一名也门北部的武器工程师在实弹试射失败后，没有返回实验室检查硬件，而是打开了一个AI聊天界面。他把飞行遥测数据贴进去，让Claude分析为什么导弹飞偏了。
这个场景来自Anthropic在2026年9月10日发布的154页威胁情报报告。这不是一次常见的AI安全演练，也不是理论推演。也门北部某武器工程小组正在使用Claude Code开发完整的制导、导航与控制系统，用于制导火箭、射程超过2000公里的多级弹道导弹，以及包含高超音速滑翔体变体的R2000多型导弹家族。
这份报告发布的时机，距离Anthropic计划中的IPO仅剩数周。银行讨论的估值高达2万亿美元。
也门实验室里的AI工作流
Anthropic在报告中未直接点名使用Claude的武装组织，但发布的细节指向了伊朗支持的胡塞武装。在过去十余年的也门战争中，胡塞武装已建立起相当规模的导弹与无人机库。联合国调查人员此前已在也门导弹残骸中发现伊朗来源的组件。这不是一个从零起步的组织，而是一个已经具备传统武器能力、正在寻求软件层面升级的武装力量。
根据报告，这个武器工程小组同时推进三个导弹项目。一是使用商用手机级飞控计算机并配备末段制导的制导火箭，二是射程标称超过2000公里的多级弹道导弹，三是被称为R2000的多型导弹家族，其中包含一个高超音速滑翔体变体。
真正的新信息不是这些项目本身。也门武装力量拥有弹道导弹早已不是秘密。变化发生在开发方式上。小组成员使用Claude Code来开发GNC代码，也就是引导和稳定飞行器的核心制导、导航与控制软件。AI被用来完成一项完整的工程任务清单：将开源自动驾驶仪与手机级飞控计算机集成、编写控制与位置估计算法、调整控制参数、运行固件构建、执行飞行仿真，以及试射失败后的故障排查。
报告中一个令人不安的细节揭示了武装分子如何有效绕过安全防线。他们同时运行多个Claude实例，给每个实例分配不同任务。一个写代码，一个做研究，第三个审查第一个的工作。这不是一个粗心的用户在偶然间触发敏感内容。这是一个精心设计的、模仿多工程师团队的工作流。核心策略是将任务拆分成多个会话，使任何一个单独会话都不会暴露完整意图。Anthropic表示其安全措施阻止了许多请求，但不可能阻止所有请求。
安全防线没有被正面攻破，而是通过任务拆分从侧面绕了过去。这种攻击模式对于任何提供API级别AI服务的企业而言，都是一个几乎无解的难题。
不是孤例：六个案例的地缘叙事
也门案例并非孤例。Anthropic在报告中列举了六个常规武器滥用案例。中国三例，俄罗斯两例，也门一例。
在俄罗斯，与DronDoc或Serafim相关的操作者使用Claude Code开发了自主FPV自杀式无人机蜂群，可实现目标选择并无人干预引爆。系统已进入仿真验证阶段，代码已加载到真实硬件。在中国，一个疑似与军工部门相关的账户使用Claude构建了约16个模块的电子战和防空压制软件套件，迭代了12个版本。仿真进行到一半时，操作者将默认场景切换为台湾地区的12个真实目标，包括指挥掩体、早期预警雷达、爱国者和天弓导弹阵地、主要空军基地。在另一个中国案例中，操作者使用Claude为解放军海军起草了反潜鱼雷的作战系统提案和200页技术规格书。
这六例加在一起确认了一个趋势。AI被滥用于常规武器开发不是零星个案，而是在多个国家和地区同时推进。
Anthropic的这份报告是2025年3月、8月和11月之后的第四份威胁情报报告，也是迄今为止覆盖面最广的一份。除常规武器外，报告还涵盖了网络攻击、影响力操作、监控、诈骗和欺诈、生物武器开发以及非法蒸馏六个领域。被滥用的模型覆盖Haiku、Sonnet和Opus系列，值得注意的是尚未发现Fable和Mythos级模型被用于恶意用途。
从小概率事件到结构性转变
整个AI安全辩论长期被关于未来模型的假设和遥远的生存风险所主导。也门案例的意义在于，它把这场辩论变成了一个具体可感的问题。一个真实的非国家行为体，用一套可商用的AI编码工具替代了人类软件工程师。
关键区别在于Claude被使用的方式。它没有被直接要求设计一枚导弹并输出蓝图。它被嵌入了一个实际的工程工作流当中。编写GNC代码，集成开源自动驾驶仪，调优控制参数，运行固件构建，执行飞行仿真。这是回答问题的聊天机器人和作为开发团队一部分的AI之间的本质差异。
