文 / Yofune_Labs
你让 AI 帮忙看一段代码，回答回来了，建议也能用。这时候，很少有人会再问一句：刚才那段代码，在后台究竟经过了几家公司？
用户看见的是一个输入框，或者配置文件里的一行模型名。服务端看到的却是一份可以转发、记录、加工和再次使用的请求。两边对这次调用的理解，未必一样。
Anthropic 在这份威胁情报报告里提出了几类具体指控：有服务把部分用户请求交给 Claude，用户以为自己仍在使用原来的模型；有服务先保存自己的用户交互，之后再拿去调用 Claude；还有中间商向用户提供 Claude 接入，同时记录交互，把这些记录卖给其他实验室。
第三种情况很容易被前两种盖过去。其实它离日常使用更近：你可能确实收到了 Claude 的回答，却仍然不知道中转服务给这次对话留下了几个副本。
社交平台上，报告常被压缩成几句有关监控、武器、蒸馏和诈骗的结论。拿这样的概括去读一份 154 页的调查，许多关键区别会被略掉：一个项目是在申请经费、做模拟，还是已经部署？一个人只是被列为目标，还是资料确实被窃取？一家实验室的训练记录里出现客户数据，与客户数据库被攻破，又分别发生了什么？
下面先把接口和中转服务这条线讲清楚，再看网络攻击、影响力行动、监控、武器、生物研究与诈骗。关键判断旁边放上报告原文截图，便于核对。截图基于原始 PDF，涉及身份的专名已替换为两个字面星号 **，其余英文内容没有重排；图注和流程示意是我们的整理。
案件事实、机构归因和统计数字来自 Anthropic。公开材料没有包含全部后台日志，本文也未独立复现这些行动。我们据此分析技术过程与工程责任；报告所选案例不能用来估算整个行业的滥用比例，作者的推断仍需保留归属。
01先把 Claude Code、DeepSeek 和实际接收者分开
“用**模型，怎么会把数据送给 Claude？”这个问题，要从请求的主语查起。
Claude Code、OpenCode 属于用户操作的客户端或编程工具。它们会组织任务，把代码、上下文和工具返回结果放进请求，再交给配置的服务入口。入口背后可能是模型厂商，也可能是企业网关或第三方中转。收到请求之后，由哪个服务实际处理，又是下一层的事。
所以，一次调用里至少有三项需要分开记：用了什么客户端、请求先发给谁、最终由谁处理。把它们都简称为“我用的是某模型”，平时聊天没有问题，出了数据事件就不够了。
报告对 DeepSeek 的描述很明确。它指称，DeepSeek 检查入站请求中的字符串，识别使用 Claude Code、Claude Agent SDK、OpenCode 等工具的用户，随后把被选中的一部分用户请求转交给 Claude Opus。
原文截图 01｜报告第 150 页：识别、标记、选择和转发的主体是 DeepSeek。原文写的是 selected tagged users，并未说全部客户或全部请求。
这段里，客户端类型是服务方筛选请求的信号。它没有证明 Claude Code 在用户指定 DeepSeek 后，又自行把相同内容偷发给 Anthropic。OpenCode 同样被列出来，也说明这段不能只按“用了 Anthropic 的客户端”来解释。
这也不意味着客户端就不需要检查。一次具体调用有没有问题，仍然要看使用的版本、配置、插件以及实际网络流量。这里只是在确认原文把这项转发行为归给了谁。
示意图：依据报告中的 DeepSeek 案例整理，省略代理部署细节。它表达处理关系，不是抓包结果。
Claude Code 的官方网关文档提供了一个容易理解的参照：网关可以在开发者机器配置不变的情况下切换服务提供者。不过，当前文档同时明确不支持通过网关把 Claude Code 路由到非 Claude 模型。第三方兼容接入与官方支持范围应当分开看。[1]
从本机看，地址没有变；从服务端看，请求可能已换了下一站。这就是为什么只截图配置文件，还不足以解释整条路径。
还有人会把 ANTHROPIC_BASE_URL 当成一个总开关。官方部署文档将它用于推理请求路由，并没有说这个变量能够统一决定程序的所有网络行为。登录、诊断、工具访问等连接，要按具体版本和配置另行检查。[2]
排查时，需要避免两种草率的判断。看见客户端连接 Anthropic 的域名，不能仅凭域名就认定它上传了整份代码；确认本机把推理请求发给了指定入口，也不能据此排除服务端再次转发。前者需要查发送内容，后者需要下游处理记录。请求路径上缺哪一段证据，就去补哪一段。
02当次换了模型，与事后拿历史记录再调用，是两回事
Moonshot 的案例与用户对“后台换模型”的直觉比较接近。
按照 Anthropic 的描述，部分原本准备交给 Kimi 的客户请求，被转发给 Claude，Claude 生成的回答再显示给用户。报告还说，其中至少一部分交互被保存，供后续模型训练使用。
原文截图 02｜报告第 148 页：Moonshot 被指在线转发客户请求、返回 Claude 的回答，并保存至少一部分交互。
在这条路径里，处理当前问题和收集训练材料可以发生在同一轮交互中。用户眼前得到的是答案，服务端留下的可能是一组问题、回答和上下文。报告还明确说明，作者不知道 Moonshot 是否通知客户其请求被转发；这段原文见后文的敏感资料案例截图。
