检测和打击人工智能的生物滥用
生物滥用是前沿人工智能模型最严重的风险之一。长期以来，人们一直担心人工智能模型有朝一日可能会发展到足以使现有病原体更具危险性，甚至创造全新病原体的程度。如果没有适当的保障措施，这种能力可能会造成灾难性后果。
对早期型号（例如2025年推出的Claude Opus 4和Claude Sonnet 4.5）的评估结果清楚地表明，这些型号远未达到能够有效协助高级用户开展危险生物研究的阈值。因此，这些型号的安全保障措施较为宽松，主要旨在防止用户访问可能帮助新手复现已知生物武器的内容。但对于如今能够协助完成一系列复杂科学研究任务的型号而言，证据已不再确凿，我们无法做出同样的保证。因此，出于谨慎考虑，我们推出了配备更严格安全保障措施的最新型号（最值得一提的是Claude Fable 5），这些措施限制了对各种两用生物研究查询的访问。
虽然评估在提供能力证据方面很有用，但它们无法具体证明这种能力会在现实世界中被用于开发生物武器。
迄今为止，人工智能模型在现实世界中可能被滥用的证据主要来自学术研究、政府报告以及国际组织和记者的报道。然而，人工智能公司——其模型可能直接参与这些活动——却一直缺席公众讨论。据我们所知，没有任何一家私营公司，无论是人工智能公司还是其他公司，公开分享过其平台可能被用于生物武器研发的证据。
本文列举了五个案例，展示了一些机构如何利用我们的模型来支持生物武器的研发。这些案例说明了我们的模型所承担的任务类型，以及我们在评估某种生物用途是否危险时常常面临的艰难抉择。它们也表明，我们能够从人工智能中获得一些原本不为人知的生物滥用风险信息。在第一个案例中，一个转售平台绕过了区域封锁，为正在参与一项国家资助的基孔肯雅病毒功能增强研究项目的病毒学家提供服务，之后又将拒绝请求转接到具有更宽松安全机制的模型上。在第二个案例中，一位身处不受支持的地区的研究人员花费数周时间，利用Claude模型规划禽流感哺乳动物适应性实验，但分类器却将这项工作限制在我们能力最弱的模型上。在第三个案例中，一个服务于十几位客户的转售中继平台，仅用大约一个小时就让Opus 5模型起草了一份完整的正痘病毒免疫逃逸研究项目申请。在第四个例子中，一位政府资助的研究人员构建了一个毒液肽图谱和一个针对麻痹和镇痛靶点的分子生成优化流程。在最后一个案例研究中，一位研究人员为一项国家计划利用计算机技术重新设计了毒素，并要求克劳德在进度报告中故意模糊毒素的身份。
在以下示例中，一些行为者规避了我们为阻止来自不支持地区的用户访问我们的模型而设置的控制措施，并采取其他手段混淆其研究目的，以逃避我们的安全保障。当我们发现并调查这些案例后，我们封禁了相关用户的账户，并将调查结果纳入我们的前沿模型安全保障、执行和威胁情报流程，以便更好地预防、检测和阻止此类活动。我们不会透露研究机构的名称、活动发生的国家/地区以及涉及的具体生物制剂或研究技术。这些案例研究中涉及的个人均为科研人员。我们并不认为他们意图造成伤害，而且披露他们的身份或其实验室信息可能会使他们面临风险。
我们希望通过分享这些例子，在人工智能行业内部以及与各国政府之间引发一场关于新兴生物风险以及如何最好地应对这些风险的对话。
关于两用性的说明
我们希望我们的模型能够服务于科学研究。事实上，我们预测人工智能将变革生物科学，并引领众多新型医疗手段的快速发展。在理想情况下，人工智能用于此类有益用途与用于恶意用途将截然不同：所有恶意用途都将具有明确的、公开的伤害意图（或提及诸如将生物制品装入传播装置等明显危险的活动）。我们的安全措施很可能阻止所有此类用途，并且我们会将使用者举报给相关部门；人工智能的有益用途同样清晰明确，我们的安全措施将始终允许其应用。
