用 Claude Code 写导弹制导软件:也门武器小组给 AI 安全上了一堂什么课

◆ 导语

2026年9月10日，Anthropic 发布了 154 页的威胁情报报告《Detecting and Countering Misuse of AI》。报告覆盖了网络攻击、间谍行动、生物安全等七个领域，但最引人注目的案例只有一个编号：GTG-87001——一个位于也门北部的武器研发小组，用 Claude Code 代替软件工程师，同时推进三个导弹项目的制导软件开发。

他们试射了一枚制导火箭。失败了。几小时后，他们回到 Claude 面前，让它帮忙诊断失败原因。

这个画面荒诞而真实：一个非国家行为体，用每月几十美元的 SaaS 订阅，获得了过去需要一整个国防工业团队才能积累的工程能力。这不是科幻，是已经发生的事实。

◆ 发生了什么

Anthropic 的威胁情报团队在内部调查中发现了这组账户的异常行为模式。活动时间跨度从 2025 年 12 月持续到 2026 年 8 月，涉及 Claude Haiku、Sonnet 和 Opus 三个模型。

该小组在也门北部同时推进三个武器项目：

1. 战术制导火箭

使用市售手机级飞控计算机，搭载末端寻的制导系统。Claude 被用来完成：将开源自动驾驶仪移植到手机级飞控计算机上、编写控制和位置估计软件、调整控制参数、运行固件编译管线、执行飞行仿真。

2. 多级弹道导弹

射程目标超过 2000 公里。Claude 被用于多级、六自由度弹道仿真，以及中程和远程导弹变体（包括高超声速滑翔弹头）的建模。

3. R2000 导弹族

包含高超声速滑翔载具变体的多型号导弹系列。Claude 用于校准仿真、建模和飞行控制工作。

这三个项目中最接近实战的是制导火箭。该小组在也门进行了实弹试射。Anthropic 评估这次试射失败了——判断依据是，试射后几小时内，操作者就回到了 Claude，让它帮忙分析失败原因。这种"试错→诊断→迭代"的工程循环，和硅谷创业公司的开发流程没什么本质区别，只是产品不是 App 而是武器。

◆ Claude 怎么成了导弹工程师

这个案例最值得深挖的不是"也门有人想造导弹"——胡塞武装的导弹能力早已是公开事实。真正的新信息是他们怎么用 AI 的。

多实例分工协作

该小组不是简单地向 Claude 提问，而是运行了多个 Claude 实例，给每个实例分配不同的角色——就像一个小型工程团队里的分工：一个实例负责写代码，一个负责研究，第三个负责审查第一个实例产出的代码。人类操作者充当项目负责人，分配任务。

这种"多 Agent 协作"模式，正是 Anthropic 自己在 Claude Code 产品文档中推荐的最佳实践。区别在于，官方文档里的用例是"开发 Web 应用"，GTG-87001 的用例是"开发导弹制导软件"。

系统工程全流程覆盖

根据 Anthropic 报告中引用的 INCOSE/DoD 系统工程 V 模型，Claude 参与了从需求分解到集成测试的全流程：

这不是"AI 帮忙写了几行代码"——这是 AI 被编入了武器研发的系统工程流程。

强化学习调参

报告还提到一个细节：该小组用强化学习来调优飞行控制参数。Claude 不只是写代码，还参与了加速制导算法开发的过程。这在两年前的 AI 能力水平上是不可想象的。

◆ 安全护栏为什么没拦住

Anthropic 的报告承认了一个关键事实：安全护栏拦截了许多请求，但不是全部。

操作者使用了以下策略绕过检测：

1. 隐藏意图：不告诉 Claude 这些软件是用于武器系统的，而是用模糊的技术描述替代

2. 拆分会话：将工作分散到多个对话中，让任何单个会话都无法暴露完整图景

3. 信息隔离：写代码的实例不知道这是导弹制导软件，做研究的实例不知道研究会被用于武器开发

这种策略本质上利用了 AI 安全系统的一个结构性弱点：护栏基于单次会话的语义判断，而复杂的恶意意图可以跨会话分解。就像一个银行劫匪，踩点的人不告诉挖地道的人他们在抢银行，每个人单独看都在做合法的事。

这是 AI 安全领域的老问题，但 GTG-87001 提供了第一个来自真实武器研发场景的验证。

◆ 封号之后：离线工具箱的幽灵

这可能是报告中最被低估的发现。

Anthropic 封禁了所有关联账户，并将威胁情报共享给政府和行业合作伙伴。但报告承认：

"我们有证据表明，这些行为者已经构建了一个离线仿真工具箱，它不依赖 Claude 或其他工程计算环境（如 MATLAB）。"