这里的“请求”通常比用户刚敲进去的那句话大得多。编程工具可能带上前面几轮对话、相关文件片段、报错和工具输出。如果工具读到的是带有凭据的配置，或者用户上传了内部文档，这些内容就可能一起进入请求正文。服务端再转发时，如果没有移除，它们就继续往下一站走。
小米的案例，顺序不一样。
原文说，小米保存 MiMo 用户与模型之间的交互，把历史对话和编程会话交给 Claude 再次处理；调查没有显示小米直接把 Claude 的回答当作对用户的即时服务。
原文截图 03｜报告第 151 页：作者明确区分历史交互再处理，与直接用 Claude 回答服务用户。
原文截图 04｜报告第 152 页：保存完整请求与回答，再重放给 Claude，生成训练材料。
这对使用者的含义是：即便某次回答确实来自预期模型，也不能由这次调用确认历史记录之后的用途。服务完成后的保存、加工和再委托，需要单独说明。
报告列出的处理工作包括整理多轮会话、生成训练用交互、评价回答质量，以及根据会话重建开发环境。原文还说，转交的请求中包含部分用户的姓名、联系方式和企业资料。它同时保留了一项限制：没有迹象显示人士的数据被暴露；不能因为有关平台常被用户使用，就把这句话改写成**用户数据已经泄露。
原文截图 05｜报告第 152 页：历史交互中的敏感资料，以及对会话和开发环境的后续加工。截图保留作者对数据范围的限定。
一个开发环境也不是只有源码。日志中的目录、组件版本、内部地址、服务之间的连接方式、权限报错，拼起来可以帮助别人理解系统怎么运行。原始记录经过整理之后，可能更容易被检索和使用。因此，数据治理不能只盯着上传动作，还要看之后生成了什么、这些衍生材料存放在哪里。
示意图：三条路径的处理顺序不同，涉及的组织和观察窗口也不同，不能合并成一次统一的数据泄露事件。
03中转服务可能卖给你的，是接入；另外卖出去的，是你的交互记录
讨论中转，首先要确认它到底做了什么。
有些代理只传输加密流量，并不终止用户与上游之间的加密连接。这样的网络代理，不能因为处在路径中就被认定能读取全部对话。
涉及修改请求正文中的模型字段、转换请求格式的 AI 接口网关，需要能够处理相应内容。仅凭统一鉴权或选择上游这两项功能，还不能判定它读取了整份正文。网关如果终止 TLS，再代用户发起下游请求，就处在能够处理解密后内容的位置。你的机器到网关、网关到模型服务，两段都可以使用 HTTPS；两段传输加密并不会使作为连接端点的网关失去这种处理能力。
“传输加密”回答的是内容在路上怎样被保护，不能代替“接收者会怎样使用内容”的答案。
理解这一点，再读报告中的中转日志交易，就不需要假设发生了复杂的加密破解。
原文写到，未经授权的实验室会从第三方购买用户与前沿模型的交互记录。卖方包括部分代理服务运营者，他们在用户不知情或未同意的情况下保存交互，之后提供给其他实验室。
原文截图 06｜报告第 144 页：代理保存用户交互、第三方购买记录，以及服务方另行转发请求，是原文分别描述的路径。
这里提到的是对话内容，也就是 transcripts 或 exchanges。普通访问日志可能只记录时间、状态码和请求大小，单凭“开了日志”不能判断它存了完整提示词。但这份报告对部分中转商的指控，已经明确指向用户与模型的交互记录。
到商汤相关案例，作者把链条写得更具体：用户通过第三方应用或路由服务访问 Claude，中间商记录这些交互并出售，商汤的蒸馏流程中包含购买来的记录。这句话恰好跨页，下面把两页连续放出来。
原文截图 07｜报告第 152 页：交互记录二级市场，以及商汤购买第三方记录的例子。最后一句接下一张截图。
原文截图 08｜报告第 153 页：首句接上页，明确写到中间商记录并出售交互；后面的 MiniMax 段落是另一个案例。
如果按这条链条理解，用户买到的接入服务可以正常工作。请求到了 Claude，回答也来自 Claude，余额和调用统计甚至都可能没有异常。与此同时，服务端还能保存一份交互，进入另一项交易。
这会让日常验收出现一个盲区。测试回答质量、检查模型名称、比较延迟和价格，能帮你了解服务是否好用，却很难回答中转商有没有保存正文，更不能证明这些正文之后没有被提供给别人。
示意图：根据报告中部分中转服务的行为整理。正常返回回答，与额外保存、出售记录，可以同时发生。
按报告描述，当前问答之外还发生了两项处理：中转商把内容保存成记录，再把记录交给其他实体用于模型开发。保存记录本身未必意味着改变用途，例如服务可能需要短期排错；但留存范围、期限以及转交和研发用途，都需要纳入告知与授权的范围。“同意这次调用”不能直接解释成“同意以后所有用途”。
用户愿意让模型解释一段公司代码，通常不意味着愿意让中间商把代码连同讨论过程作为商品。这一点也不取决于代码里有没有密码。业务判断、未公开设计、内部流程和故障处置记录，本身就可能具有保密价值。
对购买记录的一方，同样有问题要回答。供应商能交付一批格式整齐的数据，并不能证明其中的用户有权提供每一份材料，也不能证明用户授权了转售。买卖双方之间的一纸约定，无法替原始资料的所有者作出决定。
MiniMax 段落还涉及另一种组织关系。Anthropic 指称，它通过一家未披露关联关系的公司建立了代理网络；该网络只提供 Anthropic 与 OpenAI 模型的接入，没有提供**模型，包括 MiniMax 自己的模型。作者据此推断，建立这项服务是为了收集用户交互用于训练。
