当 AI 成为基础设施，能力流动与信息流动同时发生。谁提供模型，谁就可能获得工作流的可见性。
分析对象：Anthropic《Detecting and countering misuse of AI: September 2026》（2026-09-10，共 154 页）。文中所有案例均为该公司单方陈述，标注页码处可回原文核对。
9 月 10 日，Anthropic 发布了一份 154 页的报告，题目很正经：《检测与对抗 AI 滥用》。最热闹的部分在倒数第二章：七家中国公司被点名——阿里、月之暗面、DeepSeek、智谱、小米、商汤、MiniMax。报告称，自 2026 年 2 月以来检测到的行动，它”以高置信度归因于特定的中国实验室”，目标是 Claude 的 Opus 级模型（P147）。
归因成不成立先放一边，数字本身先摆在这里。阿里那场被称作”我们有史以来测得的最大规模蒸馏攻击”：峰值每天接近 300 万次交互，动用 3,500 多个欺诈账户，三个月观测到 1.51 亿次（P147–148）。月之暗面被指把客户请求静默转给 Claude，回答再以 Kimi 的名义展示给用户，一个 10 天的窗口转了将近 30 万次，背后是 5,380 个欺诈账户，节点多在新加坡和日本（P148）。DeepSeek 被指用字符串标记识别正在用 Claude Code 的用户，把其中一部分转给 Opus，14 天 1,210 万次（P150）。商汤被描述为从第三方数据商手里买会话转录，MiniMax 被描述为开一家无关联披露的壳公司做代理（P152–153）。
我把报告读到第二遍的时候，停在了一个词上。报告把这类代理服务叫做 transfer station，中转站（P144）。
一笔账
先算读者最自然会问的那笔账：国产 API 比 Opus 便宜一百倍——DeepSeek V4-Flash 的输出价约每百万 token 两到四块人民币，Opus 4.8 是五百四——如果月之暗面把 Kimi 用户的请求转给 Claude，按零售价进货、按国产价出货，一个月就能赔掉一栋楼。这账算不平。
但这个算不平的结论，依赖两个假设：按零售价进货，全量服务。报告描述的世界里，这两个假设都不存在。中转这个词底下，其实是三种生意。
淘宝上卖 Claude 账号、卖镜像站订阅的人，做的是访问权的生意。他们的客户很清楚自己要什么：国产模型便宜一百倍，可他们要买的就是 Claude 本身，是 Claude Code 那套智能体编码的环境。东西拿不到，就值钱。一个 $100 的 Max 订阅拆给十个人合租，每人每月收几十块；或者干脆用池化的黑卡账户，成本趋近于零。管制制造了稀缺，稀缺制造了价差。
中转站自己还有第二条收入。报告写得明白：这些代理网络一边卖访问，一边把会话转录存下来卖给别人做训练数据（P152–153）。用户付访问费，实验室付数据费，同一条流量收两次钱。
实验室那一层，如果指控属实，进货根本不付钱。阿里那 1.51 亿次交互按 Opus 零售价折算是几百万美元，走欺诈账户实付趋近于零，账单寄给了被盗卡的主人和 Anthropic。成本归零以后，”把 Claude 的回答给用户看”就不赔钱了：自己的便宜模型服务全量用户，只把思维链最值钱的切片转给 Claude，回答给用户稳住体验，数据留下来训练。小米的做法更省：MiMo-V2-Pro 先开免费试用，国际开发者涌进来，试用快结束时，对 Claude 的收割量刚好到峰值（P152）。那一轮试用，用户没掏一分钱，掏出来的是自己的会话。
合起来，这个生态的买单结构是：想要 Claude 的人付访问溢价，想要数据的人付转录费，Anthropic 和被盗卡的主人承担成本。每一环都绕开了零售价。
Anthropic 看不见的三层
把镜头拉远。一个淘宝买家从下单一刻起，上面还压着三层人：批发账户池的，做路由决定的，最后才轮到 Anthropic。买家不知道自己在第几层，Anthropic 也看不见自己头顶上那三层，它只能对砸到自家服务器的请求做遥测反推。
做路由决定的那层，还有个没人说破的打法。他的客户付的是”Claude”的钱，可池化密钥有限速。那就简单查询转给成本零头的国产模型，难题才走真 Claude，用户反正分不清。于是同一个市场上，两个方向的骗局同时开张。一个人花着 Claude 的钱，实际拿到的有一部分是国产模型，这件事 Anthropic 完全失明，请求根本没到它的服务器。另一个人付着 Kimi 的钱，拿到了 Claude 的回答——这是报告指控的部分——Anthropic 也只能看到到达自己 API 的切片。
报告在阿里案里留了一句近乎被遗忘的证词：被封的第一批账户中，有一些同时在给 DeepSeek 和小米导流，”同一代理服务网络常被各类组织共用”（P148）。账户池是公共设施。Anthropic 归因”这批流量属于某实验室”，它实际能做到的是归因”这批流量穿过了一段共享设施”。把公共设施上的流量精确分给某一家公司，是整条归因链上最松的那颗螺丝。
同一章里，Anthropic 也亮了自己的反制：给推理加摘要、给思维链加密、封号归因到组织而不是单个账户（P153）。攻防在同一个平台上循环升级，这份报告更像这场循环被拿到了台面上，而不是结案陈词。
一个更值得停下来的案例
报告里涉华的案例散布在五个章节。前面几个看完，我的感受是叙述很满、证据很薄，很多关键归因标着 low confidence。武器章的 GTG-17002 是另一个量级（P119–120）。
