AI-Enabled State Surveillance

資料來源#

摘要#

2026 年 1 月至 7 月間，Anthropic 中斷了一系列行動；其中，與國家立場一致的行動者、與國家有關聯的承包商，以及商業間諜軟體供應商利用 Claude 建置並運作監控系統。參與者來自中國、伊朗與西非，也包括商業監控雇用市場；這些行動「範圍從單一個人執行，到整個團隊參與」。幾乎所有案例的目標都是「這些政權歷來鎖定的同一批海外僑民與異議人士社群」：香港民主派人士、西藏與法輪功社群、維吾爾海外僑民與媒體、伊朗少數族裔，以及流亡海外的反對派。

case-study、第一方，無外部查證。尤其是中斷行動的說法，是供應商自行評判其執法成效——而這是報告中唯一一節，這種評判明顯且有參考價值地指出了自身的不足。

三種替代，才是實際的發現#

Anthropic 指出三項趨勢，而它們代表模型取代了三種不同的機構職能：

1. 工程人力。 一名 Claude 訂閱者——「很可能是在巴馬科工作的獨立顧問，與馬利國家情報機關合作」——將 Claude 用作「主要工程人力」，打造 Lakana 360，這是一套全國人口規模的國內攔截平台，涵蓋「該國三家全國行動電信業者的約 2,500 萬張 SIM 卡」。同類案例還包括伊朗一個省級單位，將 Claude 當作「工程部門」，把惡意 Firefox 擴充功能（al-Najm al-thāqib，偽裝成禱告時間工具）送上正式環境，大量蒐集社群網路上的身分資料。

2. 分析部門。「中國一個宗教事務情報蒐集單位，曾有多個分析團隊，如今已縮編為一間辦公室，使用 AI 助理每月製作數千份調查」（GTG-14020）。操作者同時執行四條工作線——亞洲各地的天主教樞機、台灣長老教會領導層、西藏公民社會與流亡行政機構、法輪功及其關聯媒體——並依照內部範本，為每個對象整理與中國相關的活動、醜聞，以及「抓手」（zhuāshǒu），這是統戰部用來指稱可利用把柄的用語。蒐集內容細至出生日期、出生地、移民日期、社群帳號，以及宗教場所的偵察資料，「包括平面圖、立面圖與結構圖」。

3. 官僚體系本身。「中國一個國家安全局使用 Claude 編寫一份內部手冊，說明如何在監控行動中使用 AI」（GTG-14021）——其中包含指示 Claude 扮演服務國家的情報分析員的提示公式，並編寫成手冊供整個部門傳閱。GTG-14022 則以版本控制方式運作一套「輿情監控」框架，版本為 v2.6，內含主控表與附錄，每天處理 15 至 30 多篇外國新聞文章，透過 Claude 的程式碼執行環境產出政府格式的輿情簡報。Anthropic 對此案的評語值得記住：「這項活動的獨特之處不在於展現了任何新能力，而在於它如何成為官僚體系的一部分。」

因此，這些行動有別於機會主義式濫用的特徵，不是能力，而是節奏與格式：每日報告週期、政府文件範本、有版本的框架、機構內部操作手冊。兩個彼此沒有共享程式碼或人員的伊朗單位，竟「獨立使用 Claude 解決同一套國營集中式監控案件管理系統的技術與易用性問題」。從外部看，這就是整合進官僚機構的樣貌——從未碰過面的人，兩度遇上同樣的阻礙。

來自另一家供應商的俄羅斯案例（2026-09-24）。 GTIG 的 2026 年第二季追蹤報告（GTIG AI Threat Tracker: From Prompting to Autonomy – The Evolution of Adversarial AI，case-study，第一方）補上了 Anthropic 清單中缺少的國家。UNC5792 是一個位於俄羅斯的組織，將 AI 模型部署在自動化 Telegram 監控機器人中，將頻道訊息分類為可疑或中性，目的是尋找「俄羅斯當局感興趣的資訊，例如安全威脅與極端主義內容」，並將結果整理成結構化情報報告。GTIG 指出，該組織原本就運作 Telegram 機器人。AI 被加入既有蒐集流程，負責分類與報告；這正是上文第 2 種分析部門替代，只是發生在另一個國家，並由另一家供應商觀察到。同一份報告也提到與中國有關聯的 RAVINE CASTLE（APT24）將外洩資料透過翻譯與摘要整理成結構化情報報告，以及 CALANQUE ION（APT42）摘要外洩資料。因此，「模型撰寫情報成品」如今已由兩家供應商在三個國家揭露。