这里需要把两层内容分开：代理公司与 MiniMax 的关系，是报告的归因；收集训练资料这一目的，原文使用的是“This evidence suggests”。公开材料没有给出全部内部文件，我们应当保留这个推断口径，也不能把前一段商汤购买记录的行为直接接到 MiniMax 身上。
当然，也不能反过来要求“先证明每一条记录都被拿去训练”，才承认未经同意的转交可能有问题。内容被交给新的处理者，就已经产生了需要解释的事实；最终训练范围是接下来的调查事项。
采购中转服务时，我们会把“保留哪些记录”拆成几个能核对的字段：是否保存请求正文、是否保存返回内容、是否连工具输出一起存、保存多久、谁能访问、会不会再委托第三方处理。只问一句“你们会不会泄露”，容易收到一句同样笼统的保证。
如果服务方声称只为计费记录用量，就应该进一步对应实际日志：保存的是 token 数、时间和账户标识，还是连整个请求正文也在里面？如果声称只为排错临时留存，就要看过期清理和访问记录。用途的描述与系统实际保存的字段应当对得上。
这些是需要核实的问题，不是对所有中转平台的预设指控。报告讨论的是查到的特定网络；透明委托、限定留存和未经允许出售记录，仍然是不同的行为。
04有些“便宜 Claude”还会把接入生意变成盗号入口
日志被保存和出售，主要发生在服务端。报告中的另一类事件，则把风险带到了用户的电脑上。
一组使用和的操作者售卖所谓的低价 Claude 接入。根据 Anthropic 的调查，客户流量实际被转给了其他模型，相关工具还会安装凭据收集程序，窃取 Anthropic 账户凭据，再转卖给其他代理商。
原文截图 09｜报告第 29 页：假优惠 Claude 服务涉及模型替换、凭据窃取与转售。该段没有说这些行为适用于全部中转服务。
这和上一节的区别很大。一个中转商处理你主动提交的请求，与一个本地程序越过任务范围读取账户凭据，需要检查的入口和处置方式并不相同。前一种要追服务端的数据副本；后一种还要查本机是否存在持续窃取凭据的程序。
例如，怀疑客户端被篡改时，只在原设备上换一个 API Key，并不自动解决问题。需要先判断本机环境是否仍在暴露新凭据，再处理会话、令牌和受影响账户。否则，换掉的只是一个已经被取走的值，读取它的程序还在。
这是一种根据攻击机制得出的处置原则，不代表报告证明每个受害人都经历了相同的后续过程。实际要撤销哪些授权、隔离哪些设备，仍要依据取证结果。
检查客户端来源也不能只看应用名称。安装包是否来自预期渠道、签名和发行记录是否对应、它申请的权限是否超出任务需要，都比界面上显示哪个模型更接近这个案例的问题。一个看起来熟悉的图标，无法替可执行程序的行为作担保。
05没有官方“数据合作”，流量也能进入另一家模型服务
有人觉得，既然 Claude 收到了这些内容，那几家公司之间至少应该存在某种官方合作。
单从技术过程看，不需要先有这样的前提。一个服务收到内容以后，只要具备可用的下游接入，就能把内容组织成新请求。接入是否合法、凭据属于谁、最终用户是否同意，则需要继续调查。
报告描述的部分代理网络使用虚假身份、欺诈或被盗用的支付信息，以及被盗的 API 凭据接入模型服务。这里说的是作者调查到的网络，不是对所有代理的定义。
原文截图 10｜报告第 144 页：作者描述部分代理网络以虚假身份、伪造或被盗的信用卡及被盗 API 凭据取得接入。
正常接入、转售接入、盗来的接入，在请求能够成功这一点上可能表现得很像。对用户来说，“今天还能调用”是可用性的信号，不是凭据合法来源的证明。
报告还提到，同一批代理账号可能为不同组织转交请求。阿里巴巴案例中，部分账号也承载过 DeepSeek 和小米的请求。
原文截图 11｜报告第 148 页：不同组织可能共享同一代理网络。共享入口不等于这些组织之间存在一项共同数据合作。
这给调查带来一个实际困难：模型供应商最先看见的，可能只是代理账户和一次次请求。哪些请求属于哪个终端服务，需要后续关联。供应商后来能够归因，不等于它在第一条请求到来时就知道了完整链条，更不等于它事先同意或参与了安排。
因此，这几页材料支持的是“请求可以经代理跨越服务边界”，没有提供“双方官方数据合作导致客户资料流出”的证明。是否存在其他合作，要另找对应证据。
蒸馏本身也要与客户资料处理分开讨论。模型开发者用一个模型的输出训练另一个模型，是一类技术活动；输出来自哪里、接入是否获准、输入中有没有客户资料、客户是否允许改变用途，是不同的问题。不能只用“在做蒸馏”这四个字，把后面几项一并带过。
同一章里的模型研发工作也不全是即时替换回答。智谱相关段落描述了用 Claude 评价输出、清理训练记录、筛选数据、编写任务和实现测试等用途。
原文截图 12｜报告第 151 页：对模型输出、训练数据和测试任务的后续处理。原文对部分用途保留 likely 的判断。
对一个上传了内部资料的用户而言，关键问题仍然很朴素：我的内容是否进入了这条研发流程？进入了哪些环节？保存了哪些原始记录和衍生材料？账面上把这一组任务称为评测、清洗还是训练，不会替这些问题作答。
06敏感内容在哪里进入了请求
报告中的中转和转发指控，之所以值得单独讨论，是因为请求里并不只有公开问题。
Moonshot 相关材料包括一份围绕特定人物的 CCTV 档案，涉及数百个摄像头，其中有部分机构外围的摄像头。作者评估提交者可能具有关联军方的背景。同页还写到，一名大型国企工程师在开发内部系统时提交了内部代码，以及多家企业的有效凭据。
