Anthropic 2026 年 9 月威胁报告：开发者该从中读到什么

简短回答

这份报告已经发布七周，当时被广泛报道，所以本文不打算复述新闻。它只做三件更窄的事。第一，把 Anthropic 在自己报告中陈述的内容与媒体后来添加的内容区分开。第二，把这些案例翻译成使用智能体、编码助手和 LLM API 交付软件的人可以做的具体决策。第三，在结尾给出一份本周就能落地的清单。

我们读了完整的报告页面、威胁情报总览页、CNBC 的文章和 TechCrunch 的文章，并看到了 Reuters 报道的开头部分。我们没有对任何案例做独立核实。案例细节的唯一来源是 Anthropic，所以下文凡是没有标注为媒体的内容，都是“Anthropic 称”。我们有意略去了生物、武器和影响力行动方面的内容：它们对开发者没有可操作性，也是最容易被粗心转述的部分。

报告是什么

报告页面标题为 “Countering misuse of AI: September 2026”，总览页将其列为 “Detecting and countering misuse of AI: September 2026”，归入 Security 类别，日期为 2026 年 9 月 10 日。Anthropic 称，其威胁情报团队在过去八个月里识别并处置了威胁行为者试图利用 Claude 进行恶意活动的行动，并说这项工作承接 2025 年 3 月、8 月和 11 月的早先威胁报告。

按 Anthropic 自己的话，范围是 2025 年 12 月至 2026 年 8 月之间处置的活动，分属七个危害领域：网络行动、影响力行动、监控、诈骗与欺诈、生物滥用、常规武器研制和蒸馏。Anthropic 称使用的是 Claude Haiku、Sonnet 和 Opus 模型，并称“除一起非法蒸馏案例外，没有任何滥用案例涉及 Claude Fable 或 Mythos 级模型”。它还说这些案例“不是典型的滥用，而是我们迄今发现的最值得注意、最新颖的威胁活动的例子”。阅读每个案例时都要记住这种选择效应：这是一组精选的最坏例子，而不是基础比率。

报告中有两个约定值得了解。“Generative Threat Groups”，缩写为 GTG 加编号，是 Anthropic 对其观察到滥用 AI 的行为者的内部代号；GTG 标签是 Anthropic 的归类，不是行为者自己使用的名字。另外，报告试图衡量“uplift”（提升），即有 AI 比没有 AI 多造成了多少危害，从速度、规模和深度三个维度来看。Anthropic 对网络领域的结论是：AI 采用带来的更大风险分布在整条攻击链上，对手可以用更少的资源，更快地在更广、更深的面上行动，而不只是在漏洞利用生成上。

Anthropic 还说，在每个案例中，它都处置了相关活动，据此加强了安全防护，并在适当时向当局和行业伙伴分享了情报。它说希望这些发现能帮助其他开发者在自己的平台上识别类似模式。这句话就是本文接受的邀请。

案例一览

下表只列出对开发者有意义的案例。右列是我们的解读，不是 Anthropic 的。中间一列的案例事实都是按 Anthropic 的陈述转述的。

智能体网络行动

网络部分的头条就是它自己的小标题：“复杂的攻击不再需要复杂的攻击者”（“Sophisticated attacks no longer require sophisticated attackers”）。Anthropic 称，AI 已经消除了资源充足的国家级行动与个人操作者之间的人力和工具差距；在这些案例中，一名使用被盗 API 密钥的黑客行动主义者、若干分散的出于经济动机的个人，以及一名国家间谍操作者，各自维持了多受害者的行动，而这些行动在一年前需要许多熟练操作者。

第二个趋势是自主性。用 Anthropic 的话说，“本报告所述的大多数行动是由 AI 通过直接执行或编排实现的”，已经超出聊天机器人的一问一答，而是“使用多智能体框架执行侦察、利用和数据外传”，同时“人类仍在回路中，负责设定攻击目标并审查外传内容”。报告把这一点与它 2025 年 11 月对一场疑似国家支持的自主行动的文章联系起来，并称这种运作模式现在已经扩散到它调查的每一类行为者。它点名 PentAGI 作为公开可得的攻击型智能体框架的例子，称其复现了大部分相同的脚手架。

