Apa Yang Berlaku
Keselamatan AI · Keselamatan maklumat · Jenayah rantaian bekalan · Ejen AI · Laporan ancamanDis 2025 hingga Ogos 2026 · rekod hingga 13 Sep 2026
Tiga puluh enam kes, tujuh jenis mudarat, satu corak yang meresahkan
Kecanggihan Tidak Lagi Memberitahu Siapa
Selagi perisikan ancaman wujud, sebaik mana sesuatu serangan itu memberitahu secara kasar siapa yang membiayainya. Perkakas tersuai yang rumit dan kempen yang panjang lagi sabar bermakna sebuah negara; yang kasar dan pantas bermakna penjenayah. Dalam laporan yang diterbitkan pada 10 September 2026 meliputi lapan bulan aktiviti yang dikatakannya telah digagalkan, Anthropic memerihalkan seorang hacktivis yang beroperasi dengan kelayakan curi, satu kumpulan bermotifkan wang yang menuai kunci daripada aplikasi mudah alih, dan seorang pengendali perisikan negara Rusia — dan berkata ketiga-tiganya menjalankan kempen jenis yang sama, dengan kaedah yang sama. Kesimpulannya sendiri terus terang: yang memisahkan kelas pelaku itu kini “bukan lagi kecanggihan, tetapi niat”. Laporan ini ditulis oleh syarikat yang produknya disalahgunakan, tentang pesaing yang dinamakannya, dan itu sebab untuk membacanya dengan teliti, bukan sebab untuk menolaknya. Dua vendor lain, tanpa kepentingan dalam Claude, memerihalkan jentera yang sama pada suku yang sama.
- 36kajian kes yang mempunyai tajuknya sendiri, merentas tujuh bidang mudarat — dikira daripada teks laporan itu sendiri
- 189.9 jutapertukaran merentas lima kempen penyulingan yang dinamakan, dijumlahkan daripada angka setiap makmal dalam laporan
- bawah 6 jamdari mencerobohi sumber awan hingga menjalankan penuaian kelayakan besar-besaran dipacu ejen — diukur oleh vendor yang sama sekali berbeza
- 25,000orang yang bercakap dengan salah satu daripada 4,700 persona AI dalam tempoh dua minggu, pada apl yang diiklankan dikendalikan manusia
- 20+organisasi yang ditembusi seorang pelaku berkaitan negara — kementerian, kedutaan, badan pemikir, industri pertahanan
Apa yang diukur, apa yang dinilai, dan apa yang tidak dapat disemak sesiapa di luar Hampir kesemuanya bersandar pada telemetri satu syarikat. Barisnya menyatakannya di lajur pertama, sebelum dakwaan itu.
| Kedudukan | Apa yang direkodkan | Siapa yang menetapkannya |
|---|---|---|
| Berdokumen | Bentuk laporan itu sendiri: tujuh bidang mudarat — operasi siber, operasi pengaruh, pengawasan, penipuan, salah guna biologi, senjata konvensional, penyulingan — sepanjang Disember 2025 hingga Ogos 2026, dalam 36 kajian kes. Model Haiku, Sonnet dan Opus terlibat; tiada kes melibatkan model Fable atau kelas Mythos, kecuali satu kes penyulingan. | dikira daripada teks laporan |
| Berdokumen | Triad kelayakan, dinyatakan dalam laporan sebagai penemuannya sendiri: kunci AI yang dicuri memberi pengendali barangan untuk dijual semula, komputasi yang dibilkan kepada mangsa, dan perlindungan, kerana trafik itu dikaitkan dengan pemilik sah kunci tersebut. Dalam setiap kes kunci itu datang dari persekitaran pelanggan; laporan itu berkata sistemnya sendiri tidak dicerobohi. | Anthropic |
