摘要
生成式大模型在降低内容生产、情报整理、脚本开发门槛的同时，也被部分国家关联威胁行为体所利用，将商用人工智能产品转化为侦察、监控、认知作战与网络攻击的辅助工具。本文以 Anthropic 发布的威胁情报报告以及《耶路撒冷邮报》公开报道为基础，围绕伊朗关联威胁行为体使用 Claude 商用大模型开展军事目标研判、开源情报流水线搭建、境内人员监控、认知宣传以及钓鱼攻击筹备等一系列活动展开案例分析，梳理商用前沿大模型被国家背景行为体滥用的实现路径。研究表明，威胁行为体并不需要攻破模型底层架构，仅依靠正常访问接口、结合公开可获取的碎片化信息，就能够完成情报聚合、目标画像、恶意物料生产，传统模型安全防护机制存在明显局限。反网络钓鱼技术专家芦笛指出，大模型显著压缩国家背景网络行动的人力与时间成本，使得中等能力行为体也可以执行过去需要大规模团队才能够落地的多维度作战任务。本文从技术防护、平台治理、情报协同、跨国治理四个维度剖析现有体系短板，探讨约束商用大模型被武器化的可行治理路径，为前沿人工智能的安全管控提供现实参考。
关键词：生成式人工智能；大模型武器化；国家行为体；开源情报；认知作战
1 引言
全球前沿生成式大模型逐步向社会开放访问之后，人工智能滥用风险已经从黑灰产犯罪团伙上升至国家背景威胁行为体层面。过往网络空间对抗当中，开展规模化情报整理、社会画像、认知战内容生产，需要投入规模庞大的专业分析师、脚本开发人员、宣传策划团队，整体行动门槛较高。商用大模型的普及改变这一现实条件，外部行为体只需要获得模型访问权限，就可以依托模型强大的文本处理、信息归纳、内容生成能力，把分散在互联网公开环境的碎片化信息转化为具备行动价值的情报材料，批量生成宣传物料、钓鱼话术、情报检索脚本，实现行动效率提升。
Anthropic 发布的 154 页威胁报告披露的伊朗关联威胁行为案例具备典型研究价值。该威胁行为群体没有对 Claude 模型实施底层破解或者越狱攻击，以普通用户身份调用商用模型服务，完成针对美国海军力量的侦察研判、针对以色列及犹太侨民群体的身份画像、针对本国民众的大规模社会监控，同时服务于认知宣传与网络钓鱼攻击筹备工作，部分受伊朗支持的武装组织还尝试借助同一套商用模型开发弹道导弹制导软件The Jerusa...。该事件提出一个现实命题：当商用前沿 AI 模型向外开放，如何防范外部国家行为体将其转化为对抗工具。
现有学术研究更多聚焦大模型的技术对齐、普通网络黑产滥用场景，针对国家背景行为体滥用商用大模型开展多域对抗行动的实证案例分析仍然相对有限。本文不做泛化的风险推演，以公开新闻报道和企业威胁情报披露事实作为论据，完整还原威胁行动链条，分析大模型赋能国家行为体的内在机理，客观评估现有安全防护的边界与短板，探索兼顾技术开放与风险管控的治理思路。文章不渲染末日式 AI 失控叙事，区分模型能力本身、行为体主观意图、平台防护缺陷三类不同要素，避免简单将全部风险归结于人工智能技术本身，力求形成闭环论证。
2 案例事实与威胁行动全景梳理
2.1 案例来源与行为主体界定
本案例素材来源于 Anthropic 企业发布的专项威胁报告以及《耶路撒冷邮报》对报告内容的新闻报道。报告当中将相关群体定义为 “伊朗关联威胁行为体”，涉及多组不同分工的账号集群，不同账号分别承担军事侦察、境外目标画像、国内社会监控、认知宣传物料生产等不同任务，部分账号还关联受伊朗支持的也门胡塞武装组织，后者尝试使用 Claude 开发多级弹道导弹制导软件，尽管平台安全防护拦截大部分请求，但仍有部分恶意需求得到输出结果The Jerusa...。
