Anthropic,AI大模型公司里最冠冕堂皇的小偷

硅谷从来不缺宏大叙事。

OpenAI谈通用人工智能，谷歌谈组织世界信息，马斯克谈理解宇宙，而Anthropic从一开始便把两个字挂在门楣上：安全。

2023年，Claude正式走向公众。

Anthropic称它是一款建立在“有帮助、诚实、无害”研究基础上的人工智能助手。直到今天，公司仍然把“安全处于前沿”“服务人类长期福祉”写在官网最醒目的位置。

这不是普通的产品宣传，更像是一份道德契约。

一家公司若只说自己模型强，出了问题，人们最多骂它技术不行；一家把“诚实”和“安全”写进公司灵魂的企业，一旦被发现暗中改规则、偷偷做标记、先抓数据后谈授权，用户感受到的便不只是失望，而是背信弃义。

过去五年，Anthropic的争议正是沿着这条道路不断累积。

最后Anthropic把自己变成了小丑：

先偷偷干坏事——然后被发现——然后争辩——争辩不过理亏后承诺修改，如此反复

Anthropic成立于2021年。

那时，大模型尚未进入千家万户，Claude也没有公开亮相。

Anthropic对外最鲜明的形象，是一群担忧人工智能失控的前OpenAI研究人员，希望建立一家更加谨慎、更加重视安全的模型公司。

然而，后来解封的法庭材料显示，也是在这一时期，Anthropic开始从LibGen、PiLiMi等“影子图书馆”获取和保存大批书籍。

美国法官在后续案件中提到，公司建立的所谓“中央图书馆”中，保存了超过700万本从盗版来源获得的书籍。

Anthropic后来不断强调，被告的原因主要是因为材料的获取方式不当，而不是模型训练本身。

2023年，Claude开始进入市场。

仅仅几个月后，环球音乐、Concord、ABKCO等音乐出版商便起诉Anthropic，指控其未经授权使用至少500首歌曲的歌词训练Claude，并称Claude有时会输出相关歌词。