| Berdokumen | Teknik Wi-Fi hotel di sebalik satu kes perisikan telah didokumenkan secara bebas, enam minggu lebih awal, oleh vendor lain berdasarkan telemetrinya sendiri — rangkaian portal tawanan dimanipulasi untuk menyajikan kemas kini pelayar palsu. Vendor itu mengaitkan kempen tersebut dengan subkelompok Midnight Blizzard, yang kerajaan AS dan UK kaitkan dengan perkhidmatan perisikan luar Rusia. | Microsoft Threat Intelligence, 31 Julai 2026 |
| Disahkan, tidak boleh disemak di sini | Skala penyulingan. Lima makmal yang dinamakan, lima tetingkap yang diukur: lebih 151 juta pertukaran dikaitkan dengan Alibaba antara Mei dan Julai, lebih 23 juta kepada Moonshot, lebih 12.1 juta kepada DeepSeek dalam empat belas hari Julai, lebih 3.4 juta kepada Zhipu dalam tujuh belas hari, dan lebih 400,000 kepada Xiaomi dalam dua puluh hari. Satu kempen memuncak menghampiri tiga juta pertukaran sehari daripada lebih 3,500 akaun penipuan. | telemetri Anthropic sendiri; tiada pihak kedua mengukurnya |
| Disahkan, tidak boleh disemak di sini | Perincian peringkat kes: lebih dua puluh apl temu janji menjalankan lebih 4,700 persona AI terhadap sekurang-kurangnya 25,000 orang dalam dua minggu; satu pasukan bebas membina kawanan dron yang model dalamannya boleh memilih sasaran kelas “orang” dan mengarahkan letupan tanpa manusia dalam gelung, diuji dalam simulasi dan pada papan sebenar pada tahap kesediaan teknologi 3 hingga 4; lima kes biologi; sembilan operasi pengaruh menjangkau enam benua. | Anthropic; transkrip dipegang oleh satu pihak sahaja |
| Belum disahkan | Bahawa Alibaba, Moonshot, DeepSeek, Zhipu dan Xiaomi menjalankan kempen ini. Pengaitan itu ialah dakwaan sebuah syarikat bernama terhadap pesaing bernama, bersandar pada data akaunnya sendiri. Tiada satu pun firma yang dinamakan telah menjawab permintaan komen pada hari laporan itu diterbitkan. | Anthropic; ketiadaan komen ditetapkan oleh CNBC |
| Belum disahkan | Dua identiti yang laporan itu nilai dan bukan tetapkan: bahawa seorang pengguna yang memuatkan rakaman daripada ratusan kamera di Chengdu ke dalam apa yang disangkanya model vendor lain berkemungkinan berkaitan dengan PLA, dan bahawa pasukan kawanan dron itu sebuah kumpulan bebas kecil dan bukan entiti negara Rusia. Pasukan itu mendakwa menerima pembiayaan negara; laporan itu berkata ia tidak dapat mengesahkannya. | Anthropic, ditandakan dalam laporan sebagai penilaian |
| Tidak didedahkan | Penjelasan makmal yang dinamakan tentang mana-mana daripadanya. Dan skala sebenar aktiviti itu, di platform ini atau mana-mana platform lain — setiap angka di sini ialah apa yang satu syarikat kesan pada perkhidmatannya sendiri dalam satu tetingkap, iaitu had bawah dan bukan jumlah. | ditahan, atau tidak boleh diukur dari luar |
Garis Masa
Disember 2025 hingga September 2026 Tiga vendor menerbitkan dalam jarak lima minggu antara satu sama lain, mengenai aktiviti bertindih, tanpa menyelaraskan kesimpulan mereka.
- Feb 2026Dua perkara bermula pada bulan yang sama. Anthropic menerbitkan pendedahan pertamanya tentang serangan penyulingan, sambil menamakan makmal. Dan satu subkelompok pelaku negara Rusia memulakan pancingan data yang dipertingkatkan AI yang berakhir dengan pendaftaran peranti dan pengumpulan peti mel. Secara berasingan, kumpulan ancaman Google melaporkan peningkatan percubaan pengekstrakan model daripada syarikat swasta dan penyelidik di seluruh dunia — sambil menyatakan ia tidak melihat serangan sedemikian daripada pelaku negara.