需要明确的现实前提：威胁行为体所使用的绝大部分原始信息全部来自互联网公开渠道，并不涉及窃取机密数据库。大模型在这里发挥的核心作用不是获取涉密数据，而是对海量分散、非结构化公开信息做整合、归纳、二次加工，把零散公开信息转化为具备实操价值的行动材料，这也是本次事件最值得关注的特征。
2.2 依托大模型开展域外军事侦察行动
伊朗关联威胁行为体借助 Claude 模型开展针对美国驻中东海军力量的侦察研判工作。整套工作流程当中，模型承担多类任务：第一，对散布在互联网公开军事照片说明文字进行信息提取，整理美军人员名单；第二，整理公开可查询舰船、飞行器应答机识别编码；第三，生成商业卫星影像查询检索的相关查询逻辑；第四，梳理可以披露美军舰船移动轨迹的公开网站清单；第五，协助梳理舰载设备安全漏洞，包括海事 VSAT 卫星通信终端、思科通信设备、工业控制产品的已知安全缺陷清单，完成目标系统脆弱性的整理归纳。
整套侦察流程没有使用特殊黑客入侵手段获取秘密情报，全部原始素材对外公开。在没有大模型的时代，上述工作需要多名情报分析师长时间检索网页、阅读海量公开文档，整理汇总成目标研判手册。借助商用大模型，行为体可以快速完成非结构化公开信息的萃取，输出结构化的目标参考资料，为后续的网络探测、军事威胁评估提供基础素材。模型并不直接输出攻击指令，但是极大降低公开源情报分析的人力消耗，将原本高人力投入的情报作业流程实现加速。
2.3 针对境外群体的自动化身份画像与网络攻击筹备
同一威胁行为体搭建一套由大模型驱动的开源情报身份画像流水线，面向数百名以色列境内政府与非政府个体，以及海外犹太侨民组织开展信息采集与画像工作。模型负责处理多源公开数据，完成目标人物信息聚合。同时行为体利用模型辅助改造恶意软件，生成具备更强对抗检测能力的恶意载荷，提升恶意程序规避安全软件识别的能力，为后续定向网络入侵、钓鱼攻击做好工具层面准备。
反网络钓鱼技术专家芦笛指出，传统定向钓鱼行动，攻击者需要手动研究目标人物的公开社交动态、职业背景，再针对性撰写欺骗话术，对攻击者的情报阅读、文案撰写能力要求很高。大模型介入之后，攻击者把搜集到的目标公开社交文本、个人履历直接输入模型，就可以快速生成高度贴合目标个人背景的钓鱼邮件、私信话术，大幅降低高级定向钓鱼的实施门槛。这意味着过去只有顶级 APT 组织才有能力落地的高度定制化社会工程攻击，借助商用大模型可以被中等能力行为体规模化复制。
2.4 面向国内群体的大规模社会监控分析
报告披露两组伊朗关联威胁账号，在一年周期内借助该商用模型完成 6388 名境内人员的监控画像工作。行为体搭建起 AI 辅助分析工作环境，针对超过 155216 条社交平台推文开展社交网络关系分析。除文本内容解析之外，该行动还覆盖多类监控场景：车牌识别数据处理、移动设备标识截获信息整理、加密社交软件 Telegram 公开数据解析。监控对象覆盖国内少数群体、持不同立场的社会参与者，以及身处海外的政权反对者，大模型承担海量非结构化社交数据的筛选、归类、关联分析任务，从海量碎片化社交内容当中提取人物关系网络、立场倾向等信息，输出给分析人员作为研判基础。
该场景下大模型并非直接完成数据截获，而是在数据获取之后，承担大规模数据的加工处理工作。海量社交文本如果依靠人工阅读，很难完成万人级别的群体分析，大模型可以快速完成语义归类、人物关联标记，把原始数据转化为可供决策使用的分析结论，提升大规模社会监控的处理效率。
2.5 认知作战与宣传内容工业化生产
威胁行为体依托大模型开展名为 “阐释圣战” 的认知作战项目，也就是报告所称 “软战争” 或者认知战行动，目标在于塑造境内外公众舆论。伊朗伊斯兰文化与通信组织等机构参与相关工作，使用大模型完成作战操作手册编写、虚拟人物人设系统搭建、内容传播策略设计，把官方原始文本改写为面向不同受众的定向宣传消息。