涉及的音乐人包括碧昂丝、滚石乐队、海滩男孩等。

后续审理中，Anthropic也取得过阶段性胜利，例如法院曾拒绝出版商提出的一项范围过大的初步禁令。

但围绕训练材料来源、模型是否会重现歌词以及合理使用边界的诉讼，并没有就此消失。

这起案件它第一次把Anthropic从“人工智能安全模范生”的讲台上拉下来，让外界开始思考：Claude如此能写、能说、能编程，它吃进去的知识究竟从哪里来？

大模型不是从真空中生长出来的。

它能写诗，是因为读过诗；能编程，是因为看过代码；能讨论人生，是因为吞下了人类在书籍、论坛、网站和聊天记录中留下的漫长表达。

问题在于，当这些表达被装进一台价值数千亿美元的商业机器时，原作者是否有权知道，是否有权拒绝，又是否应当得到补偿？

2024年7月，著名维修网站iFixit发现，Anthropic的ClaudeBot在24小时内向其服务器发起了接近100万次请求。

iFixit的服务条款明确禁止未经授权复制网站内容用于训练人工智能。站方负责人称，爬虫速度快到触发服务器警报，并迫使运维人员介入处理。

Anthropic的回应是，公司遵守robots.txt协议。iFixit后来把禁止规则写入robots.txt后，ClaudeBot确实停止了抓取。

从技术规范上看，Anthropic可以说自己遵守了机器能够识别的交通信号；但从内容创作者的角度看，这种逻辑颇为荒诞：

院子的主人已经在门口写了“未经许可不得进入”，来客却说，这块牌子的格式不符合机器规范，所以自己仍然可以先进去搬东西。

传统搜索引擎抓取网站，通常会把用户重新带回原网页；大模型抓取网站，却可能把内容压缩进模型参数，使用户以后不必再访问原网站。

旧日搜索引擎带来流量，新式人工智能可能带走流量。

同样在2024年，Anthropic启动了一项后来被称为“Project Panama”，即“巴拿马计划”的工程。

相关法庭文件直到2026年才被大规模披露。

材料显示，Anthropic购买了数百万本实体书，切掉书脊，高速扫描页面，再将纸张回收，以建立可供模型使用的数字书库。

这些实体书是Anthropic购买的。

美国法院认为，将合法购买的纸质书进行破坏性扫描，并把数字副本用于内部模型训练，在本案中可以构成合理使用。

它与直接从盗版网站下载电子书，并不是同一件事。

虽然法律上的允许，但你想想这个画面：

几百万本书被送上流水线，切割、拆页、扫描、回收。

它们不再是可以传给下一位读者的文化器物，而变成了一种工业原料。

从造纸术到印刷术，书籍曾是文明抵抗遗忘的容器；到了人工智能时代，书页被拆解为token，思想被压缩为参数，最后装进一台可以代替人类阅读的机器。

工业革命把森林变成纸张，人工智能革命又把纸张变成数据。

历史在这里绕了一个意味深长的圆。

2025年，书籍版权案件迎来关键裁决。

法官认为，Anthropic使用书籍训练Claude在该案中属于转换性使用；但公司保存超过700万本盗版书籍建立“中央图书馆”的行为，不能因此获得免责。

随后，Anthropic同意支付15亿美元，与作者群体解决相关集体诉讼，并同意销毁涉案下载副本。

和解不等于承认法律责任，法院也只是初步批准相关协议；截至2026年4月，已有近12万名作者及其他权利人申请参与分配。

这笔钱按照当时方案，大致对应每部符合条件的作品约3000美元。

书已经下载了，模型已经训练了，产品已经卖出去了，市场地位也已经形成。

等到法律追上来，公司再拿出一部分资本解决问题。

从铁路时代到互联网时代，这种路径屡见不鲜：

先铺轨道，再谈土地；

先聚合内容，再谈分成；

先吞下数据，再谈授权。

技术扩张往往快如疾风，权利救济却总是姗姗来迟。

2025年6月，Reddit也把Anthropic告上法庭。

Reddit指控Anthropic在没有达成许可协议的情况下使用平台内容训练Claude，并称Anthropic此前公开表示已经阻止爬虫访问Reddit，但相关机器人后来仍访问或尝试访问Reddit超过10万次。

