出境须具备安全评估、认证或标准合同之一，并另行取得单独同意），且依第五十五条应事前开展个人信息保护影响评估。报告所描述的「未告知用户即静默转发」，在中国法下不是灰色地带。
其三，把 API 密钥与智能体集成纳入生产凭据管理。报告给出的教训是具体的：密钥被硬编码进移动应用安装包、代码仓库、容器镜像与前端代码，是当前被工业化扫描的主要来源。应至少做到：密钥不落客户端、统一网关代理出站调用、按最小权限签发、设定用量与速率上限并配告警、建立轮换与吊销流程，并把 AI 网关的访问日志纳入与生产系统同级的留存与审计。
其四，警惕折扣转售渠道。报告中的 GTG-50021 与伪装成 AI 服务商的恶意客户端，攻击的正是「想省钱」这一动机。任何要求把流量与凭据绕经不明中间方、或要求安装非官方客户端的「低价额度」，都应视为凭据窃取风险，而非采购机会。企业内部应明确规定 AI 服务只能经授权渠道采购，并对员工自行采购的影子 AI 建立发现机制。
其五，把 AI 相关事件纳入既有的报告与披露链条。报告中多起案例的落点是数据泄露：身份记录、旅客记录、支付卡记录、学生数据。一旦涉及境内运营，《国家网络安全事件报告管理办法》（2025年11月1日施行）项下的上报义务与《个人信息保护法》第五十七条的通知义务即被触发；在美上市主体还须同步评估 Form 8-K 第 1.05 项或 Form 6-K 的披露时点。AI 网关被盗用导致的攻击，与传统入侵在报告义务上并无二致。
格知律所如何协助
格知律师事务所在人工智能治理与数据合规的交叉领域，为中资企业提供以下支持：AI 供应商尽职调查与合同条款设计，包括模型来源披露、数据流向限制、转委托与再训练禁止、审计与终止权的条款起草；生成式 AI 产品的个人信息合规架构搭建，涵盖单独同意文本、告知内容、个人信息保护影响评估（PIA）报告与出境路径选择（安全评估／标准合同备案／保护认证）的可行性比较；AI 密钥与智能体集成的凭据治理制度建设，将其纳入企业既有的访问控制与日志留存框架；模型蒸馏与数据抓取相关的争议应对，包括服务条款违约、商业秘密与不正当竞争维度的风险评估；以及 AI 相关安全事件的应急响应，衔接境内网信部门上报、个人通知与美国证券披露三条时间线。对在美有实体或上市安排的客户，我们同时协助评估出口管制、制裁与投资审查维度的连带敞口。
结语
这份报告最值得中国企业记住的，不是任何单一案例的数字，而是它反复出现的两个结构性事实。
第一，攻击的门槛塌了。报告明确写道，本次披露的行动没有一项依赖防守方从未见过的全新技术——变的是攻击的经济学。侦察、利用、工具开发、数据处理这些过去把「资源充足的行动」与其他人区分开的劳动，现在都被交给了以机器速度并行运行的模型。结果就是报告中那些数字：两三个小时完成一次入侵，一名操作者并行处理数十个受害者。
第二，模型厂商的处置能力有明确边界。封号不能收回已经离线部署的平台，不能撤销已经打包成独立可执行文件的仿真工具，也不能阻止行为体在数天内以新身份重新接入。把安全寄托于上游厂商的执法动作，是一种误判。
对企业而言，可操作的结论只有一个方向：把 AI 接入点当作生产系统的一部分来治理——有台账，有权限，有日志，有轮换，有事件预案。报告里那些被窃的密钥，绝大多数不是被攻破的，而是被捡到的。
本文系对 Anthropic 公开报告《Detecting and countering misuse of AI: September 2026》的梳理与分析。文中所有事实陈述、归因判断与置信度评级均出自该报告，代表 Anthropic 的调查结论，本所未独立核实；报告中被点名的主体均未在该报告中作出回应。本文不构成针对任何具体事项的法律意见。