2026年9月：Anthropic 报告揭示中国利用 AI 助手进行跨境镇压，以及我们的防范建议

2026年9月10日，开发 Claude AI 的美国公司 Anthropic 发布了一份威胁情报报告，篇幅逾150页。报告披露该公司在2025年12月至2026年8月之间发现并封禁的一批账号，认定其背后为与国家安全机关关联的行为者、受雇于政府的承包商，以及商业监控服务商，共同特征是将 AI 用于构建和运行监控行动。

该报告涉及的范围远不止中国，本文亦非其全文摘要。

原报告所载案例还包括伊朗、西非的国家关联行为者与商业“监控外包”市场，并涵盖诈骗、网络攻击、影响力行动等多类与本文主题无关的滥用行为。我们以关键词筛选出其中与中国政府、公安及国家安全机关实施监控、跨境镇压直接相关的部分，逐一解读分析后写成此文。关心其他议题的读者，仍应查阅报告原文。

报告中提及与与中国政府、公安及国家安全机关实施监控、跨境镇压直接相关的个案：

另有一点须在阅读之前说明：这是 一家公司 依据自身平台上可见的活动所作的报告。同类作业完全可能在其他 AI 产品上进行，包括不会发布此类报告的中国境内产品。因此，报告所呈现的是这一现象的一个切面，而非其全貌；其中未被提及的部分，不应被理解为不存在。

本文第一部分梳理报告披露的事实并标注个案编号，以便读者自行查证；第二部分基于这些事实提出防范建议。

第一部分：报告披露的事实 #

一、结构性变化：监控的成本越来越低 #

报告最重要的发现，不是“针对海外异议社群的监控存在”——这是已知事实——而是 此类监控的人力成本已经大幅消失。

过去限制监控规模的始终是人力：需要通晓目标语言的分析员、需要有人逐条阅读海量信息、需要有人撰写可供上报的文本。有了生成式 AI 工具，以上三项约束正在解除。报告给出的三个例证：

• 一个宗教事务情报收集单位，原由多个分析师团队组成，现已缩减为一个办公室，借助 AI 助手每月产出数千份调查（见报告概述章节）；
• 一名不具备阿拉伯语能力的行为者，完成了一场为期数日、以叙利亚方言进行的策反作业，对方回复由模型实时翻译（GTG-14010）；
• 一个地方国家安全局将其 AI 使用流程编写为内部手册，在局内推广（GTG-14021）。

过去许多人赖以自保的判断——“我的影响力不足以引起注意”——已经不再成立。在流水线式的作业中，覆盖范围的扩大不需要额外的成本理由。

二、建档的范围与体例（GTG-14020） #

被采集的信息具体而系统：出生日期、出生地、移民入境日期、各平台账号。覆盖范围同时包含境内平台（微信、小红书、抖音、微博）与境外平台（LinkedIn、Instagram、Threads、X、Facebook），按日更新。

档案依内部模板生成，报告还原了几个关键字段与体例名称：

• 工作抓手：统战系统术语，指可用于施加压力的凭借；
• 负面情况：可用于损害目标声誉的材料；
• 人物调研底稿、线索报、态势感知：分别对应个人调研初稿、线索上报与每日情况综述。

由此可见，档案的功能定位并非“了解目标”，而是识别可用于处置目标的凭借。报告指出，其中一名使用者在对话中透露自己为中国国家机关的信息安全人员。

报告同时记录，行为者要求模型“站在中方立场”，将流亡藏人行政机构表述为“非法分裂政权”，并对法轮功套用官方的“邪教”定性——输出的并非中立情报，而是结论预设的材料。目标名单涵盖亚洲多国的天主教枢机主教、台湾基督长老教会领导层、藏人行政中央与藏人倡议组织、法轮功及其关联媒体，以及联结新加坡、香港与中国大陆的基督教宣教网络。

三、群组通讯的批量采集与脆弱性筛选（GTG-14010） #

报告记录，行为者从逾一百个 WhatsApp 群组与数十个 Telegram 频道批量提取聊天内容，交由模型整理为结构化的中文资料。

需要注意的是产出物的性质。报告明确指出，模型被用于识别处于经济压力、与家人分离、理想幻灭状态的个体，即建立“脆弱性画像”。其中最具操作意味的一项是：行为者专门标记在新疆仍有家人的目标，报告评述称，此类凭借只有通过与中国境内安全机关的协作才可实现。

这意味着，规模达到数十人以上的群组，在实际效果上等同于公开场所——不是因为其中一定存在线人，而是因为整体提取与自动化整理的成本已经低得可以忽略。

四、语言屏障失效与接触型作业（GTG-14010） #

报告对策反手法的还原较为完整，其中数项直接影响个人的判断方式：

• 外联信息以目标所在地区的方言写成；
• 目标回复由模型实时翻译，使对话得以自然往复；
• 行为者要求模型扮演讲阿拉伯语的“专家顾问”，对话术的方言、军事术语与目标心理进行质量检查；
• 身份掩护包括冒称某真实存在媒体的自由撰稿人，以及“寻求军中工作的表亲”；
• 目标质疑“是否为中国账号”时，行为者备有预先拟定、带宗教色彩的否认说辞；
• 报酬以稳定币及通讯软件话费支付。