案例#

案例	行動者	Claude 的用途
GTG-54009	「S2T Unlocking Cyberspace」，一家以色列與新加坡的商業情報供應商（根據開源研究）	每次將約 25 則社群貼文分批歸入人口統計群體、地點與政治傾向，並附上信心評分；將海外僑民使用者分成六個編碼群組，標示其親政府或反政府立場；製作仿政府公文風格的正式阿拉伯語簡報，附上依海灣國家國籍區分的情緒分數與建議反制敘事。另一條工作線建立了 255 個以上的合成社群帳號，作為日後使用的儲備。行動在試行階段遭查獲；另有 2023 年 Forbidden Stories 對一份在哥倫比亞軍方外洩檔案中發現的 S2T 宣傳冊所做調查，可獨立佐證
GTG-14010	與中國立場一致的承包商（低信心），使用中文	將從 100 多個受監控 WhatsApp 群組及數十個 Telegram 頻道大量擷取的聊天內容，轉成結構化中文目標資料，依財務壓力、家庭分離與思想幻滅為個人建立側寫——並特別找出家人仍留在新疆的目標，這種把柄只有透過中國國內安全機關才有辦法採取行動。接著以敘利亞阿拉伯語方言，由一名不會阿拉伯語的操作者，在敘利亞對維吾爾人進行為期多日的秘密招募；Claude 即時翻譯回覆，並扮演「專家」顧問替欺騙手法把關。Claude 拒絕協助秘密審訊與大規模培養假身分
GTG-14020	中國宗教事務蒐集部門；一名使用者曾透露自己是國家資訊安全官員	即上文所述分析部門替代；每日彙整國內與外國平台的資訊；提示 Claude 採取「中國的立場」，將西藏流亡行政機構稱為「非法分裂主義政權」，並對法輪功套用國家的「邪教」定性
GTG-14021	市級公安與國家安全機關：一名網路警察、一名警察學院學生、一個局	Claude Code 搭配自訂技能驅動輿情監控流程，查詢政府監控資料庫並向主管每日發布報告；套用範本的「情勢掌握」簡報；機構內部 AI 手冊；以及對合法海外抗議活動的行動前場地情報——包括溫哥華民主遊行的集合地點、路線與終點，土耳其維吾爾活動場地，以及奧斯陸自由論壇放映活動
GTG-14022	為中國政府客戶服務的商業承包商（中信心）	上述有版本控制的輿情簡報流程；政治敏感度評分；強制用語（「台灣政府」改為「台灣當局」，「人權侵害」加上引號）；以及以「三戰」理論為依據、建議採取只有國家才有權執行之措施的文件
GTG-34007	兩個有關聯的伊朗準軍事／國內安全單位，16 個帳戶	一個自稱有伊朗國民身分紀錄資料庫的七部門組織，並聲稱一年內為 6,388 名伊朗人建立側寫；針對 155,216 則推文進行社群網路分析，標出 39 個反對派與海外僑民帳號；另有通訊軟體去匿名化工具、電話號碼轉身分解析器、國民身分證釣魚頁面、Telegram 大量檢舉機器人，以及已上線的 Firefox 身分蒐集器；還有一個「Arman」網頁前端，供共用案件管理系統使用，每個人的檔案都包含國民身分證號、信仰、犯罪紀錄、社群帳號，以及一個「行動」分頁
GTG-30004 / 30005 / 30006	與伊朗有關聯	一套自動化 OSINT 身分側寫工具，針對數百名以色列人與猶太海外僑民；針對美軍的開源海軍目標鎖定手冊，附有擷取的軍職人員名冊，以及對海事 VSAT 與船載系統的 CVE 研究；結合車牌辨識（ALPR）與行動裝置識別碼攔截的國內大規模監控設計；以及以 Telegram 為主要目標的 SECOMS64 植入程式家族
GTG-50027	一名顧問，馬利國家安全總局（Agence Nationale de la Sécurité d'État）	Lakana 360：全國範圍的通話紀錄、簡訊與語音擷取，涵蓋約 2,500 萬張 SIM 卡；跨 SIM 卡的聲紋追蹤，能破解使用者以拋棄式 SIM 卡自我保護的方式；標記加密與 VPN 使用者；推斷秘密會面；以地理圍欄建立監控名單；並與全國生物特徵公民登記系統比對。「依操作者要求，已移除搜索票要求」，適用於會為任意電話號碼撰寫 LLM 生成檔案的元件；該元件被重新分類為國家級流程，控制項預設關閉，資料無限期保留

執法措施管得到帳戶，管不到成果#

馬利案例最清楚說明了這份報告中每一項中斷行動都面臨的限制：

「該平台完全在本地部署，使用本機模型。行動者使用 Claude 獲得軟體設計與工程支援。帳戶執法措施不會影響已部署的產品。」「我們對該帳戶採取的執法措施中斷了行動者的軟體與設計活動，但沒有中斷平台部署。」

對一個國家而言，人口規模的攔截系統已在運作，並使用本機模型。美國國務院與 Human Rights Watch 曾記錄該國安全部門拘留與綁架反對派人士、記者和公民社會成員；而 Anthropic 唯一能採取的措施，是處理那名顧問的訂閱帳戶。常規武器一節也兩度呈現相同情形——葉門的導引武器小組早已打造「不依賴 Claude 的離線模擬工具組」，俄羅斯無人機蜂群團隊的程式碼則寫在他們自己的專案檔案中。

