Anthropic 威脅情報團隊發布 Detecting and countering misuse of AI 報告，涵蓋 2025 年 12 月至 2026 年 8 月間遭瓦解的濫用行動。這份報告值得關注的原因在於，它首度以 uplift 概念系統性衡量 AI 為攻擊者帶來的增益，並橫跨網路作戰、影響力作戰、監控、詐騙、生物濫用、傳統武器與非法蒸餾七大領域。
當 AI 把過去只有國家級團隊才具備的能力下放給單人行動者，防守方的成本結構正在被徹底翻轉。
七大危害領域與 uplift 衡量框架
Anthropic 報告將八個月內瓦解的活動歸類為七大危害領域，分別是網路作戰、影響力作戰、監控、詐騙與欺詐、生物濫用、傳統武器開發，以及非法蒸餾。涉及的模型以 Claude Haiku、Sonnet 與 Opus 為主，Fable 與 Mythos 等級模型僅在一件非法蒸餾案中被涉及，其餘濫用案例均未觸及。
Anthropic 提出「uplift」概念，用來描述 AI 帶來的攻擊能力增益，並從速度、規模與深度三個維度衡量。報告強調，多數評論聚焦 AI 大規模生成漏洞利用程式的風險，但真正的危險更明顯地分布在整條網路攻擊鏈上，攻擊者能以更少資源、更快速度、更廣且更深的接觸面行動。
網路作戰五案：從國家級間諜到單人行動主義者
GTG-20006 的歸因與公開報導中連結至 Midnight Blizzard 的活動一致，其中一名操作者使用「JackPoterz」代號，其手法與目標選擇符合俄羅斯國家關聯的間諜活動。該行動者以 AI 驅動的工作流程自動化從開發、基礎設施取得、釣魚、持續潛伏到資料外洩的流程，受害組織超過 20 個，涵蓋政府部會、國防與情報機構、使館、智庫與國防工業公司，集中於烏克蘭與歐洲，並延伸至中東與亞洲海事相關政府機構。
該行動者透過至少三家經營飯店旅客 WiFi 的供應商進行間接攻擊，以竊得的 admin 憑證修改 DNS 紀錄指向自家服務，即 DNS 劫持。旅客連上飯店 WiFi 後，流量、裝置識別碼與 IP 位址被送往攻擊者伺服器，再以 ClickFix 手法投放 Windows、Android 與 iOS 惡意程式。微軟威脅情報在 2026 年 7 月將此手法稱為 CaptiveCrunch。此外，該行動者以無頭瀏覽器平臺將受害者 WhatsApp 帳號連結為 companion device，並抑制讀取回條，大量匯出俄語與烏克蘭語對話。
GTG-50014 涉及疑似 ShinyHunters 集體的合作成員，屬機會型入侵。一名法語操作者以 10 臺 AWS EC2 工作節點建立憑證收割流程，大量下載 180 萬個 Android APK 並反編譯掃描硬編碼秘密。GTG-10007 則展現自動化漏洞工廠的模式，操作者以「代理蜂群」拆分偵察與後滲透工作，並保留跨工作階段的持續記憶，讓競選活動能中途重啟。其零時差研究流程把設備韌體載入反編譯器，經過數千次反編譯呼叫與交叉參照，形成漏洞假設並自動開發利用程式。
GTG-50020 是一名俄語、財務動機的行動者，原本攻擊飯店訂房與金融科技平臺，曾從單一受害者外洩約 26GB 資料並勒贖 150 萬至 250 萬美元。之後他把同一套手法轉向 AI 產業，在約四天內以相同技術攻擊約 30 家 AI 公司。其目標是取得未發布的 Claude 模型，但所有路徑都失敗，取得的僅是客戶環境中的金鑰，Anthropic 自身系統未被入侵。GTG-50029 則是一名單一法語行動主義者，獨力攻擊歐洲政黨、媒體與相關實體。
影響力作戰九案，橫跨六大洲
影響力作戰共九案，地理範圍橫跨六大洲。其中馬來西亞選舉操縱案建立平臺管理超過 1,000 個假 X 帳號，涵蓋 222 個國會選區，並使用真實選民資料餵養內容。另有商業化的「影響力即服務」跨六洲運作，同時鎖定美國、巴西、法國與剛果民主共和國，把真實新聞改寫成符合各國政治角度的版本。
中非共和國案更細緻。一名在 Bangui 的俄語行動者為俄羅斯國家對外資訊操弄行動提供內容生產骨幹，透過 Radio Lengo Songo（98.9 FM）每日產出內容，並與 RT、Sputnik Afrique、TASS 及俄羅斯之家協調。每當生成內容，操作者會明確要求 Claude 嵌入親俄、反法國的談話要點，同時刻意去除 AI 生成痕跡，讓新聞看起來不像合成文本。調查組織 All Eyes On Wagner 指出，該電臺由瓦格納集團於 2017 年創立並資助。
監控濫用：從通訊群組到電信級 SIM 追蹤
