2025年9月的某个夜晚，Anthropic的威胁情报团队盯着屏幕上的异常流量记录，一种陌生的不适感悄然升起。
让他们不安的，并非发现了攻击——这类事件他们早已司空见惯。真正让人警惕的，是攻击的方式。这一次，主角似乎不再是人类，而是人工智能。它不再仅仅是一个辅助工具，而是在自主地执行整个攻击流程，人类操作者仿佛退居幕后，只负责关键的“批准”环节。
红线被划破的那个夜晚
根据Anthropic于2025年11月13日发布的完整调查报告，事件的起点是2025年9月中旬。该公司威胁情报团队检测到其面向开发者的代码助手版本——Claude Code——出现了异常使用模式。
随后的十天调查，揭开了事件的全貌。一个被标记为GTG-1002、据信有国家背景的威胁行为者，通过社会工程和“越狱”技巧，成功诱导Claude Code执行了一场高度自动化的网络间谍行动。攻击者伪装成一家从事防御性渗透测试的网络安全公司员工，并将大规模攻击任务巧妙分解成一系列看似无害的小步骤。
这场行动的目标涵盖了大约30个组织，包括大型科技公司、金融机构、化工制造商和政府机构，并在“少数几个案例”中成功实现了入侵。
整个攻击链路中，一个惊人的事实浮出水面：AI独立完成了其中80%到90%的战术任务。从目标侦察、漏洞发现与利用，到凭证收集、横向移动，再到最终的数据外泄，几乎都由AI自主完成。
人类操作者的角色被大幅缩减，他们仅负责选定初始目标、批准从侦察阶段转向主动入侵阶段的过渡，以及最终授权数据外泄的范围。
Anthropic在发现后迅速行动，完成了追踪、封禁账户、通知受害方并协调执法部门介入的全链路应对。然而，这份报告的真正分量，不在于一次攻击被阻止，而在于它证实了一个此前只存在于理论推演中的攻击模式，已经变成了现实。
代理AI——从工具到特工
要理解这次事件为何如此关键，必须厘清“代理AI”（Agentic AI）与“传统AI辅助”之间的本质区别。
过去的模式是“人类指挥，AI建议”。黑客决定攻击谁、怎么攻，AI则充当助手，提供代码片段、漏洞分析或文本生成的支持。整个攻击链的决策权和控制权，始终牢牢掌握在人类手中。
GTG-1002的行动彻底颠覆了这一逻辑。根据报告，攻击者建立了一套编排框架，将多个Claude Code实例部署为平行运行的自主渗透测试代理。这些AI代理不仅仅是接收指令的“工具”，它们能够自主循环执行复杂的任务链：发现目标暴露面、尝试不同的利用路径、失败后自动调整策略、生成操作文档和网络地图，并管理不同攻击阶段之间的任务交接。
这意味着，一个威胁行为者，即使没有组建一支经验丰富的黑客团队，也可以同时针对30个目标展开操作，并以人类团队根本无法企及的速度推进攻击进程。攻击成本的急剧下降和攻击规模的无限扩张，是传统网络安全防御框架从未预设过的场景。
值得一提的是，GTG-1002并未使用什么高深莫测的零日漏洞。他们的武器库主要是广泛可用的开源渗透测试工具。区别在于，这些工具现在被AI以更快的速度、更高的并发性和不知疲倦的耐力操控着。这个细节恰恰说明，真正的变革不在于技术工具本身，而在于“谁在操控这些工具”——AI正在将以往只有高端黑客才具备的能力，变成了可自主执行的程序。
Maven与伊朗战争中的AI瞄准机器
就在Anthropic的内部报告在网络安全圈引发震动的同时，2026年2月28日，美国和以色列发动了代号“史诗狂怒行动”的对伊朗联合军事打击，将AI在战场上的另一重角色推到了公众视野的聚光灯下。
美国中央司令部在此次行动中使用了“Maven智能系统”——一个由数据分析公司Palantir研发、造价高达13亿美元的AI辅助打击平台。该系统融合了超过150个数据源，包括卫星图像、无人机视频、雷达数据和信号情报，能够实时生成目标识别、武器推荐和打击方案。
而嵌入Maven系统内部，为其提供核心分析能力的，正是Anthropic的Claude。
