特别版 · 深度解读

Kimi 请求去了哪里？Anthropic 报告里的敏感数据与交友骗局

Juju Radar · 特别版 · 2026.09.11

约 4,900 字 · 阅读约 17 分钟

把内部代码交给 Kimi，回答却可能来自 Claude；以为自己正在和真人交往，充值买到的可能是 AI 持续生成的消息。

这是 Anthropic 9 月 10 日发布的 154 页报告里，两组最值得普通用户细看的案例。它们都涉及一个具体问题：界面展示的身份，与它实际调用的人或模型，可能并不一致。

本期特别版重点拆解 Kimi 请求转发与交友应用骗局，再结合攻击、监控和科研案例，看平台发现问题后还能控制什么。

先交代范围：报告主要回顾 Anthropic 在 2025 年 12 月至 2026 年 8 月处置的活动，选取显著、新颖的案例，不代表全行业的发生率。文中的组织归因与规模来自 Anthropic；它既是调查者，也是有商业利益的模型供应商，相关指控仍需各方回应与外部核查。

🔎 Kimi 用户的请求，为什么会出现在 Claude 那里？

报告第 148—149 页指称，月之暗面将部分原本发给 Kimi 的客户请求转发给 Claude，再把 Claude 的回答展示给用户。按 Anthropic 的观察，其中一个十天窗口内有接近 30 万次客户请求被转发，绝大多数交给 Opus 处理。

这里要分清两件事。一件是替用户调用另一个模型并返回答案；另一件是保存部分会话，进一步用来获取训练材料。前者关系到产品实际提供的服务，后者关系到用户资料会不会被再次用于训练。报告指称月之暗面同时做了这两件事。它另列的 5—7 月超过 2,300 万次交互是更广的蒸馏活动口径，不能把它们全部算成上述十天的真实客户请求。

对用户来说，关键并不止于回答来自哪家模型。提交给产品的附件、代码、背景资料和访问凭据，也可能随着请求被送到另一家供应商。界面上显示的模型名称，无法单独证明数据处理过程。

关于用户知情，原文也有需要交代的层次：报告总体将这一过程描述为隐蔽转发；在第 149 页列举敏感资料前，又明确表示并不知道月之暗面是否通知了相关客户。这不能替代对具体产品告知方式、合同和后台记录的核查。

原文位置：报告第 148—149 页，GTG-16002。

📂 涉军监控资料与国企凭据，原文分别说了什么？

第 149 页列了两个具体案例。第一类是监控数据。 Anthropic 判断，一名可能与解放军有关的用户，把围绕一名被跟踪对象的监控档案交给其以为的 Kimi，要求分析此人是否有异常行为。报告称，资料涉及成都数百台摄像头，其中包括军队设施、中国电子科技集团相关研究所及一家大型国企外部的摄像头。

这段话确实涉及敏感机构周边的监控资料。但“数百台摄像头”不能转述成“数百座军工设施”；设施外部的监控数据，也不能直接改写为武器设计资料或军事机密文件。报告没有在这里确认数据的密级、完整泄露范围或后续损害。

第二类是内部代码与仍有效的访问凭据。 报告称，一名大型国企的工程师用 Kimi 开发内部系统时，提交了涉及多家中国大型企业的内部代码和有效凭据，其中包括知名科技企业。Anthropic 指称，这些请求被转发给了 Claude，而工程师无法知道发生了转发。

“有效凭据”比普通代码片段更需要留意：它可能仍能用来访问实际系统。但报告没有说明这些凭据后来是否被滥用，因此不能再推导出企业已被入侵或已经遭受损失。这里应核查的是资料究竟发给了谁、原来的授权是否覆盖这个接收方，以及已经暴露的访问权限是否仍然有效。

这也是这次指控比通常的“模型互相蒸馏”争论更贴近用户的地方。供应商之间如何训练模型，是一层问题；客户在什么条件下交出了资料，是另一层问题。即使一段请求只被用于提高答案质量，实际接收方和后续用途也不应靠用户猜测。

截至本次更新，我尚未取得月之暗面针对这两组具体资料的逐项公开回应。现有公开材料不足以完成独立事实认定。本文采用“Anthropic 指称敏感数据被转发”的表述，不将其写成已经认定的国家秘密泄露事件。 报告其他章节中的武器研发案例，涉及的是其他用户活动，也不能据此推成 Kimi 参与了那些研发。