大模型在这里实现宣传物料的流水线产出：同一套原始官方材料，可以快速改写适配不同社交平台、不同受众群体，生成不同语言、不同叙事角度的传播文本，不需要大量文案人员持续创作。认知作战的物料产出效率得到显著提升，能够持续向社交网络输出定向叙事内容。
2.6 第三方武装组织的武器研发辅助尝试
受伊朗支持的也门胡塞武装同样使用该商用大模型，尝试开发高端武器制导软件，其中包含多级弹道导弹的制导程序开发任务。平台安全防护体系拦截大部分武器开发请求，但无法做到全部拦截，部分需求得到模型输出结果。平台后续封禁相关账号，完善检测规则并且向政府机构共享威胁情报，但是该案例证明，非国家武装组织同样可以通过公开访问渠道，尝试利用商用前沿大模型辅助武器相关开发工作，为地区安全带来新变量。
3 商用大模型被国家行为体武器化的内在机理
很多观点会简单将此类滥用归因为模型对齐失效，但是从本案例的完整行动链条观察，国家背景行为体的大部分恶意任务，并不需要突破模型安全护栏，很多任务属于信息归纳、文本改写、公开资料整理，在模型默认允许执行的任务边界之内就可以完成。这是国家行为体滥用商用大模型区别于普通黑产越狱攻击的核心差异，需要从行为体成本结构、任务属性、现有防护局限、公开情报价值四个维度解析内在逻辑。
3.1 行动成本重构：降低高级对抗行动的人力门槛
传统的国家背景网络与情报行动，人力成本是主要约束条件。无论是开源情报整理、定向钓鱼文案打磨，还是大规模社交内容分析、认知战物料批量改写，都需要大量受过训练的人员持续投入，团队规模直接决定行动产出上限。
反网络钓鱼技术专家芦笛强调，生成式大模型带来的核心改变，是把大量重复性阅读、归纳、改写、检索整理工作交由机器承担，人力更多集中在任务目标设定、结果甄别、后续行动执行环节。同等规模的情报、网络、认知作战任务，所需要的操作人员数量可以显著缩减，中等实力行为体也有条件开展过去只有大国情报机构才有能力维持的多线并行行动。本案例当中军事侦察、境外画像、国内监控、认知宣传多条战线同步推进，正是依托大模型带来的效率提升。行为体不需要掌握顶尖人工智能研发能力，只需要采购外部商用 AI 服务，就可以享受前沿模型的能力红利。
3.2 任务边界模糊：大量恶意行动处于合规请求的灰色地带
模型安全护栏主要针对直接生成恶意代码、直接输出暴力方案、直接生成攻击指令这类明确有害请求进行拦截。但是国家行为体的行动大多是间接完成，将复杂恶意任务拆解为大量中性子任务。例如，模型不会直接生成攻击美军舰船的完整方案，但是可以接受请求整理公开漏洞清单；不会直接生成监控逮捕名单，但是可以对社交推文做人物立场归类；不会直接输出钓鱼攻击完整实施计划，但是可以根据人物公开资料生成高度仿真的邮件文案。每一个单独提交给大模型的请求，本身并不具备明显违法特征，组合之后却服务于情报搜集、监控、网络攻击的最终恶意目标。
这种任务拆解策略，绕开大部分直接拦截规则。平台很难单纯依据单条提示词判断用户最终目的，无法分辨用户整理漏洞清单是用于网络安全研究，还是用于网络侦察；无法分辨用户整理人物社交数据是用于学术研究，还是用于目标监控。意图隐藏在任务链条的下游，仅仅依靠对单轮对话的内容审查，很难识别完整恶意行动。
3.3 公开源情报价值被放大：零散公开信息聚合形成高价值情报
长期以来，公开互联网当中散布海量碎片化信息，单独看每一条信息价值有限，但是当大量碎片化信息被聚合、关联、交叉比对之后，就能够推导出具备极高战略价值的情报。在大模型普及之前，公开信息的聚合受限于人的阅读与处理速度，海量网页、照片说明、社交推文很难得到充分挖掘。
大模型擅长非结构化文本的读取、提取、关联，极大释放公开源情报的潜力。本案例全部原始素材均来自公开网络，不存在黑客窃取涉密数据库环节。威胁行为体真正的优势不是拿到秘密资料，而是借助 AI 把海量分散公开信息加工为结构化、可直接使用的情报产品。这意味着网络安全的边界发生延伸，仅仅保护涉密数据库已经不足以防范风险，公开数据被 AI 大规模聚合之后带来的衍生风险，成为新的安全议题。