- Mac–Apr 2026Sepanjang dua puluh hari, Xiaomi dikatakan mengulang sesi penggunanya sendiri daripada model MiMo melalui Claude — lebih 400,000 pertukaran merentas lebih 1,500 akaun — untuk menjana data latihan. Pada April, dalam tempoh dua minggu, satu rangkaian apl temu janji meletakkan lebih 4,700 persona AI di hadapan sekurang-kurangnya 25,000 orang, dengan pekerja upahan dicampurkan ke dalam suapan yang sama untuk melepasi panggilan video.
- Mei–Jul 2026Kempen penyulingan terbesar dalam rekod berjalan: lebih 151 juta pertukaran dikaitkan dengan Alibaba, memuncak menghampiri tiga juta sehari daripada lebih 3,500 akaun penipuan, dengan gesaan tetap yang memaksa jejak penaakulan keluar sebelum jawapan. Dalam tempoh yang sama lebih 23 juta pertukaran dikaitkan dengan Moonshot. Sejak awal Mei, Wi-Fi hotel dan pusat persidangan dimanipulasi untuk menyajikan kemas kini palsu.
- Jun–Jul 2026Sepanjang tujuh belas hari, lebih 3.4 juta pertukaran dikaitkan dengan Zhipu. Sepanjang empat belas hari pada Julai, lebih 12.1 juta kepada DeepSeek. Dalam satu sesi yang dihantar semula, permintaan daripada seorang pengendali yang bekerja dengan data agensi Rusia berkaitan pertahanan mendedahkan kelayakan hidup bagi sebuah pangkalan data kerajaan — pada pelayan syarikat ketiga, kerana pengguna itu tidak pernah tahu ke mana permintaannya pergi.
- 23 Jul 2026Sebuah firma keselamatan menerbitkan sebahagian daripada aktiviti portal tawanan itu, dan menemui sebabnya ia berkesan: pada rangkaian yang terjejas, get laluan portal itu juga penyelesai DNS yang diberikan kepada setiap peranti yang menyertainya.
- 31 Jul 2026Microsoft menerbitkan kempen itu sebagai CaptiveCrunch dan mengaitkannya dengan subkelompok Midnight Blizzard, sambil berterima kasih kepada Anthropic dan OpenAI atas kerjasama dalam siasatan itu. Dua vendor AI dan satu vendor platform menangani kes yang sama sebelum sesiapa pun menulis mengenainya.
- 8 Sep 2026Kumpulan perisikan ancaman Google menerbitkan penjejak suku tahunannya sendiri: musuh beralih daripada gesaan kepada aliran kerja berejen, menyasarkan kelayakan API, dan merampas persekitaran awan mangsa untuk menjalankan beban kerja AI mereka sendiri. Dalam satu kes suku kedua, pencerobohan awan menjadi penuaian kelayakan dipacu ejen yang sedang berjalan dalam masa kurang enam jam.
- 10 Sep 2026Anthropic menerbitkan laporan lapan bulan itu: tiga puluh enam kes merentas tujuh bidang mudarat. Makmal yang dinamakan tidak menjawab permintaan komen pada hari itu.
Hujah
Kunci yang dicuri ialah barangan, kilang dan penyamaran sekali gus Inilah mekanisme di sebalik penemuan utama laporan itu, dan sebab penemuan itu bukan sekadar hiasan retorik.