原文位置：报告第 149 页。关注后续回应时，优先看对用户身份、数据来源、转发方式和告知情况的具体回答。

💬 交友骗局怎样收钱：把聊天变成反复充值

报告中的 GTG-15001 是一家中国应用工作室运营的交友应用网络，规模超过 20 款。它们宣传真人服务，匹配信息流里却混有约四分之三的 AI 人设。Anthropic 在 2026 年 4 月的两周窗口内观察到，4,700 多个 AI 人设与至少 25,000 名不同用户交谈，Claude 生成了约 236 万条消息。

钱从聊天额度里来。 报告第 140 页描述，目标用户位于美国，发消息和匹配会消耗额度，补充额度需要购买应用内代币。因此，持续的聊天可以不断带来付费需求。这与一次性骗取大额转账的方式不同：用户可能在一次次看似正常的充值中付出成本。

真人也参与其中。报告称，平台招募零工，混在同一匹配信息流里，按消息、视频通话和社交账号回关获得报酬。他们承担 AI 不方便完成的真实性验证。看到一个真人、接通过一次视频，并不能保证后续一直与同一个真人交流。AI 降低了持续对话的成本，真人则为部分环节补足可信度。

从付费者角度看，最难识别的恰恰是这种混合安排。聊天内容未必包含明显谎言，界面和部分互动也可能显得正常；误导发生在整个产品对“你正和谁交往”的承诺上。报告还发现，少数样本中的用户提到严重疾病或强烈困扰，模型的推理虽然察觉潜在伤害，回复仍继续扮演原有角色。

网上把它概括成“骗老头的钱”，但第 139—142 页没有提供用户年龄分布、老年受害者人数或已确认损失金额。目前能落笔的是面向美国用户的虚假交友与充值收费机制，不能把 25,000 名互动用户全部写成已确认付费受害者，更不能自行补出他们的年龄。

原文位置：报告第 139—142 页，第 141 页有角色与付费关系图。

🛠️ 攻击者交出更多执行工作，仍然掌握目标

报告里反复出现的安排，是人确定目标，Agent 负责处理环境、编写与执行代码、整理结果，再把工作接着做下去。多个 Agent 还能共享任务记录，让一次行动跨越不同会话持续进行。人的角色更多集中在决策、调整任务和检查结果，而不必亲自完成每一步技术操作。

Anthropic 在一组疑似与 ShinyHunters 有关的案例中称，攻击者攻破一家软件服务商后，获取了大约 200 家下游客户的数据。另一次针对会话数据存储的操作持续约 34 小时，导出了涉及 40 多家企业租户的 2,100 多组 Azure AD 令牌；据其观察，大部分工作由 AI Agent 完成。令牌可理解为服务之间证明身份的凭据，泄漏后的影响可能跨越多个客户环境。

这里值得关注的变化，是攻击者理解陌生系统、编写适配代码和整理数据的成本降低了。“谁能协调并完成整段工作”本身，正在成为攻击能力的一部分。 这也解释了为什么只问模型能不能独立发现一个新漏洞，会漏掉不少现实风险。

部分网络活动还有另一家厂商的公开调查可对照。微软 7 月 31 日的 CaptiveCrunch 报告描述了相关酒店网络攻击，并指出攻击者使用了 AI；但该调查也注明与 Anthropic、OpenAI 合作，因此它提供的是另一侧观测，不能当成对本报告每项数字和归因的完全独立验证。

原文位置：报告第 4—14、24—28 页；微软 CaptiveCrunch 调查（链接见文末）。

🔑 被盗的模型账号，也成了攻击资源

报告将 AI 凭据描述为三种东西：可以出售的赃物、可以消耗的模型额度，以及掩盖实际使用者的身份。有人取得受害者的 API 密钥后，继续用这份访问权限开展后续活动，费用和最初的账号痕迹却落在合法客户一侧。

这与普通的软件密钥泄漏有相通之处，但模型服务多了一层用途：攻击者拿到的不只是数据入口，还可能拿到帮助自己继续工作的能力。报告还描述了假冒 AI 客户端、廉价转售服务及凭据交易之间的联系。

因此，看见一个熟悉的模型名字或接口格式，并不足以确认请求最终由谁处理。价格、模型身份、数据保存方式、下游转发对象，是不同的问题。报告中的个案不能证明所有中转服务都有问题，却说明“能正常返回答案”远远不够用来判断服务是否可信。

原文位置：报告第 28—31 页。

📡 监控平台已经部署，封号没能让它停下来

Anthropic 披露，一名被其判断为可能向马里国家情报机构提供服务的开发者，借助 Claude 建设了名为 Lakana 360 的监控平台。报告描述的范围涉及三家移动运营商、约 2,500 万张 SIM 卡。这里的单位是 SIM 卡，不能换算成 2,500 万名被确认监控的人。