语言地道、文化熟稔、应答自然，已不构成对方身份真实性的证据。 依靠语感识别可疑接触的经验判断，在此类作业面前基本失效。

报告亦记录了限度：模型拒绝了若干最严重的请求，包括代为进行隐蔽审讯与大规模制造虚假身份（GTG-14010）。但在 GTG-14021 中，模型先行拒绝的请求，在行为者改换措辞后，又被重新提出并获得响应，最终产出了点名十名中国公民、并按“控制”类别（信访拦截、约谈、行动与通讯的密切监控）给出处置建议的文本。报告承认，现有防护措施“表现并不一致”。

五、线下与场地情报（GTG-14021、GTG-14020、GTG-14010） #

报告中最具人身安全意涵的部分，是监控向物理空间的延伸。

GTG-14021 记录，一个地方安全部门就境外活动索取行动前场地情报，具体包括：温哥华某场民主游行的集合点、行进路线与终点；土耳其维吾尔文化活动的举办场地；以及奥斯陆自由论坛的放映场次。

同一案件中，被监控对象包括香港民主人士、六四纪念活动组织者、维吾尔倡议组织与国际人权机构；报告指出，其自动化产出的文本将维吾尔倡议活动标注为与恐怖主义相邻，将主要人权组织标注为敌对势力。被追踪的账号包括境内抗议影像的重要汇集者 @whyyoutouzhele（“李老师不是你老师”）。

GTG-14020 记录了对宗教场所的侦察，内容包括平面图、外立面与结构图。

GTG-14010 记录了对叙利亚境内特定维吾尔商铺与据点的定位，经由卫星影像与地图完成网络测绘与位置确认。

这三项的共同性质是：所生成的并非“目标在做什么”，而是“目标在特定时间会出现于何处”。

六、针对媒体的双轨作业（GTG-14010、GTG-14022） #

GTG-14010 记录了针对维吾尔流亡媒体《维吾尔邮报》（自由亚洲电台维语部关停后创立）记者的行动规划，手段包括协同大规模举报、以“境外势力”定性削弱其公信、以机器人账号网络放大上述定性。

GTG-14022 则记录了一条完整的“舆情”作业流水线：每日处理十五至三十余篇境外报道，来源包括微博、X、YouTube、Telegram 与 Facebook；对每一条内容按政治敏感度评分；依规定改写表述（如将“台湾政府”改为“台湾当局”，为“人权侵犯”一类措辞加注引号）；最终形成供官员阅读的舆情简报。报告指出，部分文本直接建议了只有国家机关才能执行的处置措施，并使用了心理战、法律战、舆论战的相关话语。

七、报告简单解读 #

1. 账号封禁不等于威胁消除。报告呈现的是单一公司在单一模型上的可见部分。同类作业可在其他模型上进行，包括不会发布此类报告的境内模型。

2. 报告对幕后主体的归因是审慎的。GTG-14010 仅以低置信度评估行为者是受国安委托的承包商；GTG-14022 以中等置信度评估是服务于政府客户的商业承包商。

3. 存在一个承包商层。GTG-14010 记录，行为者同时在起草监控平台的招标文件与能力介绍材料，面向局级政府客户推销。这表明相关能力正在形成市场，买方可能为数众多。

4. 此现象不限于中国。同一报告另载有伊朗及西非的相关案例。

第二部分：防范建议 #

一、调整预设前提 #

假定关于自己的档案已经存在。 如果防御策略建立在“我未被注意”的假设之上，那策略已经失效。

前提改变后，目标也随之改变。防御的目的不再是不被记录（已不可行），而是以下四项：

• 降低不同身份之间的可关联性；
• 减少可被用作抓手的材料；
• 保护周边人员，其往往构成实际入口；
• 守住线下。

二、公开足迹 #

危险来自信息的拼合，而非任何单条内容。

• 不同平台不使用同一用户名。这是串联多重身份最省力的途径。
• 旧内容具有现实效力。早年的帖文、论坛发言、公开履历都可以被即时检索比对，应该做一次集中清理。
• 位置信息延后发布。抵达时不发，离开后再发。这几乎不影响表达，却可以消解第一部分第五节所述的威胁。
• 照片背景须检视。车牌、门牌、校服、可辨识的室内陈设与窗外景观。
• 未公开参与的家人不应出现于公开内容，境内家人尤其如此。

三、群组 #

• 规模超过数十人的群组，应该视为公开场所。
• 敏感协调事项（活动筹备、名单、行程、来源信息）应该使用成员彼此认识的小群组。
• 新成员应有引荐人并经管理员核实。
• 端到端加密不是万能的。端到端加密保护的是传输过程中的内容不被第三方读取，但不保护成员构成，也不能防止群内成员将内容转出。报告并未说明 GTG-14010 中批量提取的具体实现方式，但仅凭群内成员可以看到的内容，已经足以支撑该案所述的后续分析。