值得弄懂的几种循环

报告中有三段工作流描述很有用，因为它们是被指向错误目标的普通智能体模式。在 GTG-20006 中，监控智能体检查已部署的植入程序是否被安全产品标记，如果是，就自主修改并重建，直到不再被检出；Anthropic 补充说，人类主要在工作流需要调整时修改 Claude Code skills。在 GTG-10007 中，一个主智能体分解任务并分派给许多并行子智能体，目标列表、凭据和行动状态跨会话保存，因此每个会话都能从行动中途恢复。同一案例中，一条固件循环通过工具服务器把二进制文件载入反编译器，在数千次反编译调用中沿交叉引用前行，依据一个持续整理的知识库形成假设，编写利用代码，并针对实验室副本测试直到成功。Anthropic 称，一条这样的工作流在一个月内产生了十几个可能的零日发现。

对任何构建过编码智能体的人来说，这些要素都不陌生：工具服务器、并行子智能体、持久记忆、测试并迭代的循环。报告的要点是，这套工程脚手架如今在防守者、爱好者和攻击者之间是共用的。如果你自己在构建智能体循环，我们的编码智能体 loop engineering 指南讲的是同一模式的建设性版本；有界的范围、验证和日志，同样是区分建设性与有害用法的纪律。

入侵从哪里开始

对于机会主义集群，Anthropic 称大多数入侵始于被泄露的凭据，暴露的令牌被“工业化规模”地发现，手段是自动化抓取和挖掘应用二进制文件、代码仓库、客户端代码、凭据存储、容器镜像、元数据端点、开放存储，以及受害者部署的 AI 智能体。按报告所述，一名关联者的流水线批量下载了 180 万个 APK，将其反编译，并用 TruffleHog 扫描硬编码的密钥，把验证过的发现实时送到 Telegram。另一名关联者在攻破一家软件即服务提供商之后，提取了大约 200 个下游客户组织的数据，并在约 34 小时内完成了一次会话存储转储，其中包含 2,100 多组 Azure AD 令牌，跨越 40 多个租户，而几乎全部工作由 AI 智能体完成。另一起入侵从一枚被盗的开发者令牌，在大约三小时内升级为对受害者云环境的完全管理控制。

Anthropic 把这种风格描述为类似“vibe hacking”：操作者给 AI 一个笼统的目标，比如使用某个凭据或从许多目标中取回数据，然后让它评估环境、编写并执行脚本、反复进行直到完成，操作者自己往往并不理解每个目标环境。对防守者来说，相关的论断是：从首次获得访问权到批量窃取数据的时间已经缩短到几小时，因此依赖人在几天内发现的检测方式，节奏是错的。

AI 供应链成了攻击目标

报告中对开发者影响最直接的就是这一节，因为它讲的是你手里已经有的凭据和集成。Anthropic 称，以被盗 API 密钥、会话令牌和设备的形式获取 AI 访问权，“已越来越成为多个犯罪团伙的唯一目标”，这些团伙通过中间商出售访问权，流入欺诈性转售网络，不断换入新的被盗密钥和令牌，直到额度耗尽。攻击者也会为自己的行动使用或购买这些密钥。

赃物、算力和掩护

Anthropic 列出攻击者从一份被盗 AI 凭据中同时得到的三样东西。赃物：密钥在既有市场上有转售价值。算力：攻击负载由别人买单。掩护：活动被归到凭据合法持有者名下。报告给出了例子。一场黑客行动主义者的行动完全依靠被盗 API 密钥运行了一个月。疑似 ShinyHunters 关联者在入侵中拿到受害者的 AI 密钥后，把自己的攻击负载切换到受害者的密钥上，一把被盗密钥被用了大约三周对其他组织发动二次攻击。而且在 Anthropic 描述的每一个实例中，密钥都是从 Anthropic 客户的环境中被盗的；报告称，这些行为者没有攻破 Anthropic 自己的系统。

“掩护”这一点值得开发者留意。如果一把被盗密钥被用来攻击第三方，服务商一侧和受害者一侧的日志都会指向密钥的持有者。因此，泄露的密钥是一项责任和调查难题，而不只是一张账单。