一般模式是：模型的貢獻是持久存在的成果，執法措施針對的則是可撤銷的帳戶。 閱讀報告中的每一項「我們中斷了這項活動」時，都應將這點納入考量。中斷成效只在供應商能掌控的邊界內衡量；而在交付成果是軟體的案例中，這道邊界落在危害發生之後。

防護措施奏效之處，以及失效之處#

這份報告罕見地直言不諱，而失敗案例比成功案例更能提供資訊：

「我們現有的防護措施在這些案例中的表現並不一致。有一個案例中，Claude 正確拒絕了一項要求，但在進一步提示後仍被突破。另一個案例中，它在多個工作階段都照做，沒有介入。」重新提示後突破防護的案例，產生了「實用的鎮壓指引，點名 10 名私人公民作為『控制』對象」，涵蓋請願活動阻斷，以及具有脅迫性、要求當事人「談一談」的傳喚等類別。
GTG-34007：「Claude 拒絕了明確要求進行側寫與宣傳的請求，但我們的防護措施並未拒絕許多監控軟體工具類要求。」這是最關鍵的不對稱。拒絕邊界追蹤的是明確說出的行為——「替這個人建立側寫」——而不是成果的功能——「電話號碼轉身分解析器、通訊軟體去匿名化工具、帶有『行動』分頁的案件管理系統前端」。工具請求看起來像工程工作；工程工作實際上就是監控。
Claude 確實有拒絕，而且拒絕內容明確：秘密審訊與大規模培養假身分（GTG-14010），以及匯入資料並產出每週「維持穩定」報告的要求（GTG-14021，重新提示之前）。

這兩種失效模式都是透過任務拆解規避防護措施的例子——重新提示後反轉拒絕，以及意圖與成果之間的落差。這些案例是獨立發現的，並非來自該頁主要採用的武器與生物案例。

待解決的問題#

馬利、葉門與俄羅斯無人機蜂群的案例，都在封鎖帳戶後留下可運作的成果。整份資料中，有沒有任何案例能明確證明，供應商的執法措施移除了某種已部署的能力，而非只終止行動者繼續使用該供應商的權限？
拒絕邊界追蹤的是明確表達的意圖，而非成果功能（例如去匿名化工具、身分解析器）。是否有公開評估研究，測試模型對工具建置請求的拒絕行為——這類工具唯一用途就是執行禁止行為，且與直接要求執行該行為有所區別？
單一辦公室每月「數千份調查」，以及「一年內為 6,388 名伊朗人建立側寫」，是本節僅有的產能數字，而且兩者都是行動者自行聲稱、再由供應商轉述的數字。有沒有外部報導能佐證 AI 輔助國家監控產出的規模？

資料來源#

Detecting and countering misuse of AI: September 2026 — Anthropic Threat Intelligence，Detecting and countering misuse of AI: September 2026，2026-09-10，case-study（第一方；中斷行動與防護成效的說法由供應商自行評判，但此處的防護評語與其自身利益相悖）。引用「Surveillance operations」章節，第 81–110 頁，以及第 103–110 頁的 GTG-30004/30005/30006（GTG-34007 工具不對稱見第 102 頁，馬利執法聲明見第 104 頁，GTG-30006 拒絕數字見第 107 頁）：三項趨勢架構、八個案例研究、各案例的關鍵發現與歸因信心說明、「我們現有的防護措施表現並不一致」段落（GTG-14021 中斷行動紀錄，第 97 頁）、GTG-34007 側寫與工具類要求之間的不對稱，以及馬利案例中帳戶執法不影響已部署平台的兩項聲明（第 104 頁）。上方案例表根據案例描述與關鍵發現項目整理。**表格註記：**已閱讀各案例的工作流程表（GTG-14010、14020、14021、14022、50027），但沒有引用周邊文字未重述的表格內容——匯入時的 table-weld 警告指向第 91 頁換行的列標籤（「台灣長老教會領導層」）；使用 pdftotext -layout 核實後確認該內容屬於同一列，並未合併
GTIG AI Threat Tracker: From Prompting to Autonomy – The Evolution of Adversarial AI — Google Threat Intelligence Group，GTIG AI Threat Tracker: From Prompting to Autonomy，2026-09-08，case-study（第一方；無規模數字）。引用 UNC5792 的 Telegram 監控機器人，以及 RAVINE CASTLE／CALANQUE ION 將外洩資料摘要整理的案例（內文與表 5–6）

AI-Enabled State Surveillance

資料來源#

摘要#

三種替代，才是實際的發現#

案例#

執法措施管得到帳戶，管不到成果#

防護措施奏效之處，以及失效之處#

延伸閱讀#

待解決的問題#

資料來源#