Anthropic 发布 9 月威胁情报报告：八个月拦下七类滥用，俄语攻击者用 AI 把恶意软件改到不被发现为止

报告的第一个趋势结论写得很直接：老练的攻击不再需要老练的攻击者。Anthropic 的说法是，AI 的网络安全能力把过去横在资源充足的国家级行动和个体操作者之间的人力与工具鸿沟给填掉了。报告举的例子是一个用盗来的 API 密钥搞事的黑客行动主义者、若干各自为战的金钱驱动型个人，以及一个国家级间谍操作者——他们各自维持了涉及多个受害者的攻击行动，而放在一年前，这类行动需要许多熟练操作者和专门知识。对威胁情报调查者来说，攻击的「sophistication」已经不再是判断背后是谁的可靠信号：进攻链的每一层都被 AI 抬高了，从侦察、工具开发到数据处理和利用。报告用「uplift」这个词来衡量 AI 带来的能力增益，拆成速度、规模和深度三个维度，并认为真正的风险不在模型能不能批量生成漏洞利用，而在于对手能以更少的资源、在更广更深的面上、更快地行动。

第二个趋势是 AI 在攻击中的角色越来越自治。Anthropic 说，报告里描述的多数行动都是由 AI 直接执行或编排的，用法已经超出了聊天式的问答，变成了多智能体框架在跑侦察、利用和数据外泄；人留在链条里，但角色被压缩为设定攻击目标和复核外泄数据。报告点名案例 GTG-20006 就是一个典型：这个操作者开发了一套 AI 辅助工作流，一旦安全产品检测到他们的工具包，工作流会自动重新构建并重新部署。更具体地说，他们用 AI 监控自家工具对已知防御的规避效果——如果监控用的 AI 智能体发现某件恶意软件被安全产品检测到了，智能体就会自动修改并重编译这枚恶意软件，迭代直到不再被检测为止，然后再把工具部署到一次性主机上，供钓鱼、ClickFix 和 DNS 劫持之类的行动取用。2025 年 11 月 Anthropic 记录过的那套疑似国家级自主攻击模型，现在已经扩散到他们调查的每一类行为者；像 PentAGI 这样公开可下载的进攻型智能体框架，把大部分脚手架直接送到了任何人手上。

GTG-20006 的细节值得单独看。Anthropic 说他们的归因与公开报道中把该行为者指向 Midnight Blizzard 的说法一致，其中一名操作者是用俄语的账号 JackPoterz，其手法和目标与俄罗斯国家关联的间谍活动相符。攻击目标包括乌克兰与欧洲政府中的军事情报对象，以及与美国外交政策相关的防卫组织和个人。这个操作者的工具包并不简陋：两族基于 Windows 的植入程序、一套移动端利用工具、一个针对浏览器密码库的凭据窃取工具、一个用于冒充政府机构等高价值目标的钓鱼平台，以及一个用来管理被入侵账号的管理控制台——每一件都在行动过程中由 AI 辅助工作流按需管理和改造。Anthropic 在规划、侦察和实际行动中识别出 20 多个不同组织，包括政府部委、防卫与情报机构、使馆与外交使团、智库和国防工业企业，集中在乌克兰和欧洲，延伸到中东以及亚洲的海事相关政府机构；一条反复出现的线索是乌克兰与军用无人机技术供应商和供应链。报告还记录了一次很具体的窃取：该行为者批量导出至少两家无人机零部件厂商的邮箱，攻击一家军用无人机制造商，并偷走了一套完整的无人机视觉系统专有软件开发工具包，花了好几天时间逆向这套视觉系统，还原出产品架构、硬件物料清单、供应商依赖关系，以及一款尚未公布产品的细节。

报告的另一半讲的是广度。Anthropic 列的威胁行为者类型包括疑似国家支持的组织、金钱驱动的犯罪团伙、商业间谍软件厂商、国家宣传机构和出于政治动机的个人；案例从一套用来诈骗用户的假约会应用网络，到用来识别和监视异见人士的监视系统，跨度很大。Anthropic 把出版这份报告的理由写成了责任——随着模型能力增强，如果开发者和社会防御方不行动，风险就会上升；他们同时表示，发现的每一类活动都被中断，学到的东西被用来加强自家防护，并在合适的时候与当局和行业伙伴共享情报。这里有一条必须说清楚的边界：报告是 Anthropic 自己发布的，案例数量、代号和归因都是这家公司的单方披露，外界无法独立核验；同时报告也强调，滥用案例中用到的是 Haiku、Sonnet 和 Opus，Fable 与 Mythos 级别只有一起非法蒸馏例外，这个区分是公司对自己产品分层防护效果的说法，同样需要按厂商自述来理解。