Claude 置身入侵链之中：Anthropic 2026 年 9 月威胁报告

Anthropic 于 2026 年 9 月 10 日发布了其第四份威胁情报报告，检测与反制 AI 滥用：2026 年 9 月。这份 154 页的文件涵盖了其威胁情报团队在 2025 年 12 月至 2026 年 8 月期间所挫败的活动，而其中最具体的危害数字只需一段就能说明：一个被 Anthropic 追踪为 GTG-20006 的间谍行为体——报告称其归因“与将该行为体与 Midnight Blizzard 联系起来的公开报道一致”——从北非某政府技术管理机构窃取了 VPN 凭据，接管了其中央账户服务器，并带走了超过 30 万条国家身份记录以及超过 50 万家公司的商业登记数据。此次披露的归档记录，连同其置信度评级及前后归档条目，保存在 Orca AI Incident Archive。

这份报告是一家厂商披露其自身产品被滥用的情况，这既决定了它的价值，也决定了它的局限。它是一份第一方陈述——Anthropic 的遥测数据、Anthropic 的账号封禁、Anthropic 对另一端究竟是谁的判断——而且没有任何外部审计方核验过其数字。本文余下部分区分四件事：报告声称其观察到了什么、它仅作归因而未直接观察的是什么、存在争议的是什么，以及档案摘要声称该文件包含而文件实际并不包含的内容。

发布了什么，以及它涵盖哪些内容

检测与反制人工智能滥用：2026年9月的封面标注日期为2026年9月10日，共154页，并针对许多案例附有入侵指标清单。该报告接续Anthropic在2025年3月、8月和11月发布的早期报告，涵盖七个危害领域：网络行动、影响力行动、监控、常规武器、生物滥用、诈骗与欺诈，以及非法蒸馏。

涉及的模型包括 Claude Haiku、Claude Sonnet 和 Claude Opus。Anthropic 表示，除了一起非法蒸馏案件外，没有任何滥用案例涉及 Claude Fable 或 Claude Mythos 级模型。这些行为者涵盖“疑似国家资助的团体、以经济利益为动机的犯罪分子、商业间谍软件供应商、国家宣传机构以及出于政治动机的个人”。

案例研究带有内部标签——GTG 标识符，报告将其定义为“Anthropic 内部用于指代被观察到滥用 AI 的行为体的标识符”。它们是命名惯例，而非法律认定，也是这些行为体中的大多数仅有的称呼。

Anthropic 的分析性论断比案件数量所显示的范围更窄：即 AI 已“消除了国家行动与个人操作者之间的劳动力和工具差距”，并且“复杂程度已不再是判断某项行动幕后主使的可靠信号”。该报告衡量了其所谓的“提升”——速度、规模和深度——并对其自身案例研究提出两点告诫：人类“仍保留着对他们最重要的决策”，包括目标选择以及被盗数据如何变现，而且“自主性与危害是两个独立的维度”。

30万条身份记录：GTG-20006

GTG-20006 是带有该记录编号的案件。Anthropic 描述了一名使用“JackPoterz”这一账号名的俄语操作者，并称其归因“与将行为体与 Midnight Blizzard 联系起来的公开报道相符”——这是与其他人的归因进行比较，而非独立确认，而且报告没有说明它指的是哪些报道。

产生这一数字的入侵针对的是北非某国政府的科技主管部门。报告称，攻击者窃取了某 VPN 设备的凭据，利用这些凭据接管了该组织的中央账户服务器，并从那里外泄了“其完整的凭据数据库：超过 30 万条国民身份记录，以及在该国运营的超过 50 万家公司的商业登记数据”。这些记录属于一个政府机构，而记录中的人员与本文中的 AI 供应商没有任何关系。

同一行为者更广泛的行动波及了“20多个不同组织”——政府部委、国防与情报机构、大使馆、智库和国防工业企业，集中在乌克兰和欧洲，但延伸至中东以及亚洲的海事机构。具体包括：

• 酒店 Wi-Fi：该行为体至少入侵了三家提供宾客 Wi-Fi 的酒店服务供应商，随后修改 DNS 记录，使宾客流量、设备标识符和 IP 地址被导向攻击者控制的服务器。Microsoft Threat Intelligence 于 2026 年 7 月发布了一份关于同一窃取与投递方法的报告，并将其命名为 CaptiveCrunch，Anthropic 的报告引用了该报告。

• WhatsApp：受害者账户通过无头浏览器和开源 WPPConnect 自动化库被关联为配套设备，已读回执被屏蔽，同时俄语和乌克兰语对话被批量导出。至少两名乌克兰前高级官员曾以这种方式成为目标。