Claude 在这个案例中主要提供软件设计和工程支持。平台运行时使用的是本地模型。报告还称，开发者要求移除了其中生成个人情报档案环节的司法授权要求。

处置结果比规模更值得读。第 105 页明确说明：Anthropic 封禁了账号，阻断了后续设计和开发协助，但没有阻止平台的本地部署继续存在。 因而，报告里的“已处置”不总是意味着有害系统已经停止。

这一点对理解 Agent 风险很关键。平台能撤销自家的模型访问权限，却未必能收回已经写出的程序、复制出的数据或部署到别处的系统。安全措施需要更早进入开发和授权过程；等成品离开平台，能控制的范围会缩小。

原文位置：报告第 103—105 页。

📰 假新闻生产很快，真实影响却未必大

在另一项被 Anthropic 归因于法国商业机构的行动中，约 70 个虚假新闻网站配合社交账号发布内容，试图表现得像互相独立的地方媒体。报告统计到至少 8,913 篇文章、约 20 种语言；相同素材可以被改写成不同政治立场的版本，服务不同客户。

但报告同时指出，多数已识别内容缺少来自真实受众的互动，也没有证据显示传播突破了该网络自身的账号和网站。这项行动被评为 Breakout Scale 第二级；该量表用于观察影响行动传播到了多大范围。

这里应当同时保留两个判断：AI 确实让伪装、改写和分发更容易批量完成；产出更多文章，并不能自动证明它改变了更多人的观点。阅读类似报告时，账号数、发帖数、真实触达与说服效果，需要分别核对。

原文位置：报告第 47—50 页。

🧩 其余蒸馏指控，也需要逐家公司区分

报告还点名阿里、DeepSeek、智谱、小米、商汤和 MiniMax，指控内容并不相同。对小米的描述包括将已保存会话重放用于训练数据处理，但没有发现用 Claude 的回答直接服务原用户的证据，不能与月之暗面的指控混写。

蒸馏本身是常见训练方法。这里的争议是访问方式是否获得授权、是否隐瞒了实际服务商，以及用户资料怎样被保存或再次使用。各家的交互数量采用不同统计窗口，也不是模型能力提升的证据。

原文位置：报告第 143—154 页。

🧪 武器与生物部分，需要保留“做到哪一步”

常规武器章节列出六项案例，涉及软件研发、仿真、采购和情报工作。各案例的成熟度并不相同：有的停留在文档或模拟，有的已经涉及实物环节。不能把生成一份方案、完成一次仿真和形成可靠实战能力混为一谈。报告同日另附能力评估研究，那些评测也应与这里的实际使用记录分开阅读。

生物部分讨论五项可能支持危险研究的案例。关键困难在于，同一项专业知识可能同时服务于治疗、基础研究和有害用途，仅凭一条技术问题不容易判断意图。Anthropic 因而主张，在内容过滤之外加入机构与用户身份验证等措施。这是它提出的治理方案，不是已经解决问题的证明。

更不能遗漏第 137 页的限定：Anthropic 明确表示，这些案例并不证明由 Claude 提升能力的生物威胁已经迫在眉睫。它还说，在一次针对相关机构活动的 30 天排查中，约 35 项研究多数属于普通民用科学。把这一章概括为“AI 已经造出生物武器”，会超出原文证据。

原文位置：报告第 111—138 页。

这份报告真正留下的难题

几类案例连起来，能看到一个共同变化：任务记忆、工具调用、批量处理和长期执行，正在降低持续运营的门槛。同一套工程能力既能帮助开发团队维护项目，也能被有明确恶意的人用来维持有害活动。只测试模型会不会拒绝某一句话，覆盖不了产品怎样运行、数据怎样流转和系统部署之后发生的事。

与此同时，这份材料也有清楚的观察边界。Anthropic 能看到自家服务的一部分使用记录，能披露已发现的活动，却不能据此给出全行业的发生率。组织归因、实际损失、模型带来的额外能力，以及封禁之后的状态，都需要不同证据。它既是调查者，也是有商业利益的模型供应商；公开披露值得重视，结论仍应接受外部核查。

对读者最有用的追问可以很具体：AI 实际执行了什么？结果在外部世界得到了什么确认？受影响的用户是否知道数据去了哪里？平台处置之后，剩下的系统由谁负责？这比把所有案例归结为一次“AI 失控”更能看清问题。