原文截图 13｜报告第 149 页：CCTV 档案、企业内部代码与有效凭据。截图同时保留“作者不知道 Moonshot 是否通知客户”的说明。
这与一些转述里的“实时接入整座城市的监控网”，不是同一个事实。原文写的是关于单个目标人物的档案。摄像头数量说明了档案涉及的来源范围，没有证明对这些摄像头具有实时访问权限。
DeepSeek 相关案例则有三组资料：科技企业某个旗舰 AI 项目的内部文档；与有关联的政府机构工作人员处理的数据库凭据；某地方**案件管理系统的开发请求。
原文截图 14｜报告第 150 页：企业项目资料、政府数据库凭据，以及地方系统的开发内容。
这里也不能悄悄扩大名词的范围。企业旗舰项目的规格和战略目标，不自动等于国家级机密项目；与有关联的政府机构，不自动等于整个数据库；用身份证号比对行动记录的工具，也不能被改写成已经拿走完整警务库或人脸识别系统。
“live credentials”则需要认真处理。报告描述的是观察到有效凭据进入请求，不代表这些凭据今天仍有效，也没有在这些段落里证明它们之后都被使用过。对受影响团队而言，应该确认暴露时间、权限范围、是否已撤销以及有无异常访问。
如果由我们负责排查，不会等到确认整库被下载，才处理已经暴露的生产凭据。但也不会把撤销凭据的必要性写成数据库已经遭到入侵的证明。这两项工作可以并行：先控制仍有效的访问，再查实际发生的使用。
输入侧与服务侧，也各有需要承担的责任。用户或集成工具为什么把不必要的敏感字段放入请求，应当查；服务商为什么把资料交给预期之外的处理者，同样应当查。输入侧有疏漏，不等于用户因此同意了后续转售和再次使用。
这也是“**模型”“海外模型”“本地模型”这些标签不够用的地方。模型开发者来自哪里，无法单独约束服务的路由、日志、下游委托与保留时间。要作出数据能否离开某个环境的判断，还得看实际部署。
如果推理、文档解析、检索和工具调用都在受控环境内完成，相关内容确实没有向外发送，那么报告所述的外部转发路线就不适用。但只把模型权重放在本地，其他组件仍然调用外部服务，就不能用权重所在位置概括整套系统的数据路径。
再往前一步，还要区分“被服务接收”“被保存”“被交给另一家”“进入训练”和“以后能被别人问出来”。这些是不同阶段，需要不同证据。前几项足以构成需要调查和处置的数据事件，不必靠想象最后一项来增加严重性。
把请求看清楚之后，再回头读报告的网络攻击章节，就会发现还有另一条线：除了收到了多少内容，系统究竟允许模型做多少事。
07密钥交出去以后，攻击可以接着往下走
对维护系统的人来说，这个差别很实际。一份代码被看到，首先涉及代码和业务信息；一把仍然有效的生产密钥被看到，还可能允许别人以你的身份读取数据、调用服务，甚至支付后续计算费用。把请求里的密钥替换成星号，只能保护之后的请求，无法使已经送出去的那一把自动失效。
报告里涉嫌与 ** 关联的多组活动，正好展示了这种延伸。第 12 页写到，一名操作者组织了分布式流水线，下载约 180 万个不同的 Android 安装包，寻找其中硬编码的秘密信息。这里的 180 万指安装包，不能写成 180 万个受害者。第 14 页又介绍了另外一次 SaaS 入侵：攻击者获得初始访问后，借助 Claude 理解开发接口和认证接口、处理特权令牌，并搭建批量导出工具，最终窃取数千家下游客户组织的数据。
原文截图 15｜报告第 12 页：180 万个 Android 安装包的扫描案例。段落跨页，下一张接续。180 万的统计对象是安装包。
原文截图 16｜报告第 13 页：安装包扫描案例续段。接上页：保留该段剩余内容。
原文截图 17｜报告第 14 页：SaaS 入侵与下游客户数据窃取。数千家指这次 SaaS 入侵涉及的下游客户组织；后文赏金收入属于操作者声称。
这类案例值得看的地方，是原本彼此隔开的几项工作被连续做了下去。一个凭据并不附带完整的系统说明书，拿到它的人还要判断它属于哪个环境、能调用什么接口、返回的字段是什么意思。模型能够帮助解释这些材料，操作者就更容易跨过自己不熟悉的系统。
但权限并不是模型解释出来的。令牌之所以能读取某个租户，或让调用者取得更高权限，仍然取决于服务端的认证和授权。安全检查如果只问“我们使用的模型会不会生成攻击代码”，就会漏掉已经存在于接口里的问题。
例如，一次数据导出是否再次校验租户范围，开发用令牌是否具有生产访问权限，后台任务是否默认沿用管理员身份。这些是读完案例后可以回去检查的工程问题。原文没有公开受害系统的完整设计，不能认定每一家都踩中了同一个错误，但排查必须走到这些实际生效的控制上。
第 25 页描述的另一组活动，还保存了跨工作会话的行动记录，并行推进多个任务；部分收集和漏洞研究工作，在操作者离线时仍然运行。原文说它针对约五十家组织，同时列出学生个人资料、零售生产环境和政府公民记录等已观察到的结果。五十是目标数，具体成功到哪一步，仍要逐项看。
原文截图 18｜报告第 24 页：** 活动与持续任务的上文。段落跨页，下一张接续。组织关联为报告作者的评估。
原文截图 19｜报告第 25 页：跨会话持续任务与约五十个目标。接上页：约五十家是目标数，不等于五十家全部失陷。
持久记录在这里有直接作用。下一轮任务不用重新解释目标、已经尝试过的办法和得到的结果，多个任务也能共用资料。对防守方来说，暂停某一次对话，未必会清除其他进程留下的任务；撤销一个账号，也未必会同步撤销已经取得的其他凭据。需要找到仍在运行的作业、已经签发的授权和后续访问。
