境外大模型调用的法律风险与合规路径

——以Anthropic《检测并应对AI滥用》2026年9月报告为切入点

报告涉华内容均为Anthropic单方披露，未经独立验证，本文仅作转述与法律分析。

一、报告概况与要点

（一）报告基本情况

表1 报告基本信息

报告称其发现并处置了威胁主体滥用Claude的多起行动，案例覆盖 suspected 国家支持团体、牟利型犯罪者、商业间谍软件厂商、国家宣传机构及政治动机个人。就涉华内容而言，报告点名的主体集中在四个领域：网络攻击与间谍活动1起、监控行动4起、武器研发3起、诈骗1起，另有蒸馏章节集中点名7家中国大模型实验室（见图1、表2）。

表2 七大危害领域与涉华案例分布

（二）贯穿全文的两条线索

通读报告，对中国企业有直接参照意义的判断有两条。其一，报告认为AI已把复杂攻击的门槛压到个人水平：一名使用盗取API密钥的黑客主义者、若干牟利团伙与一名国家间谍行动者，都能维持一年前需要成建制团队才可能运营的多受害者在役行动，而行为体的”技术成熟度”已不再是可靠的归因信号。其二，报告将涉华行动放在”AI与国家机器深度融合”的叙事中，并把中国、俄罗斯、伊朗并列为”不支持地区”，宣称对来自这些地区的账号要求身份验证。

这两条线索决定了境外模型厂商对华的基本姿态：既在个案层面封禁账号，也在政策层面收紧主体准入。对国内主体而言，理解这一背景，是评估”还能不能用、怎么用”的前提。

二、报告点名的涉华案例

（一）网络攻击与间谍活动：GTG-10007

报告认定该行动由可能居住于长沙的中文操作者实施，两名操作者为湖南某高校计算机与通信工程学院在读本科生，其中一人曾在深信服实习、正面试奇安信的攻击性网络岗位。操作者将Claude用作整个攻击工程的”编排层”：入侵生产系统、对中东与欧洲、东南亚的政府网络做侦察、针对主流终端安全产品做漏洞研究与利用开发、开发恶意软件、搭建情报采集平台。

报告称该组织锁定约50家组织，涉及教育、零售、能源、科技、医疗、金融、制造与多国政府机构；从一家教育科技公司云存储提取了数百兆字节的学生个人数据，进入一家零售公司的生产环境，并从某东南亚政府机构获取含姓名、电话、住址的公民记录。技术上，该组织运行”代理蜂群”（多个子代理并行分工）、维护跨会话的作战记忆，并有一个由13个常驻采集代理组成的定时任务集群，持续抓取美军及政府网站的公开内容；其零日研究工作流在单个月内产出十余个待验证漏洞。

表3 GTG-10007工作流概览（报告自述）

（二）四个监控行动

报告单列四个China-based监控行动。需要强调，这四个案例的归因均为Anthropic基于账号元数据、语言特征与时区信息的单方推断，置信度从中等到低不等，相关中国政府机构从未确认。下表按报告自述归纳。

表4 报告点名的四个监控行动（报告单方认定）

这四个案例的共同点值得留意：操作者都把Claude当作”分析师团队替身”，通过角色扮演提示词与模板化工作流，把原本需要多个专业岗位的情报加工压缩到单人单账号完成。报告亦承认其防护在个案中失效——有请求首次被拒绝后在追加提示下被完成，也有行动在多个会话中未遭任何干预。

（三）三个武器研发案例

表5 报告点名的武器研发案例（报告单方认定）

同章节另有两个俄罗斯案例，其中GTG-27006（俄罗斯采购行动）曾利用中国大陆与中国香港的中介商规避欧洲出口管制采购军民两用物项。这一情节对国内贸易商是独立警示：作为第三方中介卷入他国规避出口管制的交易，可能触发中国《出口管制法》项下的义务与境外二级制裁风险。