Kebanyakan kelayakan yang dicuri bernilai setakat apa yang dibukanya. Kunci API model yang dicuri bernilai lebih daripada itu, dan laporan itu menerangkan sebabnya dalam tiga perkataan. Ia barangan: pasaran jualan semula sudah wujud, dan broker menyuap rangkaian penjual semula penipuan yang memutarkan kunci sehingga masing-masing habis. Ia komputasi: beban kerja penyerang berjalan pada akaun mangsa, atas belanja mangsa, pada skala yang dibenarkan had mangsa. Dan ia perlindungan: trafik itu membawa nama pemilik yang sah, jadi pihak pertama yang disiasat ialah pihak yang dirompak. Satu kempen hacktivis berjalan sebulan penuh sepenuhnya atas kunci orang lain. Satu kumpulan jenayah, setelah mencuri kunci AI mangsa semasa pencerobohan, terus memindahkan beban kerja serangannya sendiri ke situ. Seorang pelaku lain mencerobohi kotak pasir penilaian sebuah syarikat AI dan mengambil kunci pengeluaran dahulu, kemudian menjalankan kempen susulan terhadap kira-kira tiga puluh syarikat AI dalam kira-kira empat hari — menemui satu laluan yang berkesan lalu mengulanginya dengan sedikit pelarasan. Matlamatnya yang dinyatakan, dikejar melalui lebih sedozen jalan, ialah akses kepada model yang belum dikeluarkan; ia tidak pernah berjaya, dan kunci yang berjaya diambilnya sentiasa kunci pelanggan daripada sistem pelanggan. Dibaca begitu, “anggap kunci model anda sebagai kelayakan pengeluaran” bukan lagi ayat hiasan. Penyerang sudah pun berbuat demikian.
- 3perkara yang menjadi kunci model curi serentak: barangan untuk dijual, komputasi yang dibilkan kepada mangsa, dan nama orang lain pada trafik
- ~30syarikat AI diserang dari satu infrastruktur dalam kira-kira empat hari, dengan mengulangi satu laluan yang berkesan
Dua vendor, jentera yang sama, kesimpulan berbeza Mekanismenya sudah tetap. Trajektorinya tidak, dan menyatakannya begitu ialah pendirian yang jujur.
Bacaan Anthropic ialah jurang itu sudah tertutup: rangka kerja ejen serangan yang tersedia secara umum menghasilkan semula perancah yang sama bagi sesiapa yang memuat turunnya, beberapa operasi dalam laporannya berjalan atas rangka kerja itu atau terbitannya, dan “keupayaan yang diperihalkan dalam laporan ini harus dianggap tersedia kepada mana-mana pelaku yang bermotivasi menggunakannya”. Kumpulan perisikan ancaman Google, yang menerbitkan dua hari lebih awal mengenai platform yang sama sekali berbeza, memerihalkan tiga tingkah laku yang sama — aliran kerja berejen menggantikan gesaan, kelayakan API diekstrak sebagai matlamat itu sendiri, persekitaran awan mangsa dirampas untuk menjalankan beban kerja AI penyerang — dan mencapai kesimpulan yang lebih berhati-hati, dengan menyatakan ia tidak memerhatikan pelaku tajaan negara atau operasi pengaruh mencapai keupayaan lonjakan yang mengubah landskap ancaman secara asas. Kedua-duanya boleh benar. Dua organisasi yang melihat telemetri berbeza bersetuju tentang apa jenteranya dan tidak bersetuju tentang apa yang telah dilakukannya, dan separuh kedua itulah yang patut dipegang secara longgar. Perlu juga diperhatikan apa yang bukan menjadi perselisihan: tiada vendor mencadangkan model mencipta matlamatnya sendiri. Kaveat Anthropic sendiri ialah manusia mengekalkan keputusan yang penting bagi mereka — memilih sasaran, menukar curian kepada wang, menyemak hasil — dan bahawa autonomi dan mudarat ialah paksi yang berasingan. Autonomi menggandakan skala dan menurunkan kos. Ia tidak membekalkan niat.