Anthropic在报告中引入了一个关键概念：Uplift（赋能提升），即衡量AI在速度、规模和深度三个维度上带来的能力增强。在也门案例中，Uplift不是指胡塞武装获得了他们原本无法掌握的能力。他们早已拥有弹道导弹。真正的Uplift体现在软件层面。将金属管变为精确制导系统的那层代码，变得更便宜、更快生产，而且试射失败后数小时内就能迭代，而非数月。
结论很清晰。这是一个结构性转变，而非周期性波动。周期性问题是滥用行为暂时激增，然后随着安全措施改进而回落。而这份报告记录的是武器开发成本结构的永久性变化。Anthropic的表述直白得令人不安。复杂性已不再是谁在发动操作的可靠信号。
一旦一部手机级的飞控计算机和一个开源自动驾驶仪可以被AI编写的代码拼接在一起，制导武器开发的门槛就永久性地降低了。这种变化不会自动回复原状。
IPO前夜的安全债
这份报告的发布时机赋予了它更深一层的含义。
Anthropic于2026年6月1日秘密提交了IPO申请，由摩根士丹利和高盛担任主承销商，目标估值高达2万亿美元。最后一轮估值基准来自2026年5月28日的H轮融资：以9650亿美元估值融资650亿美元。亚马逊持股21%，Alphabet持股15%，分列最大外部股东。
2万亿美元估值的支柱不是当前收入，而是2028年的预期收入，区间在1900亿到2000亿美元。银行使用两年期远期倍数对企业进行估值，这意味着几乎所有的执行风险都被转移到了公众投资者身上。如果增长轨迹出现偏离，多重压缩和收入基础萎缩会同时袭来。
关键财务数据支撑着这个估值叙事。2026年上半年实际收入约162亿美元，其中第二季度收入115亿美元，首次实现正运营利润。收入运行率从2025年底的约90亿美元飙升至2026年5月的470亿美元，再到2026年7月的超过650亿美元。超过500个客户年消费超过100万美元，而两年前这个数字只有12个。
在这样的数据面前，这份威胁报告不是利空消息。但它暴露了一个深层矛盾。Anthropic构建的安全机制可以让它在投资者面前讲述一个负责任AI的故事，但现实是这些机制面对一个也门北部的小型武器工程小组都无法完全阻止。
这就是安全债。当企业规模足够大、增长速度足够快时，安全欠下的债终究要还。也门案例恰好出现在Anthropic向公众投资者讲述增长故事的窗口期。这个故事越是打动人心，故事的B面就越不容忽视。
估值逻辑中的安全折价
对投资者而言，这份报告提出了一个在IPO招股书中不大可能出现、但在尽职调查中无法回避的问题。如果AI能力越强，被滥用的潜在破坏力越大，那么Anthropic的安全表现本身是否应该成为估值中的一个折价因子？
这不是理论推导。在也门案例中，AI被用来降低武器开发的门槛。在俄罗斯案例中，AI被用来构建自主无人机蜂群。在中国案例中，AI被用来模拟针对真实坐标的防空压制。如果未来的模型更强，按照Anthropic自己的路线图，Fable和Mythos级模型远未达到能力上限，而被滥用的风险呈超线性增长，那么Anthropic面临的是一个能力越强、风险越大的结构性矛盾。资本市场通常不喜欢无法量化的尾部风险。
更复杂的是，这些案例发生在企业和政府责任的分界线上。Anthropic履行了披露义务。封禁账户，共享信息。但防止此类滥用的根本解决方案，也就是边境执法、出口管制、终端用户审查，属于政府职能范畴。一家私营公司在合同中写入你不能拿我们的产品做坏事，在法律和操作层面都无法解决根本问题。
也门案例给我们留下的不是一个关于AI安全的抽象问题。
它留下的是一幅具体画面。一间位于也门北部的实验室里，几个工程师同时打开了多个Claude窗口。一个在写代码，一个在做研究，一个在审阅工作。每个窗口看起来都无害，合在一起却在开发一枚可以飞行2000公里的导弹。
AI安全的困境恰恰在此。当安全机制面对的是一个有耐心、有资源、会拆解任务的对手时，足够好和完全失败之间，只隔着一个被拆散的会话窗口。而这个问题，没有一个IPO招股书能够回答。
快报