2026年9月10日 前沿红队 测度AI模型的战术情报瞄准能力与常规武器发展潜力

# 衡量人工智能在情报目标定位与常规武器领域的能力 来源：https://www.anthropic.com/research/intelligence-targeting-conventional-weapons-capabilities *Anthropic的前沿红队开发了新的评估体系，用于衡量人工智能在战术情报目标定位（例如根据碎片信息定位人员位置）和常规武器研发（例如设计无人机打击移动目标）方面的能力。* - *在某些军事情报任务中，模型可以完成历史上仅少数稀缺且高度专业化的人类专家才能完成的任务。* - *这些评估表明，模型如何变得对试图滥用我们平台进行监视和常规武器研发的行为者有用。这也说明了为何平台级安全措施是必要的，例如我们已部署新的分类器以阻止此类滥用。* - *尽管我们测试的中国开发者开源权重模型落后于前沿水平，但它们也展现出识别定位目标和提升武器性能的令人担忧的能力。* 网络安全与生物风险是研究最深入（https://www.anthropic.com/research/zero-days）的领域（https://www.anthropic.com/research/exploit-evals），涉及人工智能滥用风险。但现代冲突大多发生在更传统的领域。对手试图相互识别定位以收集情报。作战人员力图提升常规武器的精确度并增强其抗干扰能力。“杀伤链”（如“发现、定位、跟踪、瞄准、交战、评估”）是此类行动的端到端概念模型（https://www.esd.whs.mil/Portals/54/Documents/FOID/Reading%20Room/Joint_Staff/21-F-0520_JP_3-60_9-28-2018.pdf#page=25）。改进此流程中的任何环节通常需要专业人类劳动力与判断力：例如经验丰富的军事情报分析师或高度专业的工程师。随着人工智能在数据分析、软件开发和编码方面展现巨大进步，它能否将这些技能应用于与国家安全相关的专业领域？ Anthropic威胁情报团队的新报告（https://www.anthropic.com/threat-intelligence-report-september-2026）表明答案是肯定的。报告包含人工智能在监视和常规武器研发中被滥用的实例，显示威胁行为者已从使用人工智能模型中获益。 前沿红队（https://www.anthropic.com/research/team/frontier-red-team）开发了互补性能力评估，以更好地阐明*如何*人工智能进展正在改变“杀伤链”各环节的风险格局。评估显示模型在模拟情报和武器研发任务中取得持续进展。我们在相同评估中测试的开源权重模型落后于前沿水平（性能通常介于Sonnet级与Mythos级模型之间），但仍常展现出令人担忧的能力水平。远未达到前沿水平的模型已具备情报与军事应用潜力。 展望未来，我们认为能力并未即将进入平台期。相反，我们应该考虑人工智能在情报与军事领域做出更突破性、更具地缘战略意义贡献的潜力。这些能力的发展可能影响模型的训练、防护与发布方式，或被用于维护稳定与自由。 下文将深入阐述支撑上述结论的研究与成果。 ## 模型作为目标定位器 在情报机构中，目标定位员的核心职责是发现并锁定人员与目标。“发现”即识别目标对象（人员、账户、设施、载具），并通过充分构建信息图谱来明确其身份及价值。“锁定”则指将其精确固定于特定时空位置，以便开展进一步情报搜集或阻止其活动。目标定位位于情报周期的前端，在搜集与分析之前，也是大量人力投入的环节。 此过程历来是劳动密集型、专业且昂贵的。1 正因如此，保护人员、项目与设施免受情报定位的关键并非保密，而是成本。大量用于去匿名化及定位个人的有用数据可在网上免费获取、廉价购买，或很可能被对手情报机构掌握。但分析人员搜索并关联这些数据所需的人力成本一直高昂。如果模型能使情报定位劳动变得不再稀缺且普及，将使原本无力实施此类流程的个体与小型威胁行为者获得能力，并增强资源雄厚的行为者充分利用此前未充分利用数据储备的能力。这两种转变都可能使更大群体面临新的审查层级。 ### 身份关联与分类 目标定位工作流中“发现”环节的一项重要任务是识别关联账户：属于同一人的不同数字身份。这有助于构建更丰富的档案和更精准的行为模式分析。此类信息可将相关人员分类：他们是掌握有用信息的潜在目标？是可间接利用的目标密切关联者？还是属于背景信息且与调查无直接关联的人员？ 我们开发了一项评估来衡量模型在两项任务上的能力：跨平台账户关联和将人员分类至不同关注类别。我们使用模型生成的模拟社交媒体内容，这些内容旨在模拟用户跨多个平台（WhatsApp、Telegram、Instagram和Facebook）的活动。该流程在两个虚构场景世界（墨西哥城和加尔各答的抗议运动语料库）中生成200项任务，根据账户数量及关联证据的稀疏程度设置三个难度层级（68简单、68中等、64困难）。2 我们通过F1值（精确率与召回率的调和平均数）评估身份关联与人员分类效果。 在账户关联任务中，Mythos Preview是测试中表现最佳的模型，其在简单、中等和困难样本上的实际表现与理论最大值之间的差距最小（合成数据管道的设计意味着完美关联与识别几乎不可能实现）。Kimi K3在简单与中等样本上的表现接近前沿模型，但在更具挑战性的样本（含更多噪音且目标对象具备更佳操作安全性）上表现有所下降。 分类任务情况类似（尽管所有分数更集中）：Mythos Preview最佳，Sonnet最差。但此次K3的表现与Mythos 5及Opus 5相当，处于中游水平。 该评估存在一些显著局限性。合成社交媒体数据并非完全真实；冗余、人工化的措辞及缺乏自然感等问题依然存在。我们认为结果可反映模型间的能力差异，而非其在现实场景中的绝对性能评估。 一项具有启示性的发现是模型的速度。不同难度层级的中位样本约含37,000词内容。人类分析师阅读此内容约需2.5小时，系统分析则耗时更长。Claude Mythos Preview处理一个中等长度样本的完整评估平均仅需约11分钟。 ### 通过照片地理定位 图像可能包含关于相关人员拍照时所在位置的重要线索，但并非总附带地理定位元数据。图像常被用于缩小目标可能位置，这是情报定位中“锁定”环节的一部分。本评估衡量模型在此任务上的能力。 我们要求模型仅凭自身对世界的理解（不使用反向图像搜索、元数据或工具）对社交媒体照片进行地理定位。图像来源于YFCC100M Flickr数据集（https://registry.opendata.aws/multimedia-commons/）中许可宽松且地理标记精确的子集，经过筛选去除无法地理定位的图像（矢量图、微距摄影等），并按大洲分层。（地理标记使我们能够获取真实数据；这些标签在评估期间对模型隐藏。）我们还进行了一项额外实验，使用模型知识截止日期后的保留图像集，结果呈现相似的分布情况。 我们没有此特定数据集的人类基准数据，但使用458场GeoGuessr竞赛对战中135个数据作为替代参照（Haas等人2024 (https://arxiv.org/abs/2307.05845)）。该任务结构相似但使用街景图像而非社交媒体照片。玩家还能在场景中平移移动，比我们的模型静态帧获取更多单条信息。尽管内容可能存在部分重叠，但YFCC图像不局限于街道，包含更多样化的场景。Haas等人报告显示，冠军组玩家（玩家基数顶端0.01%）的中位距离误差为151公里，大师组为174公里，黄金组为1,714公里。 基于此比较，我们认为大型语言模型的情报能力在户外照片地理定位方面现已接近超人水平。Mythos Preview和Mythos 5在中位距离误差上甚至超越最强人类基准，在6,000张照片中得分37.0公里和47.2公里（分别将23.7%和23.1%图像定位在1公里内）。Opus 5得分为181公里，18.0%图像定位在1公里内，大致与大师组玩家持平。Sonnet 5和开源权重模型介于专家与普通人类层级之间：Sonnet 5得分384公里，9.9%图像定位在1公里内；最新测试的开源权重模型Kimi K3得分385公里，16.7%图像定位在1公里内。这使其在中位误差上与Sonnet 5相当，但1公里内定位率约为Sonnet的1.7倍，远超黄金组玩家。