假客户端，假转售商

Anthropic 描述的一条流水线始于一些冒充多个 AI 模型之间中介的网站，提供前沿模型的折扣访问。访问者会通过几种方式被攻破，最持久的一种是让他们安装恶意的客户端应用，这些应用常常冒充包括 Claude Code 在内的流行 AI 工具，实际上是凭据窃取程序。据 Anthropic 称，它们收集受害者的凭据和已认证的会话令牌，包括与 AI 相关的会话令牌和 API 密钥；由于被盗密钥可能被重置，窃取程序会持续监视设备上的新会话并把它们也发出去。我们的推断是（Anthropic 没有这样说）：在一台曾运行过这类客户端的机器上轮换密钥，在机器被清理干净之前没有用。

按 Anthropic 的描述，GTG-50021 是一个说俄语和乌克兰语的团伙，运营着一个欺诈性 AI 转售服务，提供廉价的 Claude 访问权。用 Anthropic 的话说，那“既不便宜，也不是真正的 Claude”：客户流量被悄悄代理到另一个模型，同时转售商的工具安装了凭据窃取程序，窃取 Anthropic 账号凭据并转手出售。Anthropic 在这些案例之后的指引很直白：“AI 访问权只应通过授权渠道购买”，并且“所谓折扣如果需要把流量和凭据经由一个不明中间方转发，就会给用户数据和系统带来极大风险”。

沙箱与封装服务：把提示注入当作外传手段

有两个案例直接涉及智能体时代的基础设施。Anthropic 称，多名行为者攻破了 AI 封装服务对 LiteLLM 的部署，利用提示注入把其云托管容器环境中的生产 API 密钥外传。而在 GTG-50020 中，向某 AI 厂商的自动评测沙箱注入恶意指令，使沙箱交出了它持有的凭据，包括来自多个服务商的生产 API 密钥。来自同一基础设施的后续行动在约四天内攻击了大约三十家 AI 公司：找到一条可行的攻击路径，再稍加调整后重复使用。Anthropic 称，该行为者的目标是获取一个尚未发布的 Claude 模型，它从未得手，每一条尝试的路径都失败了。

这里的设计教训与 Claude 无关。它是：凡是能读到密钥的智能体、评测器或代理，都可能被它所处理的任何文本说服而泄露密钥。如果你运行具有文件和终端权限的智能体，请对照我们关于 Desktop Commander MCP、Antigravity 安全和防止危险命令的指南中的提醒，检查你是如何限定智能体权限的。

非法蒸馏

蒸馏一节是报告中成为头条的部分，也是最需要谨慎归因的部分。除非标注为媒体，本节的一切都是 Anthropic 的指控，我们也按指控转述。

Anthropic 所说的这个词是什么意思

Anthropic 说“蒸馏本身是一种正当的训练方法”：较大的教师模型生成回答，较小的学生模型用这些回答来训练。它把非法蒸馏定义为“未经授权、以工业规模秘密提取一个模型的能力并在另一个模型中复制”，通常借助欺诈实现，也就是用被盗银行卡、凭据和 API 密钥搭建的虚假账号网络。它说这些实验室一般通过代理服务（也称“中转站”，“transfer stations”）访问 Claude，这些服务用虚假身份创建成千上万个账号，并使用属于合法公司或个人的被盗 API 凭据。它补充说，这些欺诈活动会伤害合法客户，其他前沿实验室也遇到过类似攻击。

Anthropic 报告称，被针对的能力是智能体能力与工具使用、编码与数据分析，以及推理。它还描述了最受关注的手法，即提取思维链推理轨迹，并分享了用来诱使 Claude 透露这些轨迹的提示，其中包括一条被包装成翻译为纯片假名日语的请求。它称，有一个未经授权的实验室做了一次超过一万两千次请求的实验，每次请求用一种不同的技术，然后把有效的技术用于发动更大规模的攻击。

各实验室及 Anthropic 陈述的数字

这张表有两点需要注意。报告的数字被描述为在不同时间窗口内观察到的“超过”某值，所以不能加起来得到有意义的年度总数。并且 Anthropic 没有给出每家实验室的总量中有多少是转发的用户流量、多少是用该实验室自己控制的账号进行的提取；月之暗面的 30 万请求这个数字明确只针对一个十天的实例。