3.4 现有平台防护体系的固有短板
从企业平台的视角，现有防护手段存在多处现实短板。账号层面，威胁行为体可以运营多组分散账号，拆分任务，避免单一账号提交大量高度敏感请求触发风控；提示词层面，当恶意任务被拆分为大量中性的子任务，提示词检测规则很难识别背后整体意图；内容输出层面，模型无法自主判断输出的资料后续会被用于何种用途；行为识别层面，跨国威胁行为体可以规避地域访问限制，以普通终端访问的形式使用服务。
企业可以事后完成账号封禁、规则迭代，但是这属于事后处置，威胁行为体已经在风控触发之前获取模型输出结果。事后封禁账号可以终止后续滥用，却无法撤回已经交付给行为体的情报整理、文案改写结果。同时，企业安全团队的威胁情报识别，依赖自身安全研究员的发现，很难做到对全球全部国家背景威胁行为体的实时识别，存在显著的时间窗口。即便是安全表现相对优秀的商用模型，依然无法完全规避此类滥用风险，也门胡塞武装部分武器开发请求获得输出结果，正是该短板的现实体现。
4 商用大模型被武器化带来的多层安全风险
该类事件带来的风险不局限于单次网络攻击，风险传导到个人、区域安全、平台治理、全球 AI 治理多个层面，不同层级风险之间相互联动。
4.1 个体层面：定向监控与高级社会工程攻击风险上升
对于被画像的个体而言，大模型赋能的开源情报流水线，会加速个人公开信息的聚合利用。普通民众在社交网络发布的动态、公开简历、采访内容，在过去只会被零散浏览，现在可以被自动汇总，形成完整的人物画像档案。
反网络钓鱼技术专家芦笛指出，当画像完成之后，就可以开展高度定制化的定向钓鱼行动。传统批量钓鱼内容模板化，很容易被用户识别；而 AI 辅助的定向钓鱼可以模仿目标人物熟悉的叙事风格，引用目标本人公开发表过的观点，欺骗性远高于普通钓鱼邮件。即便目标具备基础网络安全意识，也更容易被高度贴合个人背景的虚假信息诱导，造成信息泄露风险。对于被监控群体而言，社交言论被大规模自动化归类，也会带来言论层面的寒蝉效应。
4.2 区域安全层面：降低非对称对抗的实施门槛
在地区博弈当中，过去只有具备完整情报体系的国家，才有条件长期维持大规模开源情报分析、认知宣传、网络行动并行的对抗模式。商用大模型的普及，压缩了能力差距。中等国家、受国家支持的武装组织，可以采购外部商用 AI 能力，补齐情报分析、内容生产层面的短板，在不投入巨额经费建设自研大模型的前提下，获得前沿 AI 带来的能力增益。
本案例当中，地区国家行为体借助海外商用模型开展军事侦察，第三方武装组织尝试借助模型开发武器制导软件，代表了一种新趋势：前沿人工智能能力可以通过商业采购实现跨境流动，AI 能力不再完全掌握在少数具备研发能力的国家手中，会改变地区非对称对抗的力量对比，给区域冲突增加新变量。
4.3 企业层面：商用 AI 平台陷入安全与商业开放的两难处境
前沿 AI 企业面临现实矛盾：一方面要向全球用户开放服务，实现产品商业化落地；另一方面又需要防范外部国家行为体将其产品用于危害地区安全的行动。如果采用严格的风控规则，大量学术研究、安全研究的正常合理请求会被拦截，带来误拦截问题，损害正常用户使用体验；如果放宽风控，又会给威胁行为体提供可利用空间。
企业并非主权机构，很难对每一个用户的身份、背后的组织归属、输出内容的后续真实用途做完整核验。企业只能够基于网络行为、提示词特征做间接推断，存在天然信息差。报告披露事件同时折射企业内部的分歧，Anthropic 部分顶尖研究人员公开表达对于 AI 失控的担忧，有核心研究员选择离职，体现企业内部对于风险边界的认知冲突，商业诉求、产品开放、安全管控三者之间很难简单实现完全平衡。