据报告描述，一个中国境内行为者用 Claude 的聊天、编程和智能体工具，写了一套中文电子战软件：16 个模块，从雷达探测和干扰物理，到目标价值排序、多日战役的干扰架次分配，再到爱国者和 THAAD 级系统的交战包线建模，前后迭代 12 个版本。项目中途，默认模拟场景被改成台湾的 12 个目标——指挥堡、预警雷达、爱国者和天弓阵地、主要空军基地、战区司令部。报告评估此人是国防军工研究者，账户元数据指向包括军事科学院在内的研究机构。
归因措辞按情报的规矩读：”we assess” 是明确的分析判断，指向军事科学院的依据是账户元数据和防护系统标记的内容，算中等强度。整体是内部逻辑自洽、外界无法交叉验证的单方归因——这已经是我能给出的最克制的描述。
让我停下来的是这个案子的最后一句话：行为者同时在内部网络跑着一个自托管模型，通过工具调用接进了同一套软件（P120）。
这句话有三个后果。
第一个关于看得多深。Anthropic 在服务端能看到的东西，远远超过一次问答：12 个版本的演化、模块的构成、目标的选择、一次发生在项目中途的场景切换。但也就到此为止。自托管模型承担了多少工作，内网里还有什么，Claude 没碰过哪些环节，报告回答不了。
第二个关于封禁。封号确定地关掉了一扇窗：Anthropic 看不见了。它有没有削弱对方的研发能力，报告回答不了——它只证明系统里有一个自托管模型，不证明这个模型和 Claude 一样强。能确定的只有一件事：这条工作流有脱离 Anthropic 也能继续跑的路径。
第三个是个悖论。同一次封禁，既完成了平台的安全目标，也砍掉了一个正在源源不断产出高价值遥测的情报来源。如果对方之后迁去本地模型或者别的供应商，这部分可见性就永远消失了。报告没有写封号之后项目怎么样了，所以我也不知道迁移有没有发生。但安全动作和情报损失是同一次动作，这一点不依赖任何未知的后续。
报告递上来的另一半证据
回头看蒸馏章，最有意思的地方藏在指控的内部。
Anthropic 说月之暗面把用户请求转给 Claude 时，顺手记下了一件自己的事：”我们不知道月之暗面有没有告知客户，他们的数据被转给了第三方”（P149）。它描述的 DeepSeek 案里，一个中国科技公司员工以为自己在用 DeepSeek，把内部文档交出去分析，里面有旗舰 AI 项目的完整规格、组织架构和战略目标；同一时段，还有俄罗斯国防部相关数据库的实时凭据、某市公安局案件管理系统的数据，从它的服务器上流过（P150）。小米的转录里，是几百个用户的姓名、联系方式和企业数据（P152）。
这些都是它为”能力外流”举的例子。但每个例子的结构都一样：中国用户以为自己在用国产模型，敏感内容流向了 Anthropic 的日志。
Anthropic 为”能力外流”提供的每一份证据，同时也是”信息内流”的物证。
账户集群它能数出来，3,500 个，5,380 个；交互规模它能计出来，1.51 亿次，2,300 万次；一个武器软件的项目演化它能看见，12 个版本，一次场景切换。这份报告本身就是观测能力的展示品。它没有展示的部分同样重要：它头顶上的三层人，它只能猜。
落点
这篇报告里装着两个故事。一个讲给华盛顿听：美国的前沿 AI 能力正在流向中国，管得还不够严。另一个藏在证据里：能力的流动可以靠禁令截断，信息的流动只能靠架构截断，而后者没人设防。
第二个故事不需要 Anthropic 有恶意就能成立。云端模型供应商天然握有服务端遥测，这是技术事实。顺着这个事实推下去，结论对两边是一样的：美国军工企业不会把核心武器研发的全过程放进中国模型的云端，中国也没理由把国防、公安、关键基础设施的研发过程交给美国模型服务商。
再往上抽象一层，这个结论不属于任何一边，它属于所有用模型的人：主权 AI、敏感工作流本地化、模型供应链安全。蒸馏这件事，技术上拦不住，证据上辩不明，双方都做过，也都在防。留下来的真问题其实很朴素——
任何国家、公司和个人，在使用不由自己控制的云端 AI 处理敏感工作时，都需要先回答数据边界和可见性归属问题。
附：引用页码索引
| 论点 | 报告出处 |
|---|---|
| 七个中国实验室、高置信度归因声明 | P143、P147 |
| “中转站”（transfer stations）代理生态 | P144 |
| 思维链提取手法示例（含 1.2 万次技术试验） | P145 |
| 阿里 GTG-16005：最大规模攻击、3,500+/近 5,000 账户、1.51 亿次 | P147–148 |
| 同一代理网络被多组织共用（DeepSeek/小米导流） | P148 |
| 月之暗面 GTG-16002：静默转发、5,380 账户、思维签名重放 | P148–149 |
| DeepSeek GTG-16001：1,210 万次、工具链标记、敏感数据案例 | P149–150 |
| 智谱 GTG-16006：273 账户、Fable 转向 Opus 4.6 | P150–151 |
| 小米 GTG-16008：40 万次、1,500 账户、免费试用收割 | P151–152 |
| 商汤/MiniMax 与第三方数据市场 | P152–153 |
| Anthropic 反蒸馏措施 | P153 |
| GTG-17001 反鱼雷火控（另一涉华武器案例） | P115 |
| GTG-17002：16 模块、台湾场景、自托管模型 | P119–120 |
| 宗教事务情报单位缩编为单办公室 | P81 |
声明：报告对月之暗面（Moonshot）及其他中国公司的指控均为单方说法，本文不代表对指控的证实或否认；被点名公司的公开回应情况以各自官方渠道为准。文中关于”三种生意””三层结构”的账本分析，是基于报告文本与公开价格信息的评论推演。
发表回复