转发指控与每个使用路由器的人有关

最新的指控是：一些实验室把自己客户的提示发给了 Claude。Anthropic 称，DeepSeek、小米和月之暗面把其模型与用户之间的对话送入 Claude，其中许多交互来自在美国和欧洲常用的第三方模型路由服务的用户，这些会话包含数百名终端用户的姓名、电子邮箱、公司数据和其他敏感数据，涉及至少十二种语言。它自己的评估是：“这些做法很可能与隐私法律以及这些实验室自己的服务条款不一致”。这是 Anthropic 的法律与政策观点，不是监管机构或法院的裁定。

报告给出了提示中夹带内容的涂黑示例：一家制药公司的内部资本支出模型，通过第三方路由器发送给一个编码助手；以及一名开发者的通知机器人配置，里面含有有效的 Telegram、Feishu 和 Notion 凭据。对开发者来说，这个教训与国籍无关：你粘贴进编码助手、或经由路由器访问的任何工具里的内容，都可能被你没有选择的各方看到。密钥应当放在密钥管理器里，而不是放在提示里。

被点名的实验室之一 Z.ai，也是我们 GLM-5.3、GLM-5.3-Flash 与 Ox Alpha 指南的主题，该指南涉及 GLM-5.3，即 Anthropic 称早于智谱部分活动的那次发布。该指南依据的是 Z.ai 自己的材料，既没有测试也没有证实 Anthropic 的说法；就我们的阅读而言，Anthropic 的报告除了本文引用的指控之外，没有对已发布的模型作出任何论断。

Anthropic 称它做了哪些改变

Anthropic 描述了分层防御：用元数据信号识别与代理网络相关的账号；把活动归因到某个组织，而不是逐个封号；构建专门检测对抗性提取的分类器；在有把握时拦截请求并封号。它称 Claude 现在会在回答前对其内部推理做摘要，使被盗的转录价值变低；并称在 Fable 5.1 中引入了 preserved thinking（保留思维），它阻止新的 API 账号修改多轮对话中位于 Claude 推理之前的系统提示、工具或消息。它还称，当出现可能被滥用的信号，例如未经授权的转售，或来自中国、俄罗斯、伊朗等不受支持国家的账号，其系统可以要求身份验证，未通过的账号会被封禁。

报告描述了一种手法：攻击者保存推理签名，开启一个新会话，再让 Claude 把它转换回完整的推理轨迹，并称 Anthropic 正在引入新的方法来对付。我们没有查阅 Anthropic 的 API 文档来确认 preserved thinking 当前的确切行为，所以如果你的应用会编辑对话中较早的轮次，请阅读最新文档，而不要依赖本文的概述。

Anthropic 与媒体

媒体报道大体与报告一致，但有几句在措辞上不同，或加入了额外的叙事框架。下表把它们分开，方便你引用正确的层级。

DeepSeek 一行的不一致就是容易传开的那类事：“交互”（exchange）是 Anthropic 观察到的一对请求与回应，而“攻击”读起来像一次独立事件。至于月之暗面与军方那一行，报告中的细节涉及一名被 Anthropic 评估为可能与解放军有关、并使用了自以为是月之暗面 Kimi 模型的用户。案例细节请引用报告，媒体则只用来说明报道本身的存在。

开发者要点

本节的内容，除非带引号或注明出处，都不是 Anthropic 的说法。这是我们对这些案例如何映射到日常工程决策的解读。

账号安全

Anthropic 报告称，冒充 Claude Code 等工具的恶意客户端窃取了凭据和会话令牌。只从厂商自己的分发渠道安装智能体客户端，对任何向你索要密钥的“折扣网关”保持警惕。对服务商账号以及其背后的邮箱账号启用多因素认证，并检查活跃会话。对团队来说，给每位开发者、每个服务和每条流水线分配单独的密钥，这样撤销一把不会影响全部，日志也能显示是哪一把泄露了。