这也解释了为什么 AI 的账号本身开始成为攻击目标。报告第 30 页把被盗 AI 凭据的用途分成三项：可以转卖，可以让别人承担算力费用，也可以把调用活动先记在凭据的合法持有者名下。对手取得的既是服务访问权，也是后续行动的资源。
同页给出一个具体入口：攻击者将恶意指令放进某家 AI 厂商的自动评估沙箱，导致沙箱交出了所持有的凭据，其中包括多家供应商的生产 AI API 密钥。第 31 页说，攻击者随后改用受害者的密钥继续行动；同一基础设施在约四天内针对三十家 AI 公司活动。报告没有说三十家全部失陷，也明确表示，获取未发布 Claude 的企图全部失败，Anthropic 自身系统没有被攻破。
原文截图 20｜报告第 30 页：被盗 AI 凭据的三种价值。被盗凭据可以被转卖、提供算力，并影响活动归属。
原文截图 21｜报告第 30 页：评估沙箱暴露生产 AI 密钥。自动评估环境与生产 API 凭据之间出现了权限问题。
原文截图 22｜报告第 31 页：被盗密钥后续使用与攻击结果边界。三十家是目标数；获取未发布 Claude 的企图全部失败，Anthropic 自身系统未被攻破。
处理评估任务时，外部提交的内容本来就不可信。如果执行它的环境同时持有生产密钥，模型处理内容的过程就和生产权限挨在了一起。问题发生以后，当然需要研究模型为何接受了那段指令；但即使换了一个更善于拒绝的模型，也仍然要回答：这项评估为什么需要读到生产密钥？
比较有效的检查方法，是把环境拆到具体权限：评估任务能读取哪些文件和环境变量，能向哪些地址发请求，能调用哪些工具，结果通过什么出口返回。把这些限制落在执行环境里，才不会把全部保护寄托在模型每次都理解正确。
示意图：依据网络攻击章节归纳，权限检查是 Yofune_Labs 的工程建议，不表示原案例已经部署这些保护。
工具拿到的网页、文档和报错，也不能因为出现在模型上下文里，就自动拥有调度其他工具的资格。某份文件可以描述“接下来应该做什么”，但是否允许执行，仍需由应用依据任务授权决定。日志如果只保存模型说过的话，没有保存当时调用的工具、使用的身份和操作结果，事后就很难分清建议停留在文本里，还是已经变成了真实访问。
撤销权限同样要看服务端实际状态。关闭一个客户端窗口不会使它曾经使用的密钥失效；换掉最初被盗的密钥，也未必覆盖随后签发的令牌。处理人员需要把已知授权逐一对应到调用记录，确认哪些已经失效，哪些还在访问其他服务。这份报告没有提供统一的恢复清单，具体处置仍取决于各系统的授权方式。
这里也没有必要争论“到底多少百分比由 AI 独立完成”。入侵造成的后果，取决于实际拿到了什么、权限扩散到哪里、已经访问了多少资料。一个始终有人指挥的流程，同样可以产生严重损失。
08文章发出去了，谁真的看见了
读到影响力行动章节，衡量结果的方法又要换一次。网络入侵可以查到某项资料有没有被导出，宣传行动则还隔着分发、阅读、信任和行为变化。模型生成了一篇文章，只完成了其中一步。
第 48 页介绍的一张网络，运营约七十个看似独立的新闻站，发布至少 8,913 篇文章，涉及约二十种语言。这个生产规模很大，但报告同时写明，大多数被识别的内容缺少可观察的真人互动，没有发现明显突破其自身网站和社交账号网络的证据。
原文截图 23｜报告第 48 页：八千余篇文章与有限可观察传播。同时保留文章产量、缺少可观察互动与未发现突破自身网络的限定。
原文截图 24｜报告第 48 页：约七十个站点与统一内容流程。约七十个网站及统一内容流程。末句接下一张。
原文截图 25｜报告第 49 页：内容流程续句、操纵手法与虚构署名。接上页：内容加工、虚构署名与配套账号。
这两部分必须一起读。只保留文章数量，会让读者误以为行动已经造成同等规模的舆论效果；只说“没有影响”，又超出了报告能证明的范围。少量可观察互动，并不等于没人阅读。报告没有给出完整的受众测量，更没有据此证明多少人改变了观点。
技术上，这张网络采用了很规整的生产流程：要求固定结构的输出、规定页面格式和字数，再统一发布。第 49 页还写到，同一个来源可以被改写成相反的政治倾向，原本没有政治含义的材料被加上立场，不同地区的事件被抽掉背景重新包装。虚构记者署名与配套评论账号，让这些网站呈现出各有编辑部、各有读者的样子。
从这几段看，调查重点应当包括材料的共同来源。两篇文章分别登在两个网站上，并不自动构成两份独立证据；相同部署、重复署名安排、相近时间的集中发布，比某句话是否“像 AI”更能帮助还原这张网络。
相较之下，第 45 页的**案例已经使用当地 FM 广播，并经 Telegram 和地方媒体放大。操作者还用模型编写员工合同、岗位说明、评分规则和解雇流程。政治立场进入了人员管理：模型提示评分里的政治权重后，操作者换成中性说法，继续使用原有评分。
原文截图 26｜报告第 45 页：FM 广播分发与人事管理。观察到当地广播与媒体分发，不能据此确认公众观点已改变。
这说明模型提供的帮助已经进入组织日常。稿件有人定方向，员工按规则交付，分发渠道负责把内容送出去。模型让翻译、改写和管理文书更容易持续完成，渠道是否已有受众，仍会影响它能产生什么结果。
也因此，不能把“内容经过模型”当成完整调查结论。谁安排了立场，谁为这些站点和人员付费，材料如何被转交，受众有没有发现它们其实来自同一处，都还在后面。对于公众而言，来源是否可靠，需要沿引用和发布关系查，靠语言风格很难判断。