- 2 hariantara penerbitan dua vendor itu, pada platform berbeza, memerihalkan tiga tingkah laku yang sama
Apa Yang Ditambah Oleh Pihak Lain
Tiga vendor pada satu suku tahun Hanya baris pertama merupakan dakwaan tentang Claude. Selebihnya ialah apa yang dilaporkan organisasi yang tiada kepentingan padanya.
| Apa yang dilaporkannya | Di mana ia berhati-hati | |
|---|---|---|
| Anthropic, 10 Sep | Tiga puluh enam kes merentas tujuh bidang mudarat; triad kelayakan; lima kempen penyulingan bernama berjumlah 189.9 juta pertukaran; kawanan dron yang direka untuk pertempuran maut autonomi | Menyatakan dengan jelas bahawa tiada insiden menunjukkan model membentuk matlamatnya sendiri, dan manusia mengekalkan pemilihan sasaran, pengewangan dan semakan |
| Microsoft, 31 Jul | Kempen portal tawanan sepenuhnya, dengan keluarga perisian hasad, penghantaran melalui kemas kini palsu, dan pengaitan yang dihubungkan AS dan UK kepada perkhidmatan perisikan Rusia — enam minggu sebelum laporan AI itu memerihalkan teknik yang sama | Menyatakan get laluan itu mengawal ke mana pengguna dihantar tetapi tidak menjangkiti peranti secara senyap: mangsa masih perlu menjalankan muatan itu |
| Google GTIG, 8 Sep dan 12 Feb | Aliran kerja berejen menggantikan gesaan; kelayakan API diekstrak sebagai matlamat; awan mangsa dirampas untuk beban kerja AI penyerang; peningkatan percubaan pengekstrakan model, yang melanggar terma perkhidmatannya | Berkata ia tidak melihat pelaku tajaan negara atau pengaruh mencapai keupayaan lonjakan, dan melaporkan percubaan pengekstrakan datang daripada syarikat swasta dan penyelidik, bukan pelaku negara |
Dua perkara terhasil daripada meletakkan ketiga-tiganya bersebelahan, dan tiada satu pun terdapat dalam mana-mana satu daripadanya. Pertama, vendor sudah pun bekerjasama: laporan Microsoft berakhir dengan mengucapkan terima kasih kepada Anthropic dan OpenAI atas kerjasama dalam siasatan itu, bermakna dua penyedia model yang bersaing dan satu penyedia platform menangani pencerobohan yang sama sebelum sesiapa pun menulisnya. Letakkan itu di sebelah jurang pendedahan industri yang lebih luas — pelaporan insiden bersifat sukarela hampir di mana-mana — dan kerjasama persendirian itu berjalan mendahului peraturan awam. Kedua lebih halus dan merupakan penemuan laporan ini yang paling kurang dibincangkan. Dalam kes siber dan senjata, mudaratnya menimpa pihak ketiga: sebuah kementerian, sebuah pengilang, seorang tetamu hotel. Dalam kes penyulingan, ia menimpa pengguna lain model itu. Jika sebuah syarikat secara senyap memajukan permintaan pelanggannya kepada penyedia lain, data pelanggan itu melintasi sempadan yang tidak pernah mereka persetujui. Laporan itu memberikan dua contoh apa yang kemudiannya tiba: seorang pengguna yang dinilainya berkemungkinan berkaitan tentera China, memuatkan rakaman daripada ratusan kamera di Chengdu tentang seorang individu yang dijejaki dan bertanya sama ada orang itu berkelakuan luar biasa; dan seorang pengendali data bagi agensi Rusia berkaitan pertahanan yang permintaannya yang dimajukan mendedahkan kelayakan hidup kepada sebuah pangkalan data kerajaan. Apa pun kesimpulan seseorang tentang pertikaian data latihan itu, itu satu kegagalan privasi dengan akibat yang bernama, dan ia menimpa orang yang langsung tidak tahu mereka terlibat.
- ratusankamera yang rakamannya tentang seorang individu yang dijejaki sampai ke pelayan syarikat ketiga, kerana pengguna tidak tahu ke mana permintaannya pergi
Apa yang perlu dilakukan tentang kunci model Dihimpun daripada panduan vendor sendiri. Tiada apa yang luar biasa di sini; intinya kunci AI belum pernah dilayan begini.
- 1Taraf sebagai kelayakan pengeluaranNasihat laporan itu sendiri, dan sebabnya: penyerang sudah menarafkannya begitu, kerana satu kunci membeli nilai jualan semula, komputasi percuma dan nama orang lain.