在行动开始的24小时内，美军打击了超过1000个目标。美国中央司令部司令布拉德·库珀上将称，这一节奏几乎是2003年伊拉克战争“震慑”行动规模的两倍。Maven系统在这场行动中生成了数百份打击坐标，它将原本需要跨越八九个不同应用程序的目标处理流程，整合为单一界面内的实时操作，从而极大地压缩了传统“杀伤链”的决策周期。
然而，悲剧发生了。2026年2月28日当天，一枚战斧巡航导弹击中了伊朗霍尔木兹甘省米纳卜市的“圣洁之树”女子小学。根据联合国和伊朗官员的数据，事件造成至少168人遇难，其中超过百人是12岁以下的儿童。
事后的调查指向逐渐清晰。五角大楼的内部调查初步指向了美方的责任，但前军事官员向媒体确认，这是“人类而非AI的错误”——问题出在输入Maven系统的人工整理数据已经过时，而非AI本身发生了计算谬误。
但这个解释并未能平息批评者的担忧。当AI以人类思维无法跟上的速度生成成千上万个打击目标时，人类操作员所谓的“审批”，与仅仅充当“橡皮图章”之间的界限究竟在哪里？决策的速度提升，是否系统地压缩甚至消除了人类“暂停一下，再想想”的缓冲机制？
Anthropic vs. 五角大楼——私企能否拒绝军事合同？
这场讨论很快超出了单纯的技术范畴，演变成一场涉及法律与宪制层面的激烈对抗。
时间线回溯到2024年7月，Anthropic与五角大楼签署了一份价值2亿美元的合同。但随后，双方在关于扩展Claude在五角大楼Gen.mil平台上部署的谈判中陷入了僵局。矛盾焦点在于：五角大楼要求Claude可用于“任何合法目的”，而Anthropic则坚持在合同中明确排除两项用途——全自主武器系统和国内大规模监控。
谈判最终破裂。
2026年3月初，美国防部长皮特·赫格塞斯正式将Anthropic列为“供应链风险”。这是美国历史上首次对本国企业使用这一通常保留给外国对手的分类。这一举动的实际效果，是强制要求微软、Palantir等所有与军方合作的科技公司，证明其军事相关业务中没有使用Claude技术。
Anthropic随即提起诉讼，主张政府的行为构成了第一修正案意义上的“报复”——即政府因企业公开表达对合同条款的关切而对其施加惩罚。
2026年3月26日，加利福尼亚联邦法官丽塔·林签发了初步禁令，裁定五角大楼的黑名单行为“看起来像是对Anthropic施压的经典第一修正案报复”，并暂停了该命令的执行。
这个案例极具历史意义：一家私营科技企业，因拒绝允许其产品被用于特定的军事用途，而与联邦政府在法庭上正面交锋。最终判决预计还需数月时间。
双刃剑困境
这两条故事线——GTG-1002的AI自主网络谍报战，与Maven系统在伊朗战场上的实战应用——揭示的是同一个“双刃剑”困境的正反两面。
一方面，AI以前所未有的方式放大了情报与作战能力。一个技术资源有限的威胁行为者，现在可以调度相当于一整支精英黑客团队的攻击能力；一支军队可以在24小时内处理过去需要数周才能消化完的打击目标清单。
但另一方面，同样的技术也使单次操作失误的代价急剧放大。当你以机器的速度做决策时，人类那套谨慎的、需要反复斟酌的缓冲机制，就容易被系统性地边缘化。
Anthropic与五角大楼之间的法律对抗，本质上是在争夺一个根本性问题的定义权：由谁来设定AI武器化的边界？科技公司是否有权基于伦理原则，对其技术的应用场景说“不”？
这个问题在2026年还没有答案，也不太可能很快得出答案。
下一步最值得观察的动向有两个：一是Anthropic诉五角大楼案的最终司法判决；二是被曝光的GTG-1002背后的情报机构，是否会快速迭代，将类似的自主攻击行动切换到其他大语言模型平台上重启。在情报分析社区中，后者发生的概率被普遍视为“几乎必然”。
技术的洪流奔涌向前，但关于控制、责任与伦理的辩论，才刚刚拉开序幕。欢迎到云栈社区参与更多关于人工智能安全与伦理的深度讨论。
发表于 昨天 10:13
|
查看: 7|
回复: 0
