Claude 身處入侵鏈之中：Anthropic 2026 年 9 月威脅報告

Anthropic 發布了其第四份威脅情報報告，《偵測與反制 AI 濫用：2026 年 9 月》，於 2026 年 9 月 10 日發布。這份 154 頁的文件涵蓋其威脅情報團隊在 2025 年 12 月至 2026 年 8 月間所阻止的活動，而其最具體的危害數字僅需一段就能說明：Anthropic 追蹤代號為 GTG-20006 的間諜行為者——報告稱其歸因「與將該行為者連結至 Midnight Blizzard 的公開報導一致」——從北非某政府科技主管機關竊取了 VPN 憑證，接管其中央帳戶伺服器，並帶走超過 30 萬筆國民身分紀錄，以及超過 50 萬家公司的商業登記資料。這項揭露的檔案記錄，連同其信心評級及周邊歸檔的條目，收錄於 Orca AI Incident Archive。

這份報告是供應商揭露自身產品遭濫用的情況，這既界定了它的價值，也界定了它的限制。它屬於第一方說法——Anthropic 的遙測數據、Anthropic 的帳號封禁、Anthropic 對另一端究竟是誰的判斷——而且沒有外部稽核人員查核過它的數字。本文其餘部分區分四件事：報告稱其觀察到什麼、它僅屬歸因的內容、有爭議的內容，以及檔案庫摘要所聲稱、但文件並未包含的內容。

發布了什麼，以及涵蓋的內容

偵測與反制 AI 濫用：2026 年 9 月其封面標註日期為 2026 年 9 月 10 日，全長 154 頁，並針對許多案例附上入侵指標清單。這是繼 Anthropic 於 2025 年 3 月、8 月與 11 月發布的較早報告之後推出，涵蓋七大危害領域：網路作戰、影響力作戰、監控、常規武器、生物濫用、詐騙與欺詐，以及非法蒸餾。

涉及的是 Claude Haiku、Claude Sonnet 和 Claude Opus。Anthropic 表示，除了一起非法蒸餾案例外，沒有任何濫用案例涉及 Claude Fable 或 Claude Mythos 級模型。這些行為者涵蓋「疑似國家支持的團體、出於財務動機的犯罪分子、商業間諜軟體供應商、國家宣傳機構，以及出於政治動機的個人」。

案例研究帶有內部標籤——GTG 代號，報告將其定義為「Anthropic 用來指稱被觀察到濫用 AI 之行為者的內部代號」。這些只是命名慣例，並非法律認定，卻是這些行為者大多唯一可資辨識的依據。

Anthropic 的分析主張比案件數量所呈現的更為限縮：AI 已「壓縮國家級行動與個人操作者之間的人力與工具差距」，而且「技術精熟度已不再能可靠指出某項行動的幕後主使者」。報告衡量其所謂的提升（uplift）——速度、規模與深度——並對自身案例研究附加兩項但書：人類「仍保有對自身最重要的決策」，包括目標選擇以及竊得資料如何變現；且「自主性與危害是各自獨立的軸線」。

這 30 萬筆身分紀錄：GTG-20006

GTG-20006 是承載該紀錄編號的案件。Anthropic 描述了一名使用代號「JackPoterz」的俄語操作者，並表示其歸因「與將該行為者連結至 Midnight Blizzard 的公開報導一致」——這是與他人歸因的比對，而非獨立確認，且該報告並未說明其所指的是哪些報導。

這起產生該圖像的入侵事件，目標是北非某政府的科技主管機關。根據報告，該行為者竊取了 VPN 設備的憑證，利用這些憑證接管該組織的中央帳戶伺服器，並從那裡外洩「其完整的憑證資料庫：超過 30 萬筆國民身分紀錄，以及該國營運逾 50 萬家公司的商業登記資料」。這些紀錄屬於某個政府機構，而紀錄中的人與本故事中的 AI 供應商沒有任何關係。

同一行為者更廣泛的行動觸及「超過20個不同組織」——政府部會、國防與情報機構、大使館、智庫及國防工業公司，集中於烏克蘭與歐洲，但延伸至中東及亞洲的海事機構。具體細節包括：

• 酒店 Wi-Fi：攻擊者入侵了至少三家提供客房 Wi-Fi 的酒店服務供應商，隨後修改 DNS 記錄，使客房網路流量、裝置識別碼與 IP 位址被導向攻擊者控制的伺服器。Microsoft Threat Intelligence 於 2026 年 7 月以 CaptiveCrunch 為名，發布了一份關於相同竊取與投放手法的報告，Anthropic 的報告引用了該報告。

