Anthropic在9月10日发布了一份长达154页的报告《检测与反制AI滥用》，指控七家中国AI公司非法蒸馏其Claude模型。

其中阿里被指涉及1.51亿次交互，月之暗面2300万次，DeepSeek1210万次，智谱340万次，小米40万次，商汤和MiniMax也被点名。

数字很吓人，但在讨论“偷没偷”之前，不妨先看三个时间点。

9月4日路透社报道，Anthropic调整了IPO时间表，预计10月中旬启动路演，计划在11月美国中期选举前数日完成上市。估值目标约2万亿美元，募资规模可能高达1000亿美元，英伟达正在洽谈作为基石投资者投入最多100亿美元。

9月8日美国国家安全局、联邦调查局和网络安全与基础设施安全局联合发表声明，指控六家中国企业“以工业化规模”蒸馏美国AI模型。

9月10日Anthropic发布154页报告，把这些指控变成了有具体数字的“证据”。

这并非巧合，而是IPO路演的一部分。

Anthropic在报告里把中国AI公司和也门的导弹开发、俄罗斯的无人机集群软件、马来西亚的选举操纵打包进同一个“威胁”框架，但蒸馏是AI训练中再普通不过的技术手段，由诺奖得主Geoffrey Hinton在2015年提出，全球的AI实验室都在用。

Anthropic自己在报告里也承认这是“合法的训练方法”，但把蒸馏和武器开发放进同一份报告用同一种“威胁”语言描述，这就是一种叙事策略了。

更深层的问题在于指控本身的可验证性，报告称阿里在5到7月间涉及1.51亿次交互，涉及超过3500个虚假账户，峰值每日近300万次。但Anthropic没有公开任何可独立验证的证据，比如账号归属如何判定、计数口径是什么、去重方式是否合理。

更讽刺的是Anthropic所展示的数据还原能力，恰恰暴露了它自己在做什么。

报告中精确描述了一个也门军事团队的内部分工，比如谁写代码、谁查资料、谁做代码审查，甚至一次试射失败后他们怎么回来让Claude帮忙分析问题都写得清清楚楚。这种还原精度不是靠云端对话记录能实现的，答案在本地，在Claude Code里。

今年3月31日，Claude Code的源码通过npm包中未清理的.map文件泄露，约1900个TypeScript文件、超过51万行代码完整暴露。社区分析发现，代码会读取用户系统时区，如果检测到Asia/Shanghai或Asia/Urumqi就触发标记。

随后它会扫描代理设置，比对一份内置的147个域名黑名单，名单包括.cn顶级域名、百度、阿里、字节、DeepSeek、月之暗面、智谱等几乎所有中国AI公司。

最隐蔽的一步是它不通过独立遥测字段上报，而是直接篡改每次请求的系统提示词，把日期格式中的单引号替换成肉眼无法分辨的Unicode字符，分别代表“命中中国域名”、“关联中国AI实验室”或“两者都命中”。

7月8日，工信部网络安全威胁和漏洞信息共享平台发布风险提示，明确指出Claude Code存在“安全后门隐患”，可在未经用户同意的情况下回传用户地域、身份标识等敏感数据，阿里随即全面禁止员工使用Claude Code。

一家在用户电脑上秘密植入国籍标记代码的公司，现在发布报告指控那些被标记的用户试图“偷技术”。这个叙事里，谁在监控谁？

从市场数据看，Anthropic的商业表现其实相当强劲。年化收入突破650亿美元，较2025年底增长超过七倍。企业LLM市场份额达32%，首次超越OpenAI的25%。推理毛利率从一年前的38%升至70%-85%，二季度实现调整后营业利润转正。

但估值争议同样明显，2万亿美元市值对应650亿美元年化收入，市销率约30.8倍。作为参照，Snowflake的远期市销率约15倍，Palantir约35倍。Anthropic的估值已经处于高增长SaaS公司的上限区间，这意味着收入增速必须长期维持在极高水平，任何放缓都可能触发重估。

在这种背景下，一份强调“中国正在系统性窃取我们技术”的报告可以把投资者的注意力从商业化挑战转移到安全叙事上。它同时在向监管者证明存在外部威胁，向投资者证明公司拥有需要保护的核心资产，向客户证明选择Anthropic意味着选择了安全可靠的一方。

而对于中国用户来说，真正需要关心是你的数据在谁的服务器上、被谁看到了、用来做了什么。

当一家公司同时掌握着模型、用户数据和地缘政治叙事时，“安全”这个词的定义权最终会落在它自己的IPO招股说明书里。