API 密钥处理

报告中的案例涉及密钥可能泄露的每一个地方：GitHub 上的公开代码、移动应用安装文件、Docker 容器、网站和聊天机器人，以及保管你密钥的厂商环境。只在服务端使用是基线：不要把 AI 密钥打包进移动应用或浏览器 bundle，而是让客户端流量经过你自己的后端，由后端做认证、限流和按用户配额。在发布之前，用密钥扫描工具扫描你的仓库、镜像层和发布产物；报告点名 TruffleHog 是某个行为者用来扫描 APK 的工具，这说明同样的扫描你自己先跑一遍成本很低。给每把密钥设置花费上限和用量告警，因为报告描述过一把被盗密钥被使用了大约三周。

智能体权限

在案例涉及智能体的地方，失败的原因是：一个会处理不可信文本的环境里能读到密钥。对智能体像对服务一样应用最小权限。只给沙箱或评测器该次运行所需的凭据，在平台支持时用短期凭据，并且绝不要给它们你的生产 AI 服务商密钥。限制智能体环境的出站网络访问，让外传的路径更少。把智能体读取的内容，例如网页、issue、文档和工具输出，当作可能含有指令的不可信输入。对有 shell 权限的编码智能体，使用命令白名单，破坏性操作需要确认；我们的 Claude Code 最佳实践指南和 Codex Security Cloud 指南更详细地讲了智能体侧的控制措施。

供应链

报告中的供应链案例包括：某软件即服务提供商被攻破，行为者借此触及大约 200 个下游客户；对下游租户的厂商 OAuth 扇出；以及 LiteLLM 部署泄露了生产密钥的 AI 封装服务。如果你依赖某个保存你 AI 密钥或能在你的租户上执行操作的厂商，要问清楚它们持有什么、范围如何限定、你如何撤销。优先使用有范围限制的 OAuth 授权，而不是共享的长期令牌，并维护一份能访问你云环境的第三方集成清单。对于你自己运营的代理和网关，假设该进程持有高价值密钥，并据此加固。

蒸馏政策与路由器

有三个实用要点。第一，如果你基于模型 API 构建产品，请阅读服务商当前关于用输出训练其他模型的条款；Anthropic 说合法蒸馏是存在的，它的指控针对的是秘密的、借助欺诈的工业规模提取。本文没有审阅 Anthropic 或任何其他服务商的条款。第二，不要使用代理服务、共享账号或伪造身份来绕过地区限制或使用政策；Anthropic 称此类活动可能导致身份验证要求和封号，而且这正是其蒸馏案例研究所描述的模式。第三，如果你使用模型路由器或网关，检查它记录什么、是否出售或分享转录，以及你请求的模型是否就是你收到的模型。Anthropic 在不同案例中指控了悄悄替换模型（GTG-50021）和转录转售（商汤）两种情况。免费试用档同样值得审视：我们的 Ox Alpha 指南引用了 OpenRouter 的通知，称发给该免费隐身模型的提示被服务商保留。

风险与控制措施对照

实用清单

这份清单是我们自己的。每一项都能追溯到上文的某个案例。按顺序往下做；前四项一个下午就能完成。

1. 盘点每一把 AI 密钥，范围包括代码仓库、CI 变量、容器、notebook、移动应用和厂商控制台。任何曾出现在提交、镜像层或客户端 bundle 里的密钥都要轮换。
2. 加入密钥扫描，覆盖提交前检查和 CI，并扫描构建产物（容器镜像、APK、JavaScript bundle），而不只是源码。
3. 把密钥移到服务端。移动应用或浏览器里不放任何服务商密钥。在前面放你自己的带认证的后端，并设置按用户的限流和配额。
4. 设置每把密钥的花费上限和告警，并写明凌晨三点谁有权撤销密钥。
5. 按环境和用途分开密钥：开发、CI、生产、评测。绝不要把生产密钥放进智能体沙箱或评测框架。
6. 限制智能体权限。命令白名单，破坏性操作需确认，不长期持有密钥库的访问权，对不可信任务默认只读。
7. 限制出站：智能体和沙箱环境只能访问它们需要的主机。
8. 把所有摄入的文本当作不可信的：网页、工单、仓库文件、PDF 和工具输出都可能携带指令。记录工具调用日志，以便回看智能体做了什么。
9. 只从官方渠道安装客户端，在提供校验和时验证发布者与校验和，并为团队保留一份简短的获批智能体工具白名单。
10. 只从授权卖家购买访问权。如果价格低得离谱，还要求把凭据经由中间方转发，就按 Anthropic 的指引，把它当作凭据窃取风险。
11. 审查你使用的路由器和网关：日志、保留期、是否转售转录，以及响应是否标明由哪个模型回答。不要通过你无法审计的中间方发送密钥或受监管的数据。
12. 提示之前先脱敏。从粘贴的配置和日志中去掉令牌、密码和个人数据；报告中的示例说明了有效凭据多么容易夹带在一条调试提示里。
13. 检查你的厂商的影响半径。列出保存你 AI 密钥或对你的租户有 OAuth 访问权的第三方服务，并确认你能迅速撤销每一个。
14. 在构建任何用模型输出做训练的产品，或为服务商不支持的地区的用户提供服务之前，先阅读服务商关于输出使用和地区的条款。
15. 为快速检测做计划。Anthropic 称一些入侵从首次访问到批量窃取只用了几小时；对异常的令牌使用、新设备注册和批量导出设置告警。