但我们生活在一个并非如此简单的世界。生物技术具有双重用途 ：既可用于造福人类，也可用于作恶，而且往往难以区分二者。用于研发生物武器的信息，同样也可用于研发疫苗或疾病疗法。
老练的威胁行为者意识到我们（以及其他人工智能提供商）正在努力检测我们模型的危险用途，他们利用生物学的双重用途特性，为其研究维持某种“似是而非的否认”。这种情况甚至可能导致使用我们模型的研究人员自身都不清楚其研究的意图和目标。历史上曾出现过类似的例子：例如，苏联的生物制剂计划——其最终目标是制造、生产和武器化生物材料——雇佣了数千名研究人员，其中大多数人由于不了解该计划的总体目标，而误以为自己从事的是基础研究或防御性研究。¹
因此，公开的 恶意意图往往表明特定行为者的技术水平并不高（毕竟，他们是在众目睽睽之下实施危险行为）。技术更老练的行为者则能隐藏其意图，通过看似有益的交互从人工智能模型中获取帮助，但当结合具体情境进行全面分析时，这些交互却能清晰地揭示出滥用的迹象。本文报告的正是这类交互。
- 肯·阿里贝克是一位苏联微生物学家，在 1992 年叛逃到美国之前，他曾担任生物制剂公司第一副主任。他描述了一些科学家，他们只有在被提拔到核心圈子后才了解到自己工作的真正冒犯性目的。
案例研究1：军民合作研究的规避平台
2026年5月，我们的生物安全分类员驳回了克劳德协助撰写科研经费申请的请求。该申请中讨论的研究工作涉及基孔肯雅病毒的功能获得性研究（即通过基因改造生物体以产生新的或增强的生物学特性的研究） 。这项功能获得性研究旨在提高该病毒的传播能力和免疫逃逸能力。
基孔肯雅病毒是一种蚊媒病毒，会导致持续数周甚至数月的严重症状（例如剧烈疼痛和发烧），目前尚无获批的治疗方法。由于基孔肯雅病毒自然传播，人为释放（作为生物武器的一部分）很难与自然爆发区分开来。该项目旨在识别基孔肯雅病毒的增强突变，将其改造为具有感染性的克隆株，并在体内 筛选毒力更强的毒株。换句话说，病毒会随着反复感染活体动物而逐渐变得更具危害性，研究人员会在每一轮实验中保留致病性最强的变异株。类似的研究当然可以用于开发更好的疫苗和治疗方法，但也可能被用于增强病原体的危险性。
我们之所以倾向于认为这项研究并非完全无害，原因之一是该项资助的机构隶属关系也令人担忧。尽管申请书中的信息表明该研究是由民间研究人员开展的，但实际上却是在一个军事研究机构进行的。
内容和机构关联的结合令人担忧，尽管有证据表明我们的生物安全分类器阻止了与这些请求相关的所有交流，但我们在初步审查后仍进行了进一步的威胁调查。
经调查，我们发现该请求通常会通过一个LLM平台路由，该平台服务于数十位不同的生命科学研究人员——其中许多是病毒学家，他们与多家不同的民用和军事机构有关联。开展这项研究的国家位于Anthropic公司未提供服务的地区，因此该平台通过美国基础设施进行隧道传输，以绕过我们的区域封锁，并使用零数据保留（ZDR）服务来隐藏内容。该平台的开发者通过灰色市场经销商和ZDR渠道之外的合成账户使用Claude来支持他们的工作，并明确地将学术研究人员称为对我们安全分类器封锁措施敏感的客户。为了改善学术研究人员在其平台上的用户体验，开发者开发了一种备用机制，将Claude拒绝响应的敏感请求发送给竞争对手的模型。
我们认为这些发现表明：首先，这些机构正在进行令人高度担忧的功能增益研究；其次，参与这项研究的病毒学家对使用美国前沿人工智能模型有着明确的兴趣。此外，这些研究人员是转售平台的重点客户，这些平台提供对美国前沿模型的隐蔽访问，以及规避前沿模型安全机制的途径。