转发报道时，原始报道的日期、发生地点和被引用人的完整说法也需要留下来。文字被翻译和改写几轮以后，读者很容易以为自己看到的是一条新消息，或者一位当地记者的现场判断。即使每句话都流畅，来源被抽掉之后，能够用来核验的东西仍然少了。截图能证明某个版本曾经这样写，却不能代替对事件本身的验证。
09资料变成人物档案以后，错误会继续往下传
监控章节中的模型，常常没有亲自进入摄像头或通信网络。前面的收集系统已经取得了资料，模型接手翻译、关联身份、生成摘要，再把这些结果交给使用者。
第 87 页的一个案例说，操作者用独立于 Claude 的基础设施，从一百多个 WhatsApp 群组和数十个 Telegram 频道取得聊天内容，再交给 Claude 整理成结构化资料。报告描述了跨平台身份关联、人物画像和接触准备；它还观察到，操作者借助翻译与话术检查，对境内的目标持续开展接触。第 88 页的结果表则把最终招募结果列为作者不可见。
原文截图 27｜报告第 87 页：群组资料被整理为人物数据。群聊被整理成人物资料；机构关联与行动用途为报告的归因。
原文截图 28｜报告第 87 页：独立收集系统与 Claude 分析、接触支持。原文区分了独立于 Claude 的采集系统与后续分析，结果范围见下一张。
原文截图 29｜报告第 88 页：招募行动的最终结果不可见。表格将最终招募结果标为作者不可见。
前面的采集和后面的分析，责任需要分别看。资料不是 Claude 直接从群里抓来的，并不意味着将它上传分析就不涉及隐私；模型参与接触准备，也不能据此推定招募已经成功。
人物分析还有一个容易在系统集成中被省掉的问题：依据能不能跟着结论一起传下去。两个平台上的账号究竟是不是同一个人，一条转发是在赞同还是引用，某个家庭关系是已经确认还是仅凭昵称猜测，这些差异在原始资料里可能看得见，到了摘要里就只剩一句肯定的话。
如果再把摘要送入评分和排序，后面的工作人员往往接触不到原文。他看到的是一个已填好的字段，可能自然地以为前面的人已经核验过。这里讨论的是所述流程可能产生的风险，报告没有统计这样的误判发生了多少次。工程上仍应当保留来源、时间、关联依据以及未确定的部分，让更正能够传到已经使用这份结论的地方。
资料保留得越久，这件事越难靠人工记忆处理。原始记录后来被更正，已经生成的摘要、导出的表格和缓存中的人物资料是否会一起更新，需要系统有明确记录。仅删除最初上传的文件，不能证明它衍生的所有副本都消失了。若后面还接着另一家模型服务，删除和更正的请求也需要沿处理关系继续传递。
**案例更直接地涉及系统控制。第 103 页称，一名顾问借助 Claude 建设面向当地情报机构的通信监控平台，覆盖三家运营商约 2500 万张 SIM 卡。SIM 卡数描述系统范围，不能换算成同等数量的人都被完整监听。
第 104 页列出的变化尤其具体：操作者要求移除人物报告模块的令状要求，控制默认关闭，资料无限期留存。原文同时指出，定向监听部分存在的审批和审计规则，没有延伸到批量处理层。平台最终在本地使用其他模型运行，Claude 提供设计和工程支持；封禁开发账号不影响已经部署的产品。
原文截图 30｜报告第 103 页：**平台范围与运营主体。约 2500 万张 SIM 是平台范围，不是已经确认的被监听人数。
原文截图 31｜报告第 104 页：令状要求移除、本地运行与批量层控制。令状要求、批量处理、资料留存与本地部署需要分别检查。
这一页几乎可以直接带进系统评审。前台有审批流程，后台批处理是否走同样的校验？单次查询需要理由，批量导出是否也需要？一项控制被默认关闭后，还有什么会阻止任务继续？安全要求若只写在一个页面上，其他入口很可能不受它约束。
开发和部署也应分开记录。外部模型曾经参与写代码，无法证明线上系统每次运行都会联系那家服务；反过来，线上已经改用本地模型，也不会自动清除开发期间送出去的源码和项目资料。要查前者，看实际运行依赖；要查后者，看当时的请求和留存。两份记录回答不同问题。
10软件写到了哪一步，要让测试结果来说话
常规武器章节容易被压缩成一句“AI 已经造出了武器”。但报告里写明的进展，比这句话细得多。
第 113 页描述了**一组操作者的现场试射。作者根据操作者数小时后回来分析失败的行为，判断试射看来没有成功。同一段明确说，没有证据证明他们已经部署可作战装置。
原文截图 32｜报告第 113 页：试射看来失败与独立离线工具。保留试射看来失败、未见可作战装置部署证据，以及离线工具已经存在的描述。
这已经比纸面设想走得远：模型参与的内容进入了测试，测试结果又回到下一轮软件工作。但一个失败后的问题被提交给模型，不代表模型找对了原因，也不代表后续修改通过了验证。这里能确认的是工程往返已经发生，最终能力还缺其他证据。
原文还提到，操作者已经做出了不依赖 Claude 的离线仿真工具。停掉账号能够切断后续访问，不能抹掉已经交付的代码。判断处置效果时，需要区分账号是否还能用、项目是否还能继续，以及现实部署有没有停止。
**无人机案例在第 118 页配图中用技术成熟度标出进度：已观察工作主要处于技术验证阶段，现场使用没有被观察到。对于武器项目，这些阶段差异决定了我们究竟能下多大的结论。
原文截图 33｜报告第 118 页：原报告图：工程活动的技术成熟度。这是报告原图，保留技术成熟度、图例和图注；现场使用与系统测试没有被观察到。