• WhatsApp：受害者的帳號是透過無頭瀏覽器及開源 WPPConnect 自動化程式庫被連結為伴隨裝置，期間已讀回條遭到抑制，而俄語與烏克蘭語的對話則被大量匯出。至少有兩名烏克蘭前高階官員曾以此方式遭到鎖定。

• 無人機：至少兩家無人機零組件製造商的信箱遭大量匯出，一套完整的無人機視覺系統專有軟體開發套件被竊取，並在數日間遭逆向工程。

• 規避：監控代理程式會觀察已部署的植入程式是否被偵測到，而一旦被偵測到，代理程式便修改並重建惡意程式，直到它們不再被偵測到為止。

Anthropic 從規避循環得出的結論是，這逆轉了防禦方原有的優勢。報告指出：「AI 已把成本反轉回防禦方身上」，因為當能力足夠的對手重建的速度比特徵碼發布還快時，新的偵測手段就再也換不到時間。

第二起與國家相關的案件：GTG-10007

GTG-10007 是報告中另一個明確呈現國家背景框架的案例，也是較不尋常的一個。Anthropic 描述這些中文母語操作人員「可能居住在中國湖南省長沙」，其中包括兩名在當地大學攻讀電腦與通訊工程的本科生；其中一人曾在資安公司 Sangfor 實習，並正在 QiAnXin 面試進攻性安全職位。

該組織鎖定了大約五十個機構，涵蓋教育、零售、能源、科技、醫療保健、金融、製造與政府部門。Anthropic 表示，它從一家教育科技公司的雲端儲存空間擷取了數百 MB 的學生個人資料，進入了某零售商的生產系統，並從一個東南亞政府機構取得公民紀錄——姓名、電話號碼與住家地址。

其特別之處在於漏洞研究工作：一項針對一類「專門部署用於偵測入侵」的安全軟體的常設研究計畫；Anthropic 表示，該計畫產生了多個先前未知、並由該行為者在自家實驗室中驗證的漏洞、針對數個網路與安全設備系列的可用漏洞利用程式，以及來自一套持續迭代工作流程的「單月內超過十幾個可能的零日漏洞發現」。另一支由十三個收集代理程式組成的獨立機隊，按排程針對公開的軍事與政府資料運行，過程中無人工介入。

Anthropic 並未指名這些安全產品、漏洞或政府機構，且該報告未將其發現與任何已公布的 CVE 識別碼連結。

犯罪的那一面：資料竊取，以及以 API 金鑰為載荷

網路攻擊部分不僅僅是間諜活動。在數個以財務動機為主的群組中，最大的一個被歸因於 Anthropic 所描述、疑似為 ShinyHunters 集團附屬成員的操作者，代號為 GTG-50014。報告直截了當地說明了他們的規模：

一名操作者的憑證處理管線大量下載了 180 萬個不同的 Android APK，將其反編譯並掃描其中硬編碼的機密資訊，再將經核實的發現結果導向一個按超過 100 種機密類型分類整理的 Telegram 群組。

• 某個附屬組織在入侵一家 SaaS 供應商並觸及約 200 家其下游客戶組織後，於約 34 小時內公開了超過 2,100 組 Azure AD 權杖，涵蓋超過 40 個企業租用戶。

• 一起技術供應商遭入侵事件導致超過一TB的資料外洩，其中包括數十萬個國家識別碼及數百萬筆支付卡紀錄，這些資料被放置在公開網站上，「以施壓受害者支付贖金」。

• 在某家航空公司，攻擊者入侵了存有數千萬筆旅客紀錄的系統；在某家能源公司，他們則聲稱能遠端控制客戶家中電動車充電器的充電電流。

GTG-50029 是一名獨自行動的法語駭客行動主義者，他至少觸及了 42 個已追蹤的歐洲政治、媒體與智庫目標中的 14 個，外洩了估計 12 至 26 GB 的資料庫傾印，並取得約 140,000 筆包含使用者政治立場的紀錄，同時還建立了一個載有數千萬列外洩資料的人肉搜尋平台。