3 从Opus到Mythos级模型性能的巨大飞跃似乎源于世界知识与视觉理解的提升。在以下摘录中，Mythos 5能利用其知识和图像线索准确将酒馆定位在南非开普敦。而Opus 5和Sonnet 5则被更著名的、位于新西兰的“鹿头”酒馆所干扰。这最终导致Sonnet选择新西兰惠灵顿，而Opus推理过程陷入混乱，最终选择澳大利亚墨尔本。 ### 通过文本地理定位 图片并非唯一可用于定位的数字痕迹。人们在线撰写的文本也可用于固定其空间位置。为评估模型执行此“文本至地理定位”任务的能力，我们构建了与上一评估结构相似的框架（即使用真实数据但隐藏地面真值），同时为Claude提供了额外的沙盒搜索工具。 为评估Claude从匿名用户发帖内容中进行地理定位的能力，我们使用了GeoText（https://www.cs.cmu.edu/~ark/GeoText/），这是一个2010年的数据集，包含9,475名用户的地理标记推文（5,685/1,895/1,895个训练/测试/开发样本划分）。我们将每位用户的“家”定义为其发送消息占比最高的小聚类中心点。数据集通过将每个用户名、提及和转发替换为唯一标识符进行匿名化。通过“拥有固定居所”启发式规则筛选测试集后，剩余1,697名用户。随后我们要求模型根据每位用户一周内的发帖内容定位其“家”。 由于GeoText自2010年起公开，我们也检查了模型是否仅简单记忆数据。除真实任务外，我们对每个模型进行数据记忆测试。我们向模型提供GeoText的185名保留用户（仅通过化名呈现），并提出相同问题。若模型记忆了语料库，应能定位这些用户：但无一模型做到。所有模型在此探测上的表现均不优于“始终猜测纽约市”的平凡基准（中位误差800–2,000公里，而基准在此子集上的误差为677公里）。 为防止搜索工具作弊，反作弊监控器会在包含化名或用户帖子逐字内容的查询发送前将其拒绝。查询审计日志也未显示尝试检索数据集的行为。基于记忆测试与反作弊措施，我们认为此评估衡量的是模型从帖子内容中推断信息的能力，而非简单记忆。 在六项模型测试中，135名用户（占语料库用户的8%）被至少一个模型可靠定位在1公里范围内。其中，95人（70%）通过提及校园关联（宿舍、大厅等）、具名场所或明确位置（街道名、邮编等）泄露了位置。另有17人（13%）仅凭谈论方式与内容即被定位：方言、俚语、广播电视市场、交通线路、当地活动及运动队等信息足以让模型完成地理定位。我们评估剩余的23人（17%）大多属于幸运猜测——模型定位至都市区后抛出用户恰好居住附近的城市质心。 各模型中，Opus 5、Mythos 5和Mythos Preview表现最佳，但差距较小。使用搜索工具时，中位家庭定位误差分别为：Mythos Preview 20.1公里、Mythos 5 20.9公里、Opus 5 21.7公里、Sonnet 5 31.3公里。Kimi K3得分26.4公里，与Sonnet 5相当。有趣的是，Kimi K3仅在57%的用户上选择搜索，而Claude模型在超过99%的案例中选择搜索。GLM 5.2与Sonnet 5几乎相同，为31.0公里（在87%用户上搜索）。由于数据集偏向纽约用户，我们纳入了“始终猜测纽约市”（727公里）的基准。 模型性能的紧密聚集表明其核心能力现已普遍存在。需要注意的是，我们在测试框架中设置的隐私保护限制可能人为设定了性能上限。我们推测，若解除网络搜索限制、去除去匿名化约束并允许多轮档案构建，这些模型能以更高精度定位用户——并可能扩大前沿模型与非前沿模型间的差距。我们希望审慎评估是否及如何进一步验证此假设，但认为此评估已清晰揭示潜在风险来源。 在整理评估记录时，我们观察到模型常尝试通过去匿名化用户来实现地理定位。一个案例中，用户纪念祖母的帖子包含其姓氏。Mythos 5和Mythos Preview分别基于此信息进行了姓氏或家谱记录搜索。基于家谱的方法帮助模型找到家庭所在的大都市区，但最终定位距用户评估家庭位置87至95公里。 这些评估探索了模型“发现”与“锁定”目标的能力，但倾向于模拟行为者试图在大型城市区域识别人员以进行后续监视与搜集的场景。它们并未清晰模拟精确锁定特定目标位置的任务。