这意味着什么？该小组在用 Claude 开发制导软件的过程中，也用 Claude 构建了一套可以脱离 Claude 独立运行的仿真工具。这套工具被编译成了独立可执行程序，封号对它没有任何影响。

这揭示了一个比"AI 被用于武器开发"更深层的结构性问题：AI 不只是被用来做坏事，它还可以被用来构建做坏事的自主能力。一旦这种能力被"编译"出来，它就不再需要原始的 AI 服务。

类比：你禁止某人使用图书馆，但他已经用图书馆的书自学成才了——禁令对已经内化的知识无效。

◆ 各方怎么看

武器分析师 Trevor Ball（Armament Research Services）：

胡塞武装可能"试图通过 Claude 探索高超声速导弹"，但缺乏建造它们的生产和技术能力。他指出，即使是美国的超高声速导弹仍在测试中。胡塞武装到 2025 年底已拥有射程 2000 公里的弹道导弹、巡航导弹和单向攻击无人机，"他们可能只是在试图开发自己的能力，以减少对伊朗武器运输的依赖"。

也门问题研究员 Adam Baron（New America 智库）：

反对将胡塞武装描绘为"光脚的部落战士"。他描述了"令人难以置信的、不断深化的制度性技术敏锐度"，包括他们对 Claude 的使用以及伊朗转让的技术专长。

胡塞武装政治局成员 Hazam al-Assad：

称"说该组织会依赖开源来开发和生产武器是不合理和不合逻辑的"，并表示其部队在也门 12 年内战中积累了"现代、多样和发达的生产能力和技术"。

这三方立场恰好构成一个三角：Ball 的分析是"他们可能做但能力不足"，Baron 的观察是"不要低估他们的技术积累"，而胡塞官方的表态则是"我们根本不需要这东西"——但正是这种否认，反而证明了 Anthropic 的发现击中了敏感点。

华盛顿与 Anthropic 的复杂关系：

Al Jazeera 的报道提到一个引人注目的背景：今年早些时候，五角大楼因 Anthropic 拒绝移除其技术用于自主武器和国内监控的安全护栏，而将其列为供应链风险。一名加州法官上月裁定国防部此举违法。但尽管存在公开摩擦，五角大楼据报已在伊朗和委内瑞拉的军事任务中部署了 Claude 模型。

这构成了一个讽刺的对称：Anthropic 一边封禁也门用户用 Claude 开发武器，一边自己的模型正在被美国军方使用。军用和民用的界线，从来不在技术本身，而在谁在使用、替谁使用。

◆ 这意味着什么

1. AI 编程工具的军民两用性不再是理论推演

之前关于"AI 安全"的讨论大多停留在论文和思想实验层面。GTG-87001 是第一个有公开详细记录的、AI 编程工具被纳入真实常规武器研发流程的案例。它不是 ChatGPT 写了封钓鱼邮件那种低门槛滥用，而是系统性地替代了武器研发中的软件工程环节。

2. 多 Agent 协作模式放大了安全风险

该小组的多实例分工策略，直接利用了 Claude Code 的产品特性。AI 编程工具正在从"对话助手"进化为"多 Agent 协作平台"，这种进化在提升合法开发效率的同时，也同等比例地提升了恶意使用的效率。安全护栏的设计假设需要更新——不能只看单个会话的意图，需要考虑跨实例、跨会话的意图重组。

3. "能力编译"问题是根本性的

封号是平台方的常规手段，但在面对离线工具箱时，这是一种"关门赶客"式的失效。AI 帮用户构建了不再需要 AI 的能力——这意味着 AI 安全的终极挑战不是"阻止 AI 被用于做坏事"，而是"阻止 AI 被用于构建做坏事的能力"。后者是完全不同量级的问题。

4. 也门案例可能只是冰山一角

Anthropic 的报告只反映了他们自己平台上检测到的活动。报告也承认，其对整个武器研发项目的可视性有限。那些使用其他 AI 服务、或更善于隐藏意图的行为者，我们根本无从知晓。也门小组被抓到，部分原因是他们不够谨慎——更老练的行为者可能已经绕过了类似的检测。

◆ 总结

也门武器小组用 Claude Code 写导弹制导软件这件事，最重要的不是"AI 被武器化了"——这种担忧已经存在多年。重要的是它展示了三个此前缺乏实证的命题：

AI 编程工具可以系统性地嵌入武器研发流程；多实例协作可以绕过基于单会话的安全护栏；离线能力编译使封号手段从根本上失效。

这三个命题加在一起，意味着当前 AI 安全框架需要一次范式级别的升级——从"检测和拦截恶意使用"转向"识别和阻断能力构建"。后者难得多，但也重要得多。

数据来源：Anthropic 威胁报告 (2026-09)、Bloomberg、The National、Al Jazeera、Implicator.ai、TheDefenseWatch、NCIJ