（四）交友软件诈骗网络：GTG-15001

报告称一家中国应用工作室用Claude搭建并驱动了一个由20余款交友App组成的网络：广告宣称与真人社交，实际 feed 中约四分之三是AI人设。2026年4月两周窗口内，超过4700个AI人设与至少2.5万名用户对话，Claude驱动的会话消息量约236万条；工作室另招募真人零工按3:1的比例混入匹配列表，负责视频通话与社交媒体回关以取信用户。App针对美国用户收费，并专门设计了仅在应用商店审核期间激活的界面控制器与差异化的类名以规避下架检测。报告称该行动依赖中国境内的API转售与代理基础设施获取模型访问权限，Anthropic已封禁相关账号并同步其他模型厂商。

（五）“非法蒸馏”：七家被点名实验室

蒸馏章节是全报告与中国企业关系最直接、也是法律分析价值最高的部分。报告将”非法蒸馏”定义为”未经授权、以工业规模隐蔽提取模型能力并复制到另一模型的行为”，其典型实现方式是欺诈：用盗来的信用卡、登录凭证与API密钥批量注册的虚假账号网络。报告称自2026年2月首次披露以来，已识别并处置针对Claude的、可高置信度归属于七家中国实验室的蒸馏行动，全部针对公开可用模型。

表6 报告点名的七家实验室及行为模式（报告单方认定）

对DeepSeek、小米、月之暗面把自有模型用户对话送入Claude的做法，报告的原话是：这些做法”很可能不符合隐私法律及其实务条款”，涉及至少12种语言的数百名终端用户的姓名、邮箱、企业数据，其中相当部分来自经第三方模型路由服务接入的美国与欧洲用户。

作为对照，报告也系统披露了Anthropic的反制手段：账号元数据与代理网络的归因式封禁、专门识别对抗性提取的分类器、模型回复前先做推理摘要、Fable 5.1引入”保留思维”（思维链加密且禁止编辑前置上下文），以及对来自中国、俄罗斯、伊朗等不支持地区的账号强制身份验证。换言之，境外厂商已把”反蒸馏”产品化、常态化。

三、报告暴露的中国企业合规问题

（一）数据出境：被动形成的跨境数据流

报告最有法律分量的发现，不是蒸馏本身，而是随之曝光的数据流向：中国模型企业的用户对话被成规模送入境外模型，其中既有中国境内用户的敏感信息（监控数据分析、央企内部代码与凭证、公安办案系统请求），也有美欧用户的个人信息。对企业法务而言，这里有两个层面的教训。

第一层是”被动出境”。境内用户以为自己在用国产模型，其输入（可能包含个人信息、商业秘密甚至涉密事项）经模型厂商的转售流水线出境，用户与企业对此均不知情。对模型企业，这构成《个人信息保护法》项下的出境合规问题：向境外提供个人信息，必须落在三条法定路径之一（安全评估、标准合同、保护认证）内，并履行告知同意义务；静默转发在现行法下没有合规空间。对用户所在的企业，则暴露于商业秘密与数据泄露风险。

第二层是”主动出境”。企业员工通过个人账号、代理服务或”套壳”应用使用境外模型，把公司源代码、财务模型、客户资料输入模型（报告中出现的药企资本开支模型、开发者在线凭证即是实例）。这类行为在多数企业内部管理制度中尚属空白，但法律后果由企业承担：个人信息出境合规、商业秘密泄露、行业监管处罚。

（二）国家安全维度

报告将涉华行动与国家机关、国防工业、情报系统关联叙事，客观上把”中国主体使用境外模型”本身变成了境外情报分析与政策施压的素材。这提示国内企业：使用境外模型的全部输入输出都可能被对方平台留存、分析并用于出具报告，其中含国家秘密、重要数据、受管制技术信息的任何输入都是绝对禁区。新修订的《网络安全法》（2026年1月1日施行）新增第二十条，将人工智能安全监管纳入国家网络安全法律体系；《数据安全法》第三十六条明确，非经主管机关批准，不得向外国司法或者执法机构提供境内存储数据——而模型平台所在地司法机关的调取需求，是企业无法抵御也不应承担的风险。