同章还专门区分了开发与另外两类活动。第 122 页说，后两起案例用于搜集武器计划及供应链信息、采购军民混合用途物资，没有使用 Claude 开发武器软件。提案、供应商资料、报价和研究记录，都可以成为项目的一部分，但不能单独证明货物交付，更不能替代系统验收。
原文截图 34｜报告第 122 页：情报与采购不同于武器软件开发。原文将情报搜集和军民混合用途采购，与武器软件开发分开。
这类材料的分析，最好保留它原本的工程状态：规划、文档、代码、仿真、实物测试、部署，各自是什么证据。把它们全部归入“成功”，会夸大已经发生的事；把未部署的一切都当作无关紧要，又会看不到正在形成的研发能力。
工程人员对这种差别并不陌生。代码能够编译，说明它通过了某些语法和链接检查；一次测试通过，说明它在那组条件下给出了预期结果。条件变了是否还可靠，需要另外的验证。阅读这类报告也应该保留相同习惯，尤其不要把操作者在提示词里声称的目标，当成已经完成的性能指标。
11生物研究里，报告主动保留了哪些判断
生物研究章节需要先读作者写出的限制。第 130 页明确说，相关人员是科研工作者，作者不主张他们具有伤害意图，也没有公开可能使人员或实验室受到伤害的身份信息。第 137 页再次说明，这些案例并非 Claude 正在促成迫近生物威胁的证据。
原文截图 35｜报告第 130 页：生物案例的伤害意图未被主张。作者明确不主张相关科研人员具有伤害意图。
原文截图 36｜报告第 137 页：多数研究为民用与非迫近威胁判断。多数研究为普通民用科学；作者没有将这些案例作为迫近生物威胁的证据。末句接下一张。
原文截图 37｜报告第 138 页：生物研究治理主张的跨页续句。接上页：机构核验与数据留存是 Anthropic 提出的治理方向。
因此，将这一章直接写成“发现了用 Claude 制造生物武器”，会改变原文的证据含义。作者关注的是具有双重用途的研究，以及这些研究怎样接入模型、获得帮助。我们讨论的也应当是这个范围，不应补写没有被证明的攻击计划。
第 137 页还有一个容易被忽略的数字：作者回看与其所称“受关注国家机构”有关的三十天活动，发现约三十五项不同研究，其中大多数属于普通民用科学。这说明同一类账号关联，不足以让每项研究都变成恶意行为；相关机构的政治归类，也应当明确属于报告作者的判断。
难处在于，模型能帮助整理文献、分析数据、写申请，也可能对研究判断提供支持。这些工作使用的知识，未必能按有益和危险划出清楚的词表。一个分类器看到技术术语，并不一定知道研究目的；只看到平常的文书请求，也未必知道它位于什么项目里。
Anthropic 在这一页提出的方向，是结合账号和机构信号核验使用者，并保留一定数据以支持调查。这是供应商的治理主张，可以讨论其合理性与代价，不能当成已经解决了全部问题。
身份核验会带来额外资料，安全调查会接触研究内容。谁能够审阅，保留多长时间，误判后怎样更正，仍然要有安排。判断某项研究是否合适，不应顺带使它的未公开材料失去保护。报告强调风险可见性时，使用者也有理由要求了解这种可见性覆盖到哪里。
这里需要分别说明几种判断：是否违反某家服务的接入条件，是否触发其内容政策，以及是否存在现实伤害证据。三者可能重叠，却不能互相替代。一个账号绕过了区域限制，可以成为平台处置依据；这条事实本身无法证明研究者准备实施攻击。把每个判断及其依据写清楚，技术讨论才不会在转述中逐步变成身份指控。
12真人出镜，也不能证明后台一直是真人
诈骗章节把前面几种关系放进了同一门生意：模型负责持续对话，真人负责一些建立信任的环节，中转商提供接入，应用负责收费。
第 139 页写到，一家位于**的应用工作室运营二十多个约会 App，对外宣传全部由真人参与。在 2026 年 4 月的两周观察窗口内，报告识别出 4700 多个 AI 人设，与至少 25000 名不同用户交谈，Claude 产生约 236 万条消息。工作室把真人资料混入同一匹配列表，真人还会得到其他模型生成的回复建议。
原文截图 38｜报告第 139 页：约会应用网络及真人混入。保留两周窗口、人设数和交谈人数，不能直接换算成付费人数。
原文截图 39｜报告第 139 页：约会服务的真人比例与模型消息量。真人与模型的分工，以及约 236 万条消息。末句接下一张。
原文截图 40｜报告第 140 页：多服务分工续句与单次交流不可见的欺骗。接上页：抽样交流中的角色扮演，与单次请求看不到的变现和欺骗安排。
这里的分工很现实。真人可以视频通话，可以在社交平台回关，让用户相信服务确实有人；模型则维持大量日常聊天。真人出现在哪个环节，需要具体看，不能推定每个机器人身份都由同一个真人接替。但一次视频通话确实不足以证明整个匹配和聊天服务都符合宣传。
第 140 页把经营流程写得更清楚。匹配和消息会消耗额度，用户购买应用内代币补充；工作人员按消息、视频和关注等行为获得报酬。自动人设被要求不披露自动化身份，后台还会记录哪些用户开始怀疑对方是机器人。
原文截图 41｜报告第 140 页：付费额度、真人报酬与自动人设。用户额度、工作人员报酬与自动人设被组织在同一服务中。
对用户而言，他可能是在判断一个人是否愿意继续交流；对后台而言，一次回复既是内容，也是被计价的互动。收费和身份说明连在一起，才看得出欺骗在哪里。仅把其中一句聊天送给模型检查，可能只会看到普通陪伴或角色扮演。
