导弹制导软件的提交记录里，出现了 Claude Code

据 Clash Report 报道，Anthropic 方面称也门胡塞武装使用其编程工具 Claude Code 开发导弹制导软件。这条消息在 Hacker News 上收获了 44 分和 36 条评论，热度不算高，但它指向的问题比大多数"AI 又干了什么坏事"的标题要具体得多。

先说清楚这条新闻的信息边界。归因方是 Anthropic 自己，不是第三方安全研究机构，也不是政府。目前公开的只有结论，没有证据链：模型是怎么被识别的、是账号关联还是输出特征匹配、涉事的是官方 API 还是转售渠道、时间跨度有多长，一概不清楚。这决定了我们只能讨论"如果属实意味着什么"，而不能直接把它当作已证实的战事实录。

即便如此，这个模式本身并不陌生。过去一年多，Anthropic 持续发布威胁情报报告，披露过国家背景的黑客组织利用 Claude 做网络攻击和自动化渗透，其中一些报告详细到给出了攻击链的阶段划分和模型被绕过的具体手法。这次的差别在于场景从网络空间换到了物理杀伤链。逻辑是一样的：模型厂商做威胁狩猎，发现滥用，公开归因，然后把它写进下一版安全报告。一种非正式的、由企业主导的披露机制，正在成型。

真正需要拆开看的是"用 Claude Code 开发导弹制导软件"这句话里，开发到底覆盖了什么。Claude Code 是跑在终端里的智能体，能读仓库、跨文件改代码、跑命令、跑测试。它产出的是可运行的软件，这一点比通用聊天机器人高出一个量级——后者给你一段代码片段，前者给你一次提交。而制导系统恰恰有一大块是纯软件：制导律、卡尔曼滤波、传感器融合、控制回路、测试桩、把不同厂商的模块粘起来的胶水代码。这些活儿恰好是编程智能体最擅长的。

但物理部分是另一回事。陀螺仪、加速度计、执行机构、抗干扰天线、发动机和弹体，这些东西模型一行都写不出来。非国家武装组织做改装制导并不是新鲜事，民用级惯导模块加 GPS 接收机的组合早就在冲突地区流转，真正的瓶颈长期是"没有足够的人把算法、标定和测试串起来"。如果说十年前这个瓶颈卡在人力上，那么编程智能体的出现，恰好作用在这一环。这才是这条新闻值得停一下的地方——它不是在演示 AI 能造导弹，而是在演示一道原本由人力成本构成的减速带正在被抹平。

另一个被低估的问题是执行。Anthropic 的用户政策明确禁止将模型用于武器开发，但政策是合同条款，不是墙。真正的拦截只能靠检测，而检测依赖可见性：API 调用日志、账号行为模式、使用地理分布、支付渠道。如果使用者转而自部署开源权重模型，或者绕道第三方中转服务，厂商能看到的就非常有限。换句话说，"AI 军控"目前的有效半径，大致等于"有日志的地方"。这跟核不扩散那套以材料和设施为抓手的思路完全不同——权重一旦发布，追溯就只能事后做。

这里面的张力还体现在厂商自己的商业动作上。Anthropic 一边在政策里写着不许用于武器，一边把模型接进了国防客户的云环境，Palantir 和 AWS 政府区都在名单上。这不必然是虚伪，更像是整个行业的共同处境：能力军用化的商业逻辑和伦理声明之间，永远有一条说不清的缝。声明负责划边界，合同负责挣钱，两者共存，谁也不取消谁。

至于 HN 上那 36 条评论，这类新闻的争论走向几乎可以预判——一半人在问证据在哪里，另一半人在问那开源模型怎么办。两个问题都问得对，也都没有现成答案。第一个问题取决于厂商愿不愿意公开技术细节，而这往往牵扯情报来源和方法；第二个问题更棘手，因为开源社区没有任何机制阻止权重被拿去干任何事，出口管制管得住芯片和权重文件的跨境传输，管不住已经落地的副本。

真正不太好的消息，或许是这件事被当作一条产品新闻来消费。模型能不能辅助造武器，这个问题在能力层面早就有答案了——能帮上忙，帮多少取决于周边的工程和供应链条件。更值得追问的是另一个层次：厂商的威胁情报报告什么时候能从各自的公关素材，变成同行之间共享、可交叉验证的机制。毕竟如果每一家都只披露自己抓到的，那全世界看到的将永远是一张拼不完整的图，而漏掉的部分，恰恰没人知道有多大。