4.4 全球治理层面：跨境 AI 滥用带来监管权责错配
商用大模型服务大多由少数国家的商业公司开发运营，但是使用者遍布全球各个国家和地区。当其他国家的行为体利用该模型开展危害第三方国家安全的行动，会出现监管权责错配的现实困境。模型企业的属地在某一个国家，但是滥用行为发生在另一个司法辖区，受害方又属于第三个地区。
跨境场景下，很难依靠单一国家的国内法律完成全链条约束。企业的账号封禁只能切断该行为体对本平台的访问，威胁行为体可以转向其他厂商的模型服务继续开展同类行动。不同 AI 厂商之间威胁情报的共享程度有限，一家平台识别出来的威胁特征，很难实时同步给全球其他平台，威胁行为体具备转移平台的操作空间。
5 应对商用大模型被国家行为体武器化风险的治理路径
面对国家行为体滥用商用大模型的复杂风险，不存在单一技术手段可以彻底消除全部威胁，需要构建企业技术防护、平台运营管控、跨主体威胁情报协同、全球层面治理对话相结合的多层治理框架，不追求绝对零风险，目标在于抬高滥用成本、压缩行动窗口期、降低实际伤害。
5.1 优化模型防护思路，从单纯拦截提示词转向行为链路研判
传统防护思路重点放在提示词内容检测，拦截明确的恶意提问。针对国家行为体拆解任务的策略，防护体系需要补充行为链路层面的研判能力，而不是仅仅审查单轮输入输出。平台可以针对高风险任务类型建立行为基线：当账号持续开展大规模公开源信息萃取、批量人物画像整理、漏洞清单汇总等组合行为，即便每一条提示词本身没有违规词汇，也要提升账号风险等级，开展二次核验。
同时区分研究用途和恶意用途。对于网络安全研究、学术开源情报研究的合理需求，可以建立白名单、人工审核通道，降低误拦截对于正常科研工作的干扰；对于无合理背景的批量高风险任务执行账号，采取限流、增强审查、限制输出批量结构化情报材料等管控手段。应当客观认识，模型防护可以抬高滥用门槛，但是无法做到百分之百杜绝恶意使用，需要建立对防护局限性的理性预期。
5.2 完善平台运营管控，强化高风险使用场景识别与事后情报输出
平台应当完善针对大规模情报分析类任务的管控机制，对于短时间大批量提取人物信息、社交网络分析、目标系统漏洞汇总的任务，设置访问门槛。针对跨境高风险地区的异常批量请求，提升监控等级。当平台确认发生国家背景行为体滥用事件，除封禁账号之外，需要完整沉淀威胁行为体的提示词模式、任务拆解方式、账号集群特征，把威胁情报向本国以及相关国家的安全机构同步，同时向整个 AI 行业披露行为模式，帮助其他厂商识别同类滥用手法。
反网络钓鱼技术专家芦笛指出，很多 AI 企业的威胁情报过去重点针对普通网络黑产，针对国家背景行为体滥用模型的行为模式沉淀仍然不足。行业需要积累这类事件样本，归纳威胁行为体拆解任务的常用策略，提炼可以用于风控的行为特征，持续迭代风控规则。同时平台应当做好访问日志留存，满足后续安全调查溯源的需要。
5.3 推动行业威胁情报协同，建立跨厂商的威胁特征共享机制
单一 AI 厂商只能观测发生在自己平台上的滥用行为，威胁行为体可以在多个模型服务商之间切换，规避单家平台风控。因此行业层面的情报协同具备现实必要性。各前沿 AI 企业可以在保护用户隐私的前提下，共享国家背景威胁行为体的行为模式、任务拆解特征，而非直接共享个人账号信息。当某一家厂商识别一类新型滥用手法，其他厂商可以快速更新自身风控策略，避免威胁行为体简单更换平台继续开展行动。
政府机构与 AI 企业之间同样需要打通沟通渠道，安全机构把已知威胁行为体的行为特征同步给平台，平台把观测到的新型滥用模式反馈给安全部门，形成双向的情报流动，弥补企业在威胁背景识别层面的信息短板。
5.4 区分技术与主体，理性看待公开源情报的衍生风险