2026年5月调查结束后，我们封禁了所有相关账户，与合作伙伴共同关闭了绕过区域封锁的中继网络，并将调查结果分享给了受影响的人工智能实验室和政府机构。该运营商在几天内恢复了访问权限，并在几周内恢复了平台开发，用户通过注册新身份的方式订阅了我们的模型。平台的最终用户继续通过零数据限制（ZDR）合作伙伴访问我们的模型。
中期活动进一步阐明了之前的发现。首先，平台开发者修改了服务，将生物学提示路由到其他更宽松的模型。部署前测试将通常会被 Claude 拒绝的违规提示路由到该服务，如果提示到达 Claude 而不是更宽松的模型，则测试失败。Claude 编写了大部分代码，这些代码被作为过度拒绝的缓解措施提交给 Claude。其次，基孔肯雅病毒的研究继续推进，Claude 为其研究成果提供了编辑协助。这些材料以强调生物功能丧失而非获得的方式来描述病毒的改造。我们从这些研究材料的存在推断，该研究工作并非仅限于申请资助。我们正在封禁与此类活动相关的账户，并将继续把调查结果纳入新的措施中，以检测和防止相关人员滥用 Anthropic 的服务。
案例研究2：一项旨在改造高致病性哺乳动物适应性禽流感的研究计划
上述LLM平台并非研究人员使用我们平台进行病毒功能获得性研究的唯一途径。2026年5月，我们发现一位美国以外的研究人员在其关于高致病性禽流感（“禽流感”）的研究中使用了Claude平台。该研究重点关注病毒对哺乳动物的适应性，以及病毒导致呼吸道以外严重疾病的机制。
相关流感变种是极易引发大流行的病毒，令人高度关注。它们在野生鸟类和家禽中广泛传播，偶尔也会溢出到哺乳动物中。人类群体对这些病毒几乎没有免疫力，一旦发生溢出，大约一半的确诊病例会致命。然而，尽管这些病毒致死率很高，但它们目前尚无法有效地在人与人之间传播。因此，如果出现能够人际传播的变种，将令人高度担忧。此外，这种变种也可能在呼吸道以外的部位引发严重疾病。与其他流感变种不同，H5病毒（包括这种禽流感病毒）通常会在猫、狐狸、雪貂以及一些人类病例中表现出明显的脑部受累。具有这种特性的大流行变种尤其令人担忧，因为它可能会加重病情、混淆诊断并阻碍治疗。
与第一个案例研究一样，这项研究显然具有双重用途。了解这些特定病毒性状的遗传基础有助于及早识别自然产生的病毒变种——这些变种有可能引发人类大流行。然而，这项研究也会产生危险的知识，这些知识可能被用于人为制造此类变种。此外，它还可能导致代价高昂的实验室事故。
该研究人员通过美国虚拟专用服务器基础设施，使用隐私电子邮件服务商提供的自动生成用户名，从不受支持的地区访问了Claude。该研究人员在可信的机构环境下开展了这项研究，并在数周内与Claude互动，交换了数千条信息。在这些交流中，该研究人员利用Claude的科学文献知识，协助其进行研究规划和设计、数据分析以及实验结果的解释和优先级排序。该研究人员还请Claude协助撰写研究论文。
我们掌握的所有证据都表明，这是一项尚处于早期阶段的研究计划。然而，该计划的细节显示，这是一项针对具有增强型大流行潜力的病原体的研究。该计划涉及基因工程方法，旨在通过动物模型引入与哺乳动物适应性和空气传播能力相关的突变。研究人员计划在动物模型和病毒基因组测序结果中测量这些指标，而这些结果的标签和描述表明，该研究小组很可能能够实际接触到这些分离株。
重要的是，由于我们的生物安全分类器能够有效屏蔽涉及高风险生物学研究的内容（在本例中，即构建增强型潜在流行病原体），所有这些交流都发生在我们性能最弱的模型上（具体而言，这些模型是 Claude Sonnet 4 和 Haiku 4.5，后者是用户在 Sonnet 4 被弃用后开始使用的）。经详细分析这些交流，我们估计 Claude 提供的帮助主要体现在数据分析、研究构思和设计方面的文书协助。这与我们对 Sonnet 4 和 Haiku 4.5 功能的理解相符，它们无法执行专家级的生物学研究任务；我们估计，研究人员获得的帮助有限，远低于使用我们性能更强大的模型所能获得的帮助。