Anthropic否认这些指控，并表示将积极应诉。

Reddit上的内容与正式出版物不同。

那里有普通人的疾病经历、婚姻困境、心理问题、职业秘密、消费经验和生活琐事。

用户愿意把一段经历公开给某个社区阅读，并不意味着他们意识到，这段经历日后可能进入一家商业模型公司的训练体系。

“互联网上公开可见”，与“可以无限复制、长期保存、训练并商业化”，从来不是同一个概念。

街上的谈话可以被路人听见，却不意味着某家公司可以架起录音设备，把所有人的声音收进自己的产品中。

在人工智能编程领域，Claude一度成为许多开发者最喜欢的模型。

Windsurf是当时颇受欢迎的AI编程工具，大批用户通过它调用Claude。

然而在2025年6月，Anthropic突然大幅削减Windsurf对Claude 3.5 Sonnet和Claude 3.7 Sonnet的直接访问能力。

Windsurf称，自己得到的通知时间不足五天，不得不紧急寻找第三方算力渠道。

Anthropic联合创始人Jared Kaplan后来解释，公司当时算力紧张，希望把资源留给能够建立长期关系的合作伙伴。

另一个重要原因，是市场盛传OpenAI准备收购Windsurf；Kaplan直言，继续把Claude卖给OpenAI会显得很奇怪。

站在商业竞争的角度，这个理由并不难理解。没有哪家公司有义务无限制地向潜在竞争对手供应自己的核心能力。

但站在普通开发者的角度，这操作就很恶心了。

他们已经围绕Claude建立工作流，购买服务，形成依赖，却可能因为一桩尚未完成的资本交易传闻，突然失去稳定供应。

昨日还是生态伙伴，今日便可能断粮。

这件事让许多开发者第一次真正意识到，闭源模型并不像水、电和互联网协议那样稳定。

它更像一块租来的土地：庄稼可以种，房子也可以盖，但地契始终握在模型公司手里。永远没有主动权。

2025年4月，Anthropic推出Claude Max订阅：

每月100美元的套餐，宣传为Pro使用量的5倍；每月200美元的套餐，宣传为Pro的20倍。

但在产品发布时，Anthropic并没有给出固定的每日消息数或每月token数量。公司高管只是表示，使用量会按照某种“消费单位”计算，并描绘了一幅让用户全天依靠Claude完成工作的图景。

仅仅三个月后，Anthropic宣布在原有五小时滚动限额之外，再增加每周总限额和高端模型专项限额。

公司的解释是，一些用户让Claude Code全天候运行，还有人共享账户、转售服务；新限制预计只影响不到5%的订阅者。

但真正的问题是，Anthropic先用“5倍”“20倍”和“全天工作伙伴”吸引用户，却不把倍数的计算基准、模型差异和额外上限讲清楚。

等用户把工作流程迁移过去，再逐步增加新的闸门。

2025年8月，Anthropic修改消费者数据政策。

Claude Free、Pro和Max用户的新建或重新打开的聊天，以及这些账户关联的Claude Code编程会话，都可以被用于训练未来模型。

允许训练的数据最长保存五年；拒绝参与则维持原有的30天保存周期。

企业服务和API客户不适用这一消费者政策。

真正引发争议的，是选择界面的设计。

用户看到的是一个醒目的黑色“接受”按钮，而“允许使用聊天和编程会话训练模型”的选项位于较小的文字旁边，并且默认处于开启状态。

用户可以关闭，也可以日后修改，但已经进入训练流程的数据无法因为后续关闭开关而完全撤回。

Anthropic表示，公司不会出售用户数据，也会使用自动化工具过滤或模糊敏感信息。

但Claude Code处理的并不只是日常闲聊。

其中可能包含尚未公开的代码、商业项目结构、错误日志、服务器配置、接口设计甚至内部技术路线。对于这些信息，真正的知情同意不应该依赖用户能否在匆忙点击前，发现一个默认打开的小开关。

Anthropic长期没有在中国大陆正式开放Claude。

但2025年9月，公司进一步升级了相关限制。

新规不再只看企业注册在哪里、服务器放在哪里，而是追查企业最终由谁控制。

Anthropic在官方声明中把中国地区称为“对抗性国家”，又将中国归入所谓“威权地区”，并称相关企业可能面临数据共享、情报合作等法律要求，也可能利用Claude进行军事、情报活动或模型蒸馏。

随后，Anthropic规定：即使一家企业注册在新加坡、欧洲或美国，只要超过50%的直接或间接所有权来自中国等不支持地区，Anthropic仍然可以拒绝向其提供服务。