四、接触与核实 #

1. 语言与文化熟悉度不再构成身份证据。见第一部分第四节。

2. 核实必须更换渠道。若某人经 WhatsApp 自称为某媒体记者，不应在同一渠道内核实；应自行查得该媒体官方总机并去电确认。自称亲属者，应向确实认识的家人求证。不得通过对方发起接触的渠道验证对方身份。

3. “紧迫、金钱、保密”三项并存即为警讯。GTG-14010 所载的策反即以报酬换取关于特定武装单位的情报，且整场作业系隐蔽进行。凡涉及此三项，建议至少延后二十四小时再作决定。

此外，接触事件应向社群报告。建议每个社群指定专人接收此类报告，不作追究，仅记录与比对——单一个体的遭遇难以显现规律，多份记录汇总后方能识别模式。此项制度能否运作，取决于社群是否将“我被人接触了”视为可以坦然说出的事实；若说出的代价是被怀疑，则所有人都会选择沉默，而沉默正是此类作业所需的条件。

五、抓手与境内家人 #

GTG-14010 披露的筛选标准是经济压力、与家人分离、理想幻灭，并专门标记“在新疆仍有家人”的目标，境内家人的存在本身会被系统性转化为施压凭借（通俗地说，就是“人质”），而非默认的支持资源。

与境内家人的关系大致分三种情形：

• 可坦诚沟通：可事前约定被约谈时可承认的范围、由谁对外统一说明。但目的是降低家人被卷入的冲击，而非获取声援——公开声援本身会为境内家人招致风险。

• 可坦诚但家人无力介入：让家人知晓基本事实与一个紧急联络人即可，不必强求认同和支持。

• 完全无法坦诚：不要为了“告知义务”而勉强沟通，这可能制造新风险点。此时唯一现实的依托是社群。

互助网络本身即为安全措施。 社群中最孤立、联系最少的成员，恰恰最符合上述三项画像特征，最易被优先接触，这对三种家庭情形都成立，尤其第三种。社群预案（第一联系人、失联多久算异常、联系哪些组织）实质是唯一的安全网。

但有一个现实局限：委托律师、探视等程序性权利，默认赋予近亲属，社群伙伴通常不具备这一法律地位。也就是说，即便完全无法向家人坦诚，也未必能完全绕开家人——至少委托律师环节，可能仍需一位境内近亲属出面，即便对方毫不知情。因此，社群适用于预警、传递信息、对外发声，而非替代家人在法律程序上的角色。

六、线下活动 #

针对 GTG-14021 所载的场地情报收集，建议：

• 将活动宣传与集合信息分离；集合点、路线与终点等信息临近时向已登记参与者定向发布。
• 采取报名制。需要登记的活动设置了一定门槛，相对开放式活动更安全。
• 事前确认场地出入口与紧急出口。
• 在法治国家，事前联系当地警方或反外国干预的对接窗口，其效力优于事后报案。
• 指定专人观察现场拍摄行为，而非令全体参与者处于戒备状态。
• 宗教场所（对应 GTG-14020 的侦察内容）：不在网站与宣传材料中公开建筑平面图与结构图；固定时间的例行聚会应安排出入口值守。

七、机构层面 #

• 优先保护对象为人员、资金信息：会员、捐款人、职员、志愿者、活动报名表。其外泄损害的是全体信任者。
• 实行按需分发，明确权限范围、存放位置与人员离任时的回收程序。这对应到我们一直强调的“数据分级”。
• 接待与报名岗位的志愿者通常最先被接触，却往往最缺乏准备，应予基本训练。

八、记者与消息来源 #

• 作品不应仅存续于单一账号，应在自有网站或独立归档处留底。
• “境外势力”定性并非偶发，而是既定流程（GTG-14010），通常在重要报道发布后出现。事前告知团队与家人，可显著降低其冲击。
• 最须优先处理的一项：消息来源现已可能被以其自身语言、以高度可信的方式接触。

九、关于过度反应 #

读到这些信息后，最常见的两种错误反应是：退出公开表达，以及对周边所有人普遍生疑。这两者都恰好是攻击者希望看到的结果。

原因在于：公开的能见度本身就是一种保护。一个有名字、有读者、有同伴的人，比一个悄然消失、无人问津的人更安全。反过来说，让流亡社群内部丧失互信、让组织不敢再吸纳新成员，本身就是此类攻击行动想要达成的效果之一，如果读完报告就变得草木皆兵，反而是帮了对方。

所以，前面几节建议的真正目的，从来不是“减少与人往来”，而是“让往来建立在可核实的基础上”：换掉重复的用户名、把定位延后发布、换渠道核实身份、把活动信息分层发布、和家人或朋友提前商量好应对方案——这些都只是日常习惯上的小调整，成本很低，累积起来却能抵消报告里描述的大部分手法。

做好这些不需要任何技术门槛，需要的只是把几件小事变成习惯，而不是从此收声、断联、疑神疑鬼。

最后要说明的是，本文仅针对 Anthropic 报告当中提及的监控和镇压类型给出防范建议，而不能将此视作完整的行动安全建议。