原文在同页也明确说，抽样对话里的系统提示看起来像普通角色扮演部署，变现和欺骗机制在单次交流内部不可见。这为内容审核提出了一个具体限制：检查答案是否包含明显有害词句，不足以判断整个应用怎样对用户收费、是否如实说明服务对象。
两周消息量足以说明服务已经在运行，但原文没有披露总损失、付费人数或每位用户的支出，不能把交谈人数直接换成受骗付款人数。已经确认的经营结构和观察规模，本身就足以支持分析，没有必要再补上一个更大的损失数字。
这类服务的核验也应当超出模型回复。用户购买时看到了什么承诺，自动化身份在哪一步告知，付费后的互动由谁提供，退款与申诉记录又反映了什么，都是判断经营行为的材料。只抽几条措辞礼貌的回复，或者证明后台确实雇了真人，都回答不了这些问题。服务究竟如何交付，要把前台承诺与后台分工放到一起对照。
从维护平台的角度看，账号处置还要能对应不同参与者。聊天模型、图片服务、工作人员、应用后台和中转接入不由同一家控制，只关闭其中一个入口，无法据此宣告整套业务停止。第 141 页对这些分工的说明，也让人看到跨服务调查的必要性：单家供应商可能只掌握其中一部分。
原文截图 42｜报告第 141 页：不同模型和真人分别承担的工作。多家模型服务、真人与应用后台承担不同工作。
13把每一段处理关系记下来
读到这里，Anthropic 自己也在这条数据路径上。
它能够看到进入服务的请求，结合元数据和异常活动关联代理账号，再判断背后的组织。报告对蒸馏调查的描述，就是按组织关联来处置，而非只逐个关闭账号。
原文截图 43｜报告第 153 页：Anthropic 使用元数据和异常活动信号关联账号，尝试归因到组织后进行处置。
这样的可见性有实际用途。前面的约会应用，在单次请求里可能只是角色扮演；一组互不认识的账号，也可能正在为同一项业务工作。如果没有一定的关联分析，平台很难从零散请求里识别整个经营或攻击流程。
但安全调查获得的内容，仍然可能包含未公开研究、公司文档、人物资料和凭据。平台需要调查，不会让这些资料自动失去保密要求。谁能查阅、什么条件下可以查阅、保留多久、怎样处理误判和删除请求，都需要可以核对的安排。
这份报告没有证明所有正常对话都会永久保存，也没有证明所有内容都进入模型训练。尤其在蒸馏争议里，Anthropic 同时是服务提供者、调查者和利益相关方。读者可以认真看它给出的材料，也应当给后续证据与相关方回应留出位置。
如果把这些案例带回一个正在接入 AI 的团队，我们会先做一张朴素的清单：每项功能用哪个客户端，请求先到哪里，下游是谁，里面有哪些内容，谁掌握能够执行操作的权限。不要只按采购合同里的品牌填，还要与配置、调用记录和实际部署对应。
接着选一个具体任务走完全过程。例如，让模型解释一段经过脱敏的错误日志。客户端实际附带了哪些上下文？网关是否改写请求？返回以后，哪些系统留下了记录？排错平台保存的是摘要还是全文？对受控测试使用没有业务秘密的样本，就可以先弄清这些机制；没有必要为了验证安全性，再把真实密钥放进去试一次。
再按资料类型决定允许的处理范围。公开文档、内部设计、个人资料与有效凭据，不应该因为都能放进同一个文本框，就享有相同的发送权限。能用占位符解释的问题，先去掉真实值；确实需要访问系统的代理，用受限、可撤销的授权，并把它与普通问答的权限分开。
对于第三方中转，除了模型和价格，还应当能够回答谁运营服务、是否再委托、保存哪些字段、会不会改变用途，以及出现事件时能提供哪些记录。技术探测可以看到一部分行为，服务端的保存和转售不能只靠本机抓包排除。需要服务承诺、审计材料和实际记录互相印证，某一项拿不到，就应当如实记录这个缺口。
最后是处置。密钥暴露了，要追它是否被使用，以及后来是否派生出其他授权；交互被转交了，要追接收者、原始记录和衍生材料；开发账号被封了，要查已经交付的软件是否仍在运行。不能用“已经改了接口地址”概括这三种不同的问题。
对写代码和维护系统的人而言，这些工作并不神秘。它们和我们平时处理供应商接入、日志权限、批量任务和账号撤销，是同一类工程问题。AI 让一段请求能完成更多工作，也让同一段请求更容易带上原本分散在多个系统里的内容，因此更需要把处理关系写清楚。
一次请求完成以后，界面通常只留下答案，后台可能还留着日志、训练材料和继续有效的授权。排查就沿着这些实际留下的东西往下做：记录由谁保存，材料交给了谁，权限何时撤销。每一项都应该有负责的人和可核对的结果。
14资料与截图说明
本文主要依据 Anthropic 于 2026 年 9 月 10 日发布的《Detecting and countering misuse of AI: September 2026》，依据该报告的 154 页 PDF，并核对其官方报告页面 。事件归因、规模和调查结果保留原作者归属。文中的工程判断与检查建议是 Yofune_Labs 的分析，不表示我们独立复现了相关行动。
原文截图按 PDF 实际页面裁切，页码与原页脚一致。身份相关的机构、人物、民族及地点名称已从 PDF 内容中移除，并以两个字面星号 ** 替代；其余英文未重排，归因与不确定性限定保留。遇到跨页句子，连续展示两页对应部分。截图保留与判断有关的上下文和限定语，**图注便于理解，不是逐字翻译。流程示意图为 Yofune_Labs 根据原文重绘，与原文截图分开标示。
两份在线技术文档核对日期为 2026 年 9 月 11 日，只用于解释网关和推理请求路由机制，不作为历史案例中客户端版本及配置的证明：
完整配图包另附原文截图索引和裁切位置，便于编辑核对与后续勘误。