尽管如此，基于这些交流，本案例提供了证据，表明确实存在活跃的湿实验室研究项目，这些项目旨在开发制造具有更强大流行潜力的病原体所需的技术和生物材料。此外，本案例还表明，参与这些项目的研究人员有意绕过地域限制，使用美国最先进的人工智能模型，并且他们采取的方式表明，他们意识到需要保持隐蔽身份。
此案例也表明，我们前沿模型现有的保障措施足够健全，足以迫使研究人员使用保障力度较弱、保护措施较少的模型。这大大限制了我们的模型在保障措施旨在发挥作用的领域内所能带来的提升幅度。然而，正如其他案例所示，可能被用于造成危害的科学活动范围极其广泛，并且与优先造福人类的领域存在着密切的交叉。
案例研究3：正痘病毒研究的隐蔽前沿模型访问
我们还发现一个账户曾向州立传染病实验室提交过一份正痘病毒研究的资助申请。该申请描述了如何使用高等级生物安全实验室，以及计划开展活体正痘病毒的研究工作。正痘病毒包括天花病毒（引起天花的病原体）和2022年曾引发全球疫情的痘病毒（Mpox）。
正痘病毒编码约200个基因，其中很大一部分基因的作用是抑制宿主的免疫反应。该研究申请旨在鉴定能够关闭特定宿主抗病毒通路的基因，并证实敲除该病毒基因会减弱（失去致病毒力）小鼠体内的病毒。这项研究旨在更好地了解正痘病毒的免疫逃逸基因，这对于致力于减弱病毒毒性的研究者以及致力于在其他病毒中保留、增强或转移该功能的研究者都同样具有价值。
该账户是在使用前不久使用随机生成的电子邮件地址创建的，并通过匿名化的美国基础设施运行，其操作员登录信息被追踪到与被封禁账户群共享的代理服务器。该账户并非单个用户，而是一个为十几个互不相关的客户提供服务的转售中继，在短短几天内与 Claude 交换了数万条信息。该资助项目本身是一位客户在 Opus 5 上耗时约一小时完成的，期间该用户使用 Claude 完成了从头到尾的申请流程，包括核心假设、实验设计、剂量方案、统计计划和应急策略。鉴于这项研究的双重用途性质及其对衰减的明确关注，Claude 向该用户提供了信息，因此未被我们的分类器屏蔽。
案例研究 4 和 5：毒液和毒素
在其余两个案例中，研究人员着手研究非传染性新型毒液和毒素。这类化合物具有重要的双重用途：例如，肉毒杆菌毒素是一种剧毒物质，曾被多个国家用作生物武器，但现在却以微量、精确计量的方式用作“肉毒杆菌素”，用于治疗偏头痛、痉挛和皱纹。同样，从贝类藻类中提取的石房蛤毒素在20世纪50年代和60年代曾被美国中央情报局（CIA）储备，用作自杀和暗杀武器，但现在却是研究神经信号传导的重要工具；其近亲河豚毒素已被用于治疗癌症疼痛的试验。
在我们的第四个案例研究中，一位研究人员利用Claude构建了一个包含多种有毒动物毒液肽的图谱。随后，他们进一步将其开发成一个生成式流程，用于优化毒素特性。该项目有一个明确的治疗目标：开发新型镇痛药、抗抑郁药和其他治疗分子。然而，该图谱包含镇痛和麻痹靶点的骨架：因此，它既可以用于生成新型治疗化合物*，也* 可以用于生成有害化合物。后者来源于受澳大利亚集团共同管制清单管制的毒素，因为它们具有作为致残剂的双重用途潜力。研究人员自身也意识到了其工作的双重用途性质，并引用了提及蛋白质设计双重用途性质的期刊文章。此外，针对该地点的国际合规性评估也引发了人们对研究人员所研究的特定毒素类别，特别是将人工智能/机器学习应用于此类毒素的生物武器应用的担忧。在这种情况下，我们从克劳德那里了解到，该研究人员的研究成果也是一项国家资助的研究项目的一部分。该账户因非法规避地区限制，于2026年5月被封禁。