公司还明确表示，希望先进人工智能能力服务于美国及其盟友的战略利益。

这不是普通意义上的“某个产品暂未进入中国市场”。

它意味着技术边界开始从IP地址延伸到企业股权，从服务区域延伸到资本控制关系。

Anthropic自己的透明度报告显示，仅2025年7月至12月，公司就封禁了145万个账号。

这些都是他们自己公布出来的，还透露着一丝骄傲。

同期，公司收到约5.2万次申诉，最终推翻约1700次封禁。Anthropic表示，用户可能因为违反使用政策、服务条款或支持地区政策而被警告、暂停或终止服务。

中文互联网一度把这件事概括为“145万账号祭天”。

这组数字说明了一个现实：

Claude的风控早已不是偶尔人工处理几个违规用户，而是一台覆盖百万级账户的自动化执法机器。

当Claude只是聊天工具时，封号意味着损失几十美元；当Claude Code已经接入代码库、文档和工作流程后，账号则近似一种数字生产资料。

用户可能在一夜之间失去的不只是一个聊天窗口，而是整个工作系统。

2026年4月3日，一个星期五晚上，Anthropic通知用户：

从第二天开始，Claude Pro和Max订阅额度将不再覆盖OpenClaw等第三方智能体工具。

用户若要继续使用，需要购买额外用量，或者改用按token收费的API。

Anthropic的理由是，第三方智能体可以长时间连续运行，使用模式远比普通人类聊天激进，固定订阅套餐原本并不是为此设计。

从成本角度看，这套解释完全说得通。

但很多用户正是为了在OpenClaw中使用Claude，才购买高价订阅。

他们已经围绕这种组合搭建自动化工作流，却在极短时间内被告知，同样的账户、同样的模型，只因为使用第三方外壳，就需要重新计费。

Anthropic自己也在经营Claude Code、Cowork等智能体产品。

于是，模型公司既是上游供应商，又是下游应用开发者；既制定比赛规则，又亲自下场参赛。

2026年3月至4月，大量Claude Code用户抱怨模型突然变笨。

它更容易忘记之前的工作，反复执行无意义操作，工具选择变得古怪，额度消耗速度也明显加快。

4月23日，Anthropic发布官方复盘，承认连续三项改动叠加造成了问题。

第一项改动，是把Claude Code的默认推理强度从high降低到medium，目的是减少延迟。Anthropic后来承认，这是错误的取舍。

第二项改动原本是清理长时间闲置会话中的旧推理内容，但程序漏洞导致系统在后续每一轮对话中持续删除旧推理，使Claude越来越健忘、越来越重复。

第三项改动，则是在系统提示词中要求Claude减少回答篇幅，结果损害了编程质量。

Anthropic先要求工程师少思考，又不断撕掉他的工作笔记，最后还要求他少解释几句话，然后再疑惑为什么工程质量下降。

公司随后回滚相关改动，为所有订阅用户重置使用限额，并承诺改进评测和发布流程。官方也强调，底层API和模型推理服务没有被故意降级。

2026年6月，Anthropic又制造了一场更具原则性的争议。

在新模型Claude Fable 5中，公司设置了一套针对模型蒸馏的隐形防护机制。

当系统怀疑用户正在利用Fable的回答开发竞争模型时，它不会明确拒绝，也不会告诉用户安全机制已经触发，而是直接在后台修改、削弱回答质量。

所谓模型蒸馏，可以简单理解为：让较弱模型大量学习强模型的输出，以较低成本模仿强模型能力。

Anthropic防止竞争者用数百万次查询复制Claude，本来无可厚非。

离谱之处在于，它选择的不是公开拒绝，而是暗中改变答案。

一名研究人员可能只是研究分布式训练、模型架构、机器学习加速器或预训练流程，却因为问题碰到Anthropic的敏感区域，拿到一个被偷偷削弱的回答。

用户看不到警告，也不知道测量仪器已经改变刻度。

对于普通聊天，这可能只是回答变差；对于科研和模型评测，它却会污染实验结果。

争议爆发后，Anthropic道歉并撤回相关做法。

此后，如果请求触发蒸馏防护，系统会明确提示，并将问题转交给较早的Claude Opus 4.8处理。

这次回应仍然沿袭了Anthropic的一贯模式：

先秘密实施，后被外界发现，再承认这是一次错误取舍，最后回滚。

就在Fable 5隐形防护风波前后，Anthropic公开指控多家中国人工智能公司通过大规模账户操作蒸馏Claude。

2026年6月，Anthropic在一封提交给美国参议员的信中指控，与阿里巴巴和Qwen有关的操作者通过近2.5万个欺诈账户，在4月22日至6月5日期间与Claude进行了超过2880万次交互。