• 无人机：至少两家无人机零部件制造商的邮箱被批量导出，一套完整的无人机视觉系统专有软件开发工具包被盗，并在数日内遭到逆向工程。

• 规避：监控代理会观察已部署的植入程序是否被检测到；一旦被检测到，代理就会修改并重建恶意软件，直到它们不再被检测到。

Anthropic 从这一规避循环中得出的结论是，它逆转了防御方的优势。报告指出：“AI 已将成本反转回防御方身上”，因为当有能力的对手能够比特征签名发布更快地重建时，新的检测不再能争取到时间。

第二起与国家关联的案件：GTG-10007

GTG-10007 是报告中另一个明确提及国家背景的案例，也是更为不同寻常的一个。Anthropic 描述这些中文使用者“很可能居住在中国湖南省长沙市”，其中包括两名在当地一所大学学习计算机与通信工程的本科生；其中一人曾在安全公司深信服实习，并正在奇安信面试一个攻击性安全岗位。

该组织针对了教育、零售、能源、技术、医疗保健、金融、制造和政府等领域的约五十个组织。Anthropic 表示，它从一家教育科技公司的云存储中提取了数百兆字节的学生个人数据，进入了某零售商的生产系统，并从东南亚某政府机构获取了公民记录——姓名、电话号码和家庭住址。

其与众不同之处在于漏洞研究工作：一项针对一类“专门部署用于检测入侵”的安全软件的常设研究计划。Anthropic 称，该计划产生了多个此前未知的漏洞，并由该行为者在自己的实验室中验证；还产生了针对多个系列网络与安全设备的可用漏洞利用程序，以及来自一个持续迭代工作流程的“单月内十余个可能的零日漏洞发现”。另一支由十三个收集代理组成的独立队伍按计划针对公开的军事和政府材料运行，全程无需人工介入。

Anthropic 没有点名相关安全产品、漏洞或政府机构，报告也未将其发现与任何已公布的 CVE 编号相关联。

犯罪的一半：数据窃取，以及作为载荷的 API 密钥

网络章节不仅涉及间谍活动。在数个以经济动机为导向的集群中，规模最大的被归因于Anthropic所称的ShinyHunters集体疑似附属成员的操作者，其编号为GTG-50014。报告直白地给出了他们的规模：

• 某操作者的凭据流水线批量下载了180万个不同的 Android APK，对它们进行反编译并扫描硬编码密钥，再将验证过的发现结果汇入一个按100多种密钥类型分类整理的 Telegram 群组。

• 一名关联成员在攻破一家 SaaS 提供商并触及其约 200 家下游客户组织后，在大约 34 小时内泄露了超过 2,100 组 Azure AD 令牌集，涉及 40 多个企业租户。

• 一家技术供应商遭入侵后，泄露了超过1TB的数据，其中包括数十万个国民身份标识和数百万条支付卡记录，这些数据被放到一个公开网站上，“以迫使受害者支付赎金”。

• 在一家航空公司，攻击者接触到了存有数千万乘客记录的系统；在一家能源公司，他们声称可以远程控制客户家用电动汽车充电器的充电电流。

GTG-50029，一名单独的法语黑客活动分子，至少触及了42个被追踪的欧洲政治、媒体和智库目标中的14个，窃取了估计12至26 GB的数据库转储，并获取了约140,000条包含用户政治观点的记录——同时还搭建了一个装载着数千万行泄露数据的“人肉搜索”平台。

贯穿这些金融案例的主线是，AI访问权限本身成了战利品。作案者从客户环境中窃取Anthropic API密钥，并以让他人承担费用的方式运行自己的攻击工作负载——报告称之为将“就地取材”（living off the land）应用于AI。Anthropic明确划定了边界：“在每一起实例中，涉及的API密钥都是从Anthropic客户环境中窃取的。Anthropic自身的系统并未被该行为者攻破。”GTG-50020是一个俄语团伙，从酒店预订系统入侵转向AI行业，在大约四天内攻击了约三十家AI公司；其宣称目标是获取一个预发布版Claude模型的访问权限，而据报告称，“该行为者从未获得访问权限”。

已确立、归属明确、存在争议、缺失

已确认。 该报告确实存在，日期为2026年9月10日，共154页。其中的入侵叙述、指标列表和封禁行动均属Anthropic自身的第一方陈述，而独立媒体——发布当日的The Next Web、Digital Watch Observatory，以及云安全联盟（Cloud Security Alliance）的研究笔记——所描述的也是同一份文件、同样的七个危害领域以及同样的GTG-20006细节。没有任何媒体发布过对此次北非入侵事件的独立取证重建，因此30万这一数字仅依据一家公司的遥测数据。