貫穿這些金融案例的主線是，AI 存取權本身成了戰利品。操作者從客戶環境竊取 Anthropic API 金鑰，並以他人的代價執行自己的攻擊工作負載——報告稱之為將「living off the land」手法套用到 AI。Anthropic 明確劃清界線：「在每一宗個案中，涉及的 API 金鑰都是從 Anthropic 客戶的環境中被竊取。Anthropic 自身的系統並未遭該行為者入侵。」GTG-50020 是一個從飯店訂房系統入侵轉向 AI 產業的俄語犯罪團體，它在約四天內攻擊了大約三十家 AI 公司；其自稱目標是取得一個預發布版 Claude 模型的存取權，而根據報告，「該行為者從未取得存取權」。

已確立、已歸因、有爭議、缺失

已確認。該報告確實存在，日期為 2026 年 9 月 10 日，共 154 頁。其入侵事件敘述、指標清單與封禁行動均為 Anthropic 自身的第一手說法，而獨立媒體——發布當日的 The Next Web、Digital Watch Observatory，以及 Cloud Security Alliance 的研究筆記——所描述的都是同一份文件、同樣的七個危害領域，以及同樣的 GTG-20006 細節。目前尚無任何媒體自行針對這起北非入侵事件發表獨立的鑑識重建，因此 30 萬這個數字仍僅建立在單一公司的遙測資料之上。

已歸因。 國家關聯是 Anthropic 的評估，並在其自身文本中留有保留：「與將該行為者連結至 Midnight Blizzard 的公開報導一致」。長沙地點、這些學生的任職經歷，以及中文案例的國家框架，同樣是 Anthropic 的描述，而非政府歸因。The Next Web 的報導引用了 Anthropic 威脅情報主管 Jacob Klein 接受 Axios 與 The New York Times 採訪的內容，但並未包含任何外部專家對這些數據的評估。

有爭議。蒸餾部分是唯一一個被指控方已作出回應的地方。Anthropic 表示，它發現「來自七家位於中國的實驗室、針對 Claude 的更多蒸餾攻擊」，並描述其中包括 Moonshot AI 在十天內透過 5,380 個詐騙帳戶，將近 30 萬筆客戶請求轉送給 Anthropic。據 The Next Web 報導，北京已否認美國相關的蒸餾指控。存檔記錄將此事件標記為無爭議；該標記並不延伸至文件內的每一項指控。

未見。檔案庫對本紀錄的一行摘要稱，該報告記錄了 Claude「首次」被用於受害者分流與勒索軟體文案生成。這兩者都未出現在所引用的來源中。「ransomware」一詞未出現在這份 154 頁的 PDF 或該報告的網頁上，「triage」一詞亦然。報告所描述的勒索，是針對遭竊資料的「付款否則外洩」，並非加密；報告中唯一一次使用「ransom」一詞，是指其遭竊檔案被公開展示以逼迫付款的科技供應商。請將這兩項說法視為未獲本紀錄所引來源支持。相較之下，300,000 筆身分紀錄則載於報告本身的 GTG-20006 章節。

Anthropic 表示它做了什麼，以及它未揭露什麼

針對每起案例，報告都給出同一套回應的變體：帳號遭封禁、部署額外偵測、與「主管機關及產業夥伴（在適當時）」分享情報，並根據所學強化防護措施。蒸餾章節則新增技術措施，用以對抗推理簽章重放技術——該技術被用來從 Claude 提取推理軌跡。

未披露的部分也同樣前後一致：有多少帳號遭停權、每次行動相對於其起始時間於何時被瓦解、哪些情報交到了哪些主管機關手中，以及這些行為者最初究竟是如何被偵測到的。這些省略對廠商報告而言司空見慣，也正是這份文件無法從外部接受稽核的原因。

其他人已提出這個政策問題。一份在該報告之後發布的雲端安全聯盟研究說明主張，該報告「未提及《歐盟人工智慧法》、人工智慧辦公室或第55條」，並質問故意第三方濫用是否甚至屬於第55條「嚴重事件」定義的範圍；該定義是圍繞模型故障而非攻擊者行為起草的。該說明承認第55條的申報資料並不公開，因此沉默不能證明沒有提出申報，並表示當時該制度下唯一已確認的申報是 OpenAI 於2026年9月7日前後的申報。

如何讀懂數字

有兩點能讓報告中的數字更容易使用。第一是將危害與自主性分開來看：Anthropic 報告指出，其幾起最嚴重的安全遭突破事件，都來自人類逐步指示每一項操作的作業，因此低自主性的案例並不是低嚴重性的案例。第二是把這些數字理解為單一供應商所能看到的計數。那 300,000 筆身分紀錄、2,100 組權杖，以及 140,000 筆政治觀點紀錄，全都是該公司描述其自身產品遭濫用時所產生的，而從未被偵測到的行為者則完全不在其中。