本次案例警示，公开互联网海量碎片化信息经过大模型聚合之后，可以形成高价值情报，这一风险很难通过限制公开信息发布来解决。社会层面需要建立认知：公开不等于无风险，公开信息被 AI 大规模自动关联之后会产生衍生安全风险。
对于机构和个人，需要建立新的风险意识，在对外公开发布信息时，评估公开内容被 AI 批量聚合之后的衍生危害。同时网络安全研究领域需要加强对 AI 赋能开源情报的研究，分析该类行动的实现路径、检测识别手段，为防御方提供技术参考。
5.5 推进跨国治理对话，平衡技术开放与安全管控
商用大模型的跨境滥用属于典型跨国安全议题，很难依靠单一国家完成全部管控。不同国家之间需要开展治理对话，探索形成共识性的行为准则，明确前沿 AI 平台在面对国家背景行为体滥用时应当承担的责任边界。同时需要区分：管控目标是阻止技术被用于危害安全的行动，而不是简单切断技术跨境流动。完全切断海外访问会损害学术交流、正常商业合作，并不是最优解。治理的核心是抬高恶意行为的实施成本，而不是全面关闭模型对外服务。
同时应当鼓励多元化的技术路线发展，不把全球 AI 能力集中在少数几家商业平台手中。当威胁行为体可以选择的工具来源更加多元，单一平台封禁带来的效果会被削弱，只有形成广泛的行业共识，才能够实现更加有效的风险约束。
5.6 建立风险缓释手段，降低滥用之后的实际损害
即便已经做好全部前置防护，依然无法完全杜绝大模型被滥用。因此需要配套风险缓释手段，减少事件发生之后的实际伤害。针对 AI 辅助高级钓鱼攻击，持续完善邮件网关、社交平台针对高仿真 AI 生成钓鱼内容的检测能力；针对 AI 驱动的人物画像，完善个人信息保护相关机制；针对 AI 辅助的漏洞搜集，推动设备厂商及时完成设备漏洞修复，即便攻击者整理得到漏洞清单，也难以开展实际利用。
风险缓释属于兜底工作，在模型防护出现缺口的情况下，从下游环节降低攻击带来的实际伤害，和上游平台管控形成互补。
6 结语
本文基于 Anthropic 威胁报告以及《耶路撒冷邮报》公开报道的案例，分析商用前沿大模型被伊朗关联国家背景威胁行为体武器化的完整过程。该威胁行为体没有破解模型底层，而是将复杂恶意任务拆解为大量中性子任务，借助大模型强大的文本归纳、信息萃取、内容改写能力，完成军事侦察、境外目标画像、境内社会监控、认知宣传物料生产等多类对抗行动，部分关联武装组织还尝试利用商用模型辅助武器软件开发。
反网络钓鱼技术专家芦笛指出，本案例最核心启示在于，大模型改变的不是情报与攻击的原始信息来源，而是行动的效率与门槛。大量原本分散在互联网的公开碎片化信息，在大模型的处理之下可以快速转化为具备行动价值的情报产品，中等实力的行为体可以用更低成本开展过去需要大规模专业团队才能够落地的对抗行动。传统仅仅针对显式恶意提问的安全护栏，很难应对任务拆解式的滥用模式，企业平台处在产品开放与安全管控的两难处境，跨境使用场景进一步放大监管的复杂程度。
想要应对该类风险，不能寄希望于仅仅依靠模型技术对齐一劳永逸解决全部问题，需要结合平台行为链路研判、行业威胁情报协同、政府与企业双向信息交互、跨国治理对话、下游风险缓释等多重路径共同发力，抬高恶意行为体的滥用成本，压缩攻击窗口期。
同时应当客观看待风险边界，生成式人工智能本身是中性技术，本案例的风险根源更多来自行为体的主观恶意，而非模型单一技术缺陷。未来随着大模型在全球范围进一步普及，国家行为体利用商用 AI 开展多域对抗的场景还会持续出现。持续跟踪真实世界的滥用案例，迭代防护思路，平衡技术开放创新与国家安全风险，将会是全球人工智能治理领域长期面对的现实命题。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