- 2Anggap ia sudah berada di tempat awamKunci bocor ke dalam repositori kod, pakej apl mudah alih, bekas, laman web dan chatbot, dan pelaku menggali sumber itu tanpa henti. Seorang membina pengimbas semata-mata untuk mengesahkannya.
- 3Kira integrasi sebagai permukaan seranganKotak pasir, proksi dan penjual semula yang dibina di sekeliling model ialah sebahagian daripadanya. Pelaku menggunakan suntikan gesaan terhadap perkhidmatan pembalut supaya menyerahkan kunci pengeluaran yang dipegangnya.
- 4Tolak perantara murahPenjual semula penipuan menawarkan akses berdiskaun sambil diam-diam memproksi trafik ke model lain dan menuai kelayakan setiap orang yang mendaftar. Beli akses melalui saluran dibenarkan sahaja.
- 5Perhatikan kunci anda bekerja untuk orang lainPerlindungan itulah tujuan kecurian ini: trafiknya kelihatan seperti trafik anda. Seorang pelaku memutarkan kunci curi melalui lapisan proksi khusus untuk menyatu dengan trafik pemilik yang sah.
Kesimpulan
Apa yang tinggal apabila keupayaan tidak lagi terhad Tajuk laporan itu tentang membendung salah guna. Ayatnya yang paling tahan lama tentang pengaitan.
Bagi pihak bertahan, kerugian praktikal di sini ialah satu heuristik. Ketika keupayaan masih terhad, mutu sesuatu operasi memberitahu sesuatu tentang siapa di belakangnya, dan jalan pintas itu membentuk cara pencerobohan disaring, dinaikkan dan dilaporkan selama bertahun-tahun. Jika seorang pengendali bersendirian dengan rangka kerja yang dimuat turun dan kunci API orang lain boleh menjalankan kempen berbilang mangsa yang kelihatan seperti program negara, jalan pintas itu sudah tiada, dan tiada yang murah menggantikannya. Yang tinggal ialah niat, dan niat tidak kelihatan dalam tangkapan paket: ia dipulihkan kemudian, daripada sasaran, daripada apa yang diambil, daripada apa yang pengendali lakukan dengannya. Itu kerja yang lebih perlahan dan lebih mahal, dan kini itulah kerjanya. Laporan ini wajar dibaca dengan kepengarangannya di depan mata — ia diterbitkan oleh vendor yang produknya disalahgunakan, ia menamakan pesaing, dan ia memerihalkan perlindungan yang dijualnya — tetapi penemuan itu tidak bergantung pada mempercayainya, kerana vendor saingan yang tiada kepentingan dalam Claude menerbitkan mekanisme yang sama dua hari lebih awal daripada telemetrinya sendiri. Mengenai sejauh mana ini telah pergi, kedua-duanya tidak sependapat, dan pembaca berhak memegang bahagian itu secara longgar.
Kunci itulah keupayaannya
Barangan, komputasi dan perlindungan dalam satu kelayakan. Jika sesebuah organisasi mempunyai kunci model berhampiran estet pengeluarannya dan tidak tahu di mana kesemuanya berada, itulah penemuan yang boleh ditindaklanjuti dalam laporan yang penuh dengan pelaku negara dan kawanan dron.
Peganglah yang ini secara longgar: telemetri satu syarikat
Setiap angka ialah apa yang satu vendor kesan pada perkhidmatannya sendiri dalam satu tetingkap, dan yang terbesar antaranya — jumlah penyulingan terhadap pesaing yang dinamakan — tiada ukuran kedua dan tiada jawapan daripada pihak yang dinamakan.
Autonomi menggandakan skala; ia tidak membekalkan niat
Tiada kes dalam laporan itu menunjukkan model membentuk matlamatnya sendiri. Manusia memilih sasaran, mengambil wang dan menyemak hasil. Itu had bagi kisah ini, dan itu juga sebabnya kisah ini tentang manusia.