中國相關案例從 100 多個 WhatsApp 群與數十個 Telegram 頻道萃取大量對話，轉成結構化的中文資料，並建立可能因財務壓力、家庭分離與思想失望而容易被鎖定的個人檔案。行動者特別找出仍有家人留在新疆的目標，這種槓桿只有與中國國內安全機構協調才能運用。
伊朗案例以惡意 Firefox 擴充竊取使用者身分資訊。馬利則有 Lakana 360 監控系統，涵蓋約 2,500 萬張 SIM 卡與三家電信業者，屬商業間諜軟體等級的監控能力。值得注意的是，Claude 在此不是用來分析監控成果，而是被當成工程人力，用來設計整個情報收集平臺。單一顧問就能打造過去需要團隊才能完成的系統。
傳統武器六案與生物濫用五案
傳統武器開發共六案，中國三案、俄羅斯兩案、葉門一案。葉門案例涉及三個武器計畫，包括使用商用電話等級飛控電腦與終端導引的導引火箭、射程目標超過 2,000 公里的多級彈道飛彈，以及包含極音速滑翔載具版本的 R2000 系列。行動者以 Claude Code 取代人類軟體工程師，開發飛行器的導引、導航與控制軟體。中國案例包括反魚雷射控規格與水下作戰採購文件，俄羅斯則聚焦自主軍用系統與軍民兩用採購。
生物濫用有五個案例，涵蓋軍民兩用研究平臺、高致病性禽流感適應哺乳類的研究、痘病毒研究的隱蔽前沿模型存取，以及蛇毒與毒素。Anthropic 表示，舊模型的能力評估明顯低於可協助高階使用者進行危險生物研究的門檻，但今日模型已無法做出同樣保證，因此對 Fable 5 採取更嚴格的防護措施。
詐騙與非法蒸餾：規模化與模型竊取
詐騙領域中，中國團隊以 Claude 建立 20 多個交友 App，並驅動與使用者對話的 AI 人設，卻對外宣稱服務完全由真人提供。在 2026 年 4 月的兩週內，研究團隊發現超過 4,700 個不同的 AI 人設，與至少 25,000 名不同使用者互動。該團隊還招募真人混入同一個配對隊列，主要用於視訊通話與社群追蹤等真實驗證，降低受害者戒心。AI 與真人的比例為 3 比 1。
非法蒸餾方面，阿里巴巴旗下 Qwen 與通義實驗室發動 Anthropic 歷來測得最大規模的蒸餾攻擊。其流程在每個請求注入固定提示，迫使 Claude 在內嵌文字標籤中寫出思維鏈，再轉成監督式微調資料，用於訓練 Qwen 3.5、3.6 與 3.7。攻擊高峰達到每日近 300 萬次對話，來自超過 3,500 個詐欺帳號。
DeepSeek 則建立思維鏈萃取流程，利用跨工作階段重播攻擊，並在使用者不知情的情況下，把原本要交給 DeepSeek 自家模型的請求靜默轉送給 Claude Opus。Moonshot 同樣以 Claude 代替自家 Kimi 模型服務使用者，並收集對話。小米把自家 MiMo 模型的使用者對話與程式工作階段重播給 Claude，用於監督式微調與強化學習，觀測到超過 40 萬次請求、分布在 1,500 多個帳號。商湯的蒸餾流程包含向第三方資料供應商購買的 Claude 對話紀錄。MiniMax 則透過一家與母公司無明顯關聯的空殼公司建立代理網路，只提供 Anthropic 與 OpenAI 模型，藉此收集美國前沿模型的對話。
Anthropic 的對策與防守成本翻轉
Anthropic 的對策包括以分類器偵測對抗性萃取、封禁帳號與相關組織、要求使用者驗證身分，以及在回覆前先摘要內部推理，讓被竊的對話紀錄較難用於訓練另一個模型。Fable 5.1 導入 preserved thinking，阻止新的 API 帳號在多輪對話中修改 Claude 推理之前的系統提示、工具或訊息。
報告指出，AI 已把成本翻轉回防守方身上。過去防守方部署新偵測特徵可拖慢攻擊節奏，如今能力足夠的對手能自行修改惡意程式、重建工具，直到繞過現有偵測，速度可能快於防守方開發與部署新特徵。攻擊者的成熟度也不再是可靠的身分訊號，從偵察、工具開發到資料處理與利用，每一層攻擊面都被 AI 提升，單人行動者與國家級團隊的界線正在模糊。
CyberQ 觀點
這份報告的重點不在個別案例的戲劇性，而在 uplift 框架揭示的結構性變化。AI 讓攻擊鏈的每一環都能以更少人力執行，防守方過去靠靜態偵測墊高對手成本的做法正快速失效。對台灣讀者而言，飯店 WiFi 的 DNS 劫持、供應鏈滲透與代理網路收集資料尤其值得警惕，因為這類間接路徑正是本地企業與政府單位常見的弱點。
原始報告連結為 https://www.anthropic.com/threat-intelligence-report-september-2026，建議資安團隊對照自身暴露面重新檢視偵測策略。