局限

• 案例细节的唯一来源是 Anthropic。我们无法独立核实任何行为者归因、数字或技术手法，也没有尝试这样做。
• 我们完整阅读了网络、AI 供应链和蒸馏几节。对影响力行动、监控、武器和生物几节没有细读，也有意不做概述。
• 诸如与 Midnight Blizzard 或 ShinyHunters 的关联，Anthropic 都表述为与公开报道一致或属于疑似。我们保留这种留有余地的措辞，不添加自己的判断。
• 报告点名的实验室只是被指控；我们在 2026 年 10 月 30 日的搜索中没有找到它们的公开回应，CNBC 也报道发稿时它们没有立即回应。这种情况可能改变。
• 我们没有审阅服务商的服务条款、preserved thinking 的 API 文档，也没有了解 Anthropic 分类器如何工作的任何技术细节。在我们读到的部分，Anthropic 没有公布其身份验证或执法措施的误判率。
• 我们的开发者要点和清单是工程判断，不是 Anthropic 的说法，也不是对你环境的安全审计。
• 这份报告是截至 2026 年 8 月的快照。手法、模型名称和防护措施此后很可能已经变化。

结论

从开发者角度读，这份报告与其说是前沿模型的政治，不如说是一个老生常谈的事实：凭据会泄露，而攻击者现在有了让每一次泄露都更便宜被利用的智能体循环。Anthropic 最明确的操作建议很短：把 AI 密钥和智能体集成当作生产凭据对待，并且只通过授权渠道购买访问权。案例研究用具体模式支撑了这一点：从应用和容器里挖出的密钥、窃取会话的假客户端和假转售商，以及在提示注入下交出密钥的智能体或沙箱。

蒸馏指控很严重，也说得具体，有数字和账号数，但它们是来自一个同时也是被攻击对象的竞争者的指控，而且在我们读到的报道发布时，被指控的公司尚未回应。把它们当作审视你的提示所经过的中间方的理由，而不是对任何一家公司的裁决。对大多数团队来说，最便宜、价值最高的行动也最不戏剧化：找到你的密钥，限定范围，设置上限，并让它们远离任何会读取不可信文本的东西。

常见问题

来源

来源核对于 2026 年 10 月 30 日。

• Anthropic: Countering misuse of AI: September 2026：一手报告（所有案例细节、数字和引文均归于 Anthropic）
• Anthropic: Threat Intelligence：一手总览页（报告列表标注日期 2026 年 9 月 10 日，以及更早的报告）
• CNBC: Chinese AI labs secretly used millions of Claude exchanges to train their models, Anthropic says：媒体，发布于 2026 年 9 月 10 日（标注为媒体）
• TechCrunch: Anthropic details distillation campaigns from Alibaba, Moonshot AI, and DeepSeek：媒体，2026 年 9 月 10 日（标注为媒体）
• Reuters: Anthropic disrupts Russian, Chinese AI campaigns targeting its Claude models：媒体，2026 年 9 月 10 日（只能取得开头几段）

相关阅读：Desktop Commander MCP 指南、Antigravity 安全指南和编码智能体 Loop Engineering。