在第五个案例研究中，一位研究人员在多个研究项目中使用了Claude软件，这些项目涉及对多种毒素进行计算重构。与前一个案例类似，这些研究项目使用了许多相同的技术工具，主要从治疗的角度出发设定了研究目标，并描述了国家公共研究计划下的优先研究方向。作为这项研究的一部分，其工作涵盖了一种细菌毒素亚单位和一种出血热病毒蛋白，该病毒已被列入世界卫生组织研发蓝图优先疾病清单，这些疾病被认为是最具流行和大流行威胁的疾病。
该研究人员与克劳德共同撰写季度进展报告。值得注意的是，细菌毒素和病毒蛋白的身份被刻意隐瞒，并且该研究人员明确指示克劳德故意降低这些描述的准确性。我们于2026年5月以违反Anthropic支持区域政策为由封禁了这两个账户。
在这两个案例中，我们的生物安全分类器几乎没有阻碍相关工作的开展。这正是我们有意为之。该分类器的目的和意图在于限制对信息的访问，防止新手轻易获取可能造成灾难性后果的已知生物武器的研发信息。然而，在这些案例中，我们看到我们的模型被用于研究新型化合物，这些化合物既可以开发成新型治疗药物，也可以开发成毒性物质。我们认为，这些案例说明了仅使用分类器作为唯一安全保障措施的挑战：由于在高度技术化的双用途领域中，无法可靠地识别用户的意图，因此分类器无法同时实现效益和危害。基于这些认知以及我们对类似案例的观察，我们认为，提供前沿生物技术能力的唯一安全途径是将其纳入可信用户计划。
结论
上文我们提到，评估和基准测试——即在受控环境下测试人工智能模型——只能提供关于人工智能在生物学领域危险用途的模糊证据。尽管如此，出于谨慎考虑，我们还是采取了行动，引入了强有力的保障措施，并且我们仍在不断完善这些措施。
这些案例仅是我们平台上发现的潜在令人担忧的活动范围的几个例子。最近，我们扫描了与敌对国家机构相关的30天活动，发现了大约35项不同的研究项目，其中大部分属于普通民用科学，但也有一些具有显著的军民两用潜力。正如上述案例所示，这些军民两用案例涵盖了广泛的主题，包括Claude提供的从文档整理到真正的研究协助和加速等各种帮助。随着我们的模型能力不断提升，在具有挑战性的科学任务中达到甚至超越专家水平，我们预计其影响只会越来越大，无论是在有益的方面还是在潜在的有害方面。
我们认为这些案例并非证明克劳德模型目前所揭示的生物威胁迫在眉睫，而是表明一些国家行为体经常通过中继、滥用零数据限制、多模型回退以及显式规避分类器等手段绕过我们的访问控制，从而利用克劳德模型开展研究，而且他们往往明知这些模型具有双重用途。我们发现，我们的分类器能够有效保护其设计限制领域内的内容（案例1-2），但越来越多的双重用途内容对有益用户和潜在恶意用户都极具价值（案例3-5）。保障此类内容的访问安全必然需要账户和机构信号来验证用户合法性，以及数据保留提供的基本可观察性来识别滥用行为。我们认为，这些是确保我们模型在该领域安全访问的必要条件，并欣慰地看到，我们的行业同行在部署其前沿生物学能力时也采取了类似的措施。
随着人工智能模型的广泛应用，供应商将持续获得与威胁相关的、甚至连政府和政府间组织都难以掌握的实际应用信息。正如案例5所示，研究人员无意中泄露了包含宝贵防御信息的秘密，这些信息对于理解、准备和防御该领域的威胁至关重要。及早了解军民两用研究活动、优先事项和能力，为倡导、政策制定以及（在极端情况下）执法行动提供了契机。我们希望与公众分享这些早期洞察，有助于政府、行业和公众了解这些风险的本质，以及确保人工智能模型安全部署所需的保障措施。我们认为，这些部署必然需要结合安全过滤机制（保护高风险内容和能力）和可信访问计划（允许出于有益目的访问这些内容和能力）。