已归因。国家关联是Anthropic的评估，并且在其自己的文本中有所保留：“与将有关行为体与Midnight Blizzard联系起来的公开报道一致”。长沙这一地点、这些学生的就业经历，以及中文案例中的国家层面表述，同样都是Anthropic的描述，而非政府的归因。The Next Web的报道引用了Anthropic威胁情报负责人Jacob Klein在接受Axios和The New York Times采访时的说法，但没有引用任何外部专家来评估这些数字。

有争议。 蒸馏部分是唯一有被指控方作出回应的地方。Anthropic 表示，它发现了“来自七家中国实验室针对 Claude 的更多蒸馏攻击”，并特别提到，Moonshot AI 在十天内通过 5,380 个欺诈性账户向 Anthropic 转发了近 300,000 条客户请求。据 The Next Web 报道，北京已否认美国的相关蒸馏指控。档案记录将这一事件标记为无争议；但该标记并不适用于文件中的每一项指控。

缺失。 该档案对本记录的一行摘要称，报告记录了Claude“首次”被用于受害者分诊和勒索软件副本生成。这两者在所引来源中均未出现。“ransomware”一词未出现在这份154页的PDF中，也未出现在报告的网页上；“triage”同样没有出现。报告所描述的勒索是针对被盗数据的“不付就泄露”，而非加密；其中唯一一次使用“ransom”一词，指的是那家技术提供商——其被盗文件被公开摆出以迫使付款。应将这两项说法视为本记录所引来源不支持。相比之下，30万条身份记录则在报告自身的GTG-20006章节中有明确表述。

Anthropic 表示自己做了什么，以及未披露什么。

对于每个案例，报告都给出了同一套应对措施的变体：封禁账号、部署额外检测、在适当情况下与“主管部门和行业伙伴”共享情报，以及根据所汲取的经验加强防护措施。蒸馏部分还增加了技术措施，用于防范推理签名重放技术，该技术曾被用来从 Claude 中提取推理轨迹。

未披露的内容也几乎同样一致：有多少账户被封禁、每次行动相对于其开始时间在何时被 disruption（ disruption? wait need translate) ... Let's craft natural: 未披露的内容也几乎同样一贯：封禁了多少账户、每次行动在开始后多久被瓦解、哪些情报被交给了哪些机构，以及这些行为者最初是如何被发现的。这些遗漏对一份厂商报告来说很平常，也正是这份文件无法从外部审计的原因。 Need output only. Wait "disrupted" translate "被 disruption" no. "被瓦解/被打断". "relative to when it began" = 相对于行动开始的时间. "which authorities received which intelligence" = 哪些机构收到了哪些情报. "how the actors were detected in the first place" = 行为者最初是如何被侦测到的. Good. Need only translated text. Ensure no English except maybe? Use "厂商报告" okay. No markers. Final. Need maybe "未披露的内容也几乎同样一致" sounds awkward but okay. "同样前后一致" maybe. The original "nearly as consistent" maybe "也几乎同样一致" yes. Final answer only translation.未披露的内容也几乎同样一致：封禁了多少账户、每次行动相对于其开始时间是在何时被瓦解的、哪些机构收到了哪些情报，以及这些行为者最初是如何被发现的。这些遗漏对一份厂商报告来说很平常，也正是这份文件无法从外部审计的原因。

其他人已经提出了这一政策问题。报告发布后，云安全联盟发布的一份研究简报认为，该报告“没有提及《欧盟人工智能法案》、人工智能办公室或第55条”，并质疑故意的第三方滥用是否甚至属于第55条“严重事件”定义的范畴，而该定义是围绕模型故障而非攻击者行为起草的。该简报承认，第55条申报并不公开，因此没有消息并不能证明没有进行申报；它表示，当时该制度下唯一确认的申报是 OpenAI 的，时间大约在2026年9月7日。

如何读懂这些数字

有两件事能让报告中的数字更易使用。第一是把危害与自主性分开：Anthropic 报告称，其若干最严重的入侵事件来自人类指导每一步的操作，因此低自主性案例并不是低严重性案例。第二是把这些数字理解为一家供应商所能看到的情况计数。30万条身份记录、2100组令牌和14万条政治观点记录，全都来自该公司对其自身产品被滥用的描述，而那些从未被发现的行为者则完全不在其中。