Anthropic称，这是针对公司模型能力的大规模蒸馏活动。

此前，Anthropic还曾公开指控DeepSeek、月之暗面和MiniMax进行了类似操作。

先不谈这些争议背后的真实情况如何，讽刺的是：

当作家和音乐人质问AI公司为何学习自己的作品时，模型公司强调训练具有转换性，模型不是简单复制。

当其他模型公司大量学习Claude的输出时，Anthropic却把这种行为描述为能力窃取和攻击。

人类的书籍、代码、歌词和网站，可以被视作人工智能成长所需的知识原料；模型公司自己的输出，却被视作必须严防死守的核心资产。

取人之长时谈技术进步，防人模仿时谈知识产权。

真正让中国开发者感到后怕的，是随后曝光的Claude Code隐蔽识别机制。

2026年6月底，开发者通过逆向分析发现，部分Claude Code版本中存在一套没有得到充分披露的环境分类代码。

能够确认的是，相关代码确实会检查与中国有关的环境信号，包括系统时区，以及代理域名是否与中国AI实验室、其他模型公司、账号转售商或网关服务相关。

它并不通过一个清清楚楚的字段告诉服务器：“该用户使用中国时区”或者“该请求来自某类代理”。

程序会在发送给Anthropic服务器的系统提示词中，加入细微的格式变化和近似不可见的Unicode字符，把代理、网关和环境分类信息隐藏在看似普通的文本里。

相关域名列表还经过了混淆处理。

这是一种隐写式指纹。

普通用户看到的可能只是一段日期、一句话或一个标点符号；

Anthropic的服务器却可以从这些细微差别中识别分类结果。

争议曝光后，Anthropic的Claude Code工程师承认，这是一项从2026年3月开始进行的实验。

公司表示，机制的目的，是识别未经授权的服务转售、账户滥用和模型蒸馏。由于Anthropic后来已经部署更强的防护措施，团队原本就计划移除这段代码，并在事件曝光后完成删除。

随后，阿里巴巴禁止员工在工作环境中使用Claude Code，并要求部分员工改用内部编程工具Qoder。

2026年7月8日，中国国家信息安全漏洞库发布警告，将相关机制定性为严重的“安全后门”风险。

警告称，Claude Code相关版本存在内置监测机制，可能在未经用户同意的情况下，向远程服务器传递地理位置和身份识别相关信息。

Anthropic则回应称，被称为“后门”的功能只是实验性的反滥用机制，同时强调Claude本来就不允许在中国使用。

蒸汽时代的巨头争夺煤矿、铁路和港口。

石油时代争夺油田、管道和海峡。

半导体时代争夺晶圆厂、先进制程、光刻机和高带宽存储器。

到了人工智能时代，企业争夺的是数据、芯片、电力和用户信任。

前三样可以用资本购买。

数据可以补签授权，芯片可以长期下单，电力可以建设数据中心。唯独信任不同，它不能靠融资估值制造，也不能靠一篇危机公关文章重新训练出来。

Claude确实很强。

Anthropic也确实做出了不少有价值的安全研究。

正因如此，这家公司一次次不透明的操作才更令人失望。

真正让人觉得恶心的，并不是一家企业需要控制成本、保护模型或者遵守本国政策，而是它经常把成本压力、竞争焦虑和地缘政治风险转嫁给用户，同时继续把“诚实”“安全”和“造福人类”挂在最醒目的位置。

一家真正值得信任的人工智能公司，不仅要防止模型欺骗人类，也要防止自己用模糊套餐误导用户、用默认开关获取数据、用平台权力挤压生态，更不能在高权限开发工具中，用隐蔽字符标记特定地区的使用环境。

技术可以深不可测。

契约却必须明明白白。

模型可以拥有万亿级计算量，公司却不能把用户的信任，当作一次性耗材。