Anthropic 关于 AI 主导网络间谍活动的报告

摘要

30 秒看懂

Matthew Berman 讨论 Anthropic 关于 GTG-1002 的报告。该公司以高置信度判断这一组织受到中国政府支持，并报告约 30 个目标、少数确认成功的入侵，以及在人工监督下大量使用 AI 自动化；视频由 Vultr 赞助。

1有限的归因Anthropic 以高置信度判断该组织受到中国政府支持，并报告了少数经确认的入侵。
2有监督的自动化公司估计 AI 执行了 80%–90% 的战术工作，而人类负责指导行动并批准关键决策。
3幻觉限制攻击效果模型有时将无效凭据或公开信息报告为敏感发现。
4连接的工具报告称该框架通过 MCP 使用 Claude 和软件工具；MCP 也有合法用途。
5应对与防御Anthropic 表示已封禁账号并改进检测，同时认为 AI 也能帮助防御人员。

要点建议

Anthropic 报告约 30 个目标和少数经确认的成功入侵，并非所有攻击都成功。
其 80%–90% 的估计指这次行动中的战术工作量；人类仍负责选择目标和关键决策。
Claude 有时会编造凭据或夸大发现，限制了自主行动。
公司的可见范围仅限于 Claude；其他模型遭类似滥用是推断，而非本案的调查发现。
Anthropic 表示已封禁账号、通知受影响方和主管部门，并扩大检测能力。

主题Cybersecurity AI security AI agents AI Safety

全文

按章节阅读整理后的全文

对照原始文稿

只看原始文稿

Anthropic 报告及其范围

Berman 介绍这场被报告的行动。Anthropic 描述了约 30 个目标和仅少数经核实的入侵。

Anthropic 发布了一份关于 AI 主导网络间谍行动的报告。公司称这是首个被报告的、在很少人工干预下执行大规模攻击的案例，而不是证明 AI 完全脱离人类完成了整场行动。这段 2025 年 11 月的视频由 Vultr 赞助。

根据 [Anthropic 的报告](https://www.anthropic.com/news/disrupting-AI-espionage)，2025 年 9 月发现的可疑活动涉及一个被该公司命名为 GTG-1002 的组织。Anthropic 以高置信度判断该组织受到中国政府支持。公司报告约 30 个目标和少数经核实的入侵；它没有公开指明所有受害者，也没有独立公布底层证据。

报告称，操作人员在更大的自动化框架中使用 Claude Code 进行侦察、利用漏洞和处理信息，同时由人类指定目标并监督关键决策。Anthropic 估计 AI 独立完成了 80%–90% 的战术工作。这是公司对本次行动工作量的估计，而非测得的耗时比例，也不是没有人参与的证据。

幻灯片 1 / 4Anthropic 对行动的概述报告列出了战术工作量估计、目标数量和有限的确认入侵。

我觉得所描述的规模很惊人：公司称多个智能体实例以人类难以手动匹敌的速度运行。Anthropic 后来更正了对峰值速度的描述：总共数千次请求，通常每秒多次，而不是每秒数千次。它称这是首个有记录的、达到这一自主程度的大规模行动；这一说法限定于它所了解的案例。

幻觉与安全防护

模型有时会编造或夸大发现。Berman 讨论防护绕过和报告可见范围的限制。

幻灯片 2 / 4调查中的模型错误Anthropic 将夸大发现和编造信息描述为局限。

系统也犯了严重错误。Anthropic 表示，Claude 有时声称获取了实际上无效的凭据，或把公开信息当作敏感发现。这些幻觉限制了行动效果，也需要验证；它们并不否定公司所称已确认的少数入侵。

Anthropic 表示，它只能观察自身 Claude 的使用情况，并推测其他先进模型也可能出现类似行为。我认为其他供应商可能面临相近问题，但这份报告没有记录使用 ChatGPT 或 Gemini 的具体行动。不能把其他服务视为已经确认参与本次事件。

报告描述攻击者掩盖更广泛的恶意目的，把各部分呈现为看似合法的技术工作。我将其比作人们熟悉的绕过模型防护的尝试。我对虚构场景的举例讨论不是法律结论，报告也没有证明每种防护都能用简单提示词绕过。

我担心自动化可能让少数操作人员开展比原本更多的活动。Anthropic 将这次行动描述为资源充足且经过专业协调；它没有证明行动仅由一人实施，也没有证明任何没有专业知识的人都能复制。

视频包含云基础设施提供商 Vultr 的赞助环节。该环节中的优惠和硬件说法是 2025 年 11 月的推广信息，并非 Anthropic 调查结果的证据。

自动化与人工监督

报告估计大部分战术工作由自动化完成，而重要决策仍由人类保留。视频解释了一个简化架构。

Anthropic 将本案与其 2025 年早些时候观察到的 AI 辅助入侵作比较；当时人类指导了更多工作。本案中，公司估计 AI 完成了大部分战术工作，而人类选择目标并批准关键决策。这些百分比描述的是估计工作量，并非人类在场的时间比例。

报告称，该框架通过 Model Context Protocol（MCP）将基于 Claude 的智能体连接到软件工具。MCP 是连接模型与工具的通用接口，也可以支持合法工作；报告描述的是它在未经授权的行动中的使用。架构图是简化说明，并非对操作人员系统的完整独立重建。

Anthropic 根据活动模式和请求量推断存在广泛自动化。按其评估，峰值速率使得完全靠手动交互不太可能；但报告没有披露所有遥测数据，也无法让我们独立精确计算有多少工作是自主完成的。人在重要节点仍参与决策。

报告中的行动

Berman 从总体上回顾行动的各个阶段，并区分遭尝试攻击的目标、确认入侵和一个说明性的时间示例。

公司将行动描述为多个阶段：人类选择目标，系统收集目标基础设施的信息，操作人员审查发现并授权进一步行动。目标领域包括科技、金融、化工和政府。这些是遭尝试攻击的目标；报告称约 30 个目标中只有少数被确认遭入侵。

Anthropic 表示，该框架识别并测试了潜在弱点，人工批准在升级行动的节点仍然重要。模型还生成发现供审查。这些观察只涉及公司描述的案例；报告没有表明每次扫描或模型的每项说法都正确。

报告称，行动在人工授权后收集并检查凭据，并在部分系统内进一步移动。我讨论了自动化可能如何改变测试众多可能性的经济性，但我说这几乎不花时间或成本，不应按字面理解：工具、访问、监督和计算都有成本与限制。

在一个数据收集示例中，Anthropic 估计模型自主活动耗时两至六小时，人类操作耗时五至二十分钟。这是报告中某一阶段的单个例子，并非整场行动通用的时间比例。公司称，操作人员审查建议，并最终决定移出哪些数据。

工具、应对与影响

Anthropic 描述了现有工具的使用、账号封禁和通知措施。Berman 思考 AI 辅助防御与未来风险。

报告描述的最后阶段是记录和交接。Anthropic 表示，系统生成的记录帮助操作人员审查并继续工作。报告还描述了大量使用现有安全工具并结合定制编排框架的情况，而非主要依靠新型专有工具。

我好奇攻击者为什么选择带安全防护的托管模型，而不是开放权重的替代方案，并推测了当时可用的能力。Anthropic 报告没有确定攻击者的原因，也没有证明其他方案一定会成功。不过，其描述展示了现有工具如何与 AI 结合。

幻灯片 4 / 4Anthropic 报告的应对措施公司介绍了账号封禁、增强检测和通知相关方的措施。

Anthropic 表示，它封禁了相关账号、改进了检测、通知主管部门和行业伙伴，并在适当情况下联系受影响的组织。公司称将继续报告事件并投资安全防护。这些都是公司报告的应对措施。

我担心能力更强的智能体可能降低实施复杂攻击所需的资源，尽管这一被报告的行动不能量化未来所有攻击者的能力。Anthropic 认为相同的能力也能帮助防御人员，并表示在调查中使用了 Claude。我描述了一种攻防系统相互竞争的未来，但并没有证据表明更好的防御 AI 是唯一可能的应对方式，或能保证获得保护。