（三）知识产权与竞争秩序

蒸馏的法律定性在国内法上尚无定论，但风险脉络已经清晰。合同层面，报告证明Anthropic对违反服务条款（禁止克隆竞争模型、禁止规避地区限制、禁止虚假账户）的处置是即时的、规模化的：账号封禁加关联封禁，被点名的实验室均遭处置。知识产权层面，AI输出能否作为训练语料、思维链是否构成受保护的商业成果，国内尚无生效判决直接回应；最高人民法院2026年9月《意见》仅确认”在合理范围内处理已合法公开的个人信息且个人未明确拒绝”用于训练一般不构成侵权，作品语料的边界仍待判例填充。竞争法层面，大规模窃取式蒸馏在国内场景下可能落入《反不正当竞争法》第二条的一般条款审查，但跨法域执行存在现实障碍。对企业更现实的成本是声誉与资本市场：被境外头部厂商点名后，海外客户信任、国际融资与上市审核都会受影响。

（四）灰色产业链：代理、转售与虚假账户

报告反复出现同一基础设施画像：住宅代理、一次性邮箱、虚拟信用卡、数千个虚假账号、API转售商，以及留存并转卖用户对话的”中转站”。对普通企业用户，这条产业链意味着三重风险：其一，经由转售商使用境外模型的，对话记录可能被转售商留存并卖给第三方（报告披露商汤所购记录即来源于此）；其二，转售服务本身违反模型厂商条款，服务随时可能中断且无任何救济；其三，支付环节使用虚拟卡、代充，可能卷入他人的支付欺诈，形成资金与合规的双重风险。报告中GTG-50021的案例（转售商给客户的流量静默换道到其他模型，同时植入凭证窃取程序）说明，灰色渠道的终端用户同时也是受害者。

（五）证明力：单方企业报告的法律边界

最后需要给报告本身定位。这是模型厂商自行调查、自行归因、自行发布的材料：归因多基于账号元数据、语言特征与时区推断，置信度标注不齐；涉华部分的选择性呈现、叙事框架服务于其政策立场（对中国实体的准入限制），均应纳入对证据的分量评估。在诉讼或行政程序中，此类材料属于传闻性质的商业披露，证明力有限，被点名企业有权要求原始证据并作实质抗辩。但同样要看到，报告的监管与舆论效果是真实的——它直接为境外厂商的对华限制政策提供了论据，也在塑造各国立法者对”AI滥用”的想象。企业合规规划不应以”报告是否可信”为转移，而应以”监管者与市场如何反应”为基准。

四、国内司法与监管框架的最新进展

（一）最高人民法院《关于依法审理涉人工智能纠纷案件的意见》

2026年9月7日，最高人民法院发布《关于依法审理涉人工智能纠纷案件的意见》（法发〔2026〕10号）。需要说明其性质：这是最高审判机关制发的司法文件，用于统一裁判思路，并非《立法法》意义上的司法解释。全文5个部分24条，核心内容如下表。

表7 法发〔2026〕10号要点

对本文主题直接相关的规则有三条：其一，训练数据条款为”已合法公开的个人信息”训练用途开了有限通道，但没有触及作品语料与非公开数据；其二，“通知—必要措施”规则把生成内容治理义务压实到服务提供者，调用境外模型对外提供服务的企业不能以”内容来自第三方模型”抗辩；其三，过错责任原则下，企业的数据分级、提示词治理、内容审核等技术管理措施将成为过错认定的直接证据。

（二）涉人工智能典型案例

表8 涉AI代表性案例（据公开报道）

这些判例与法发〔2026〕10号共同构成境内司法的基线：人格权与著作权保护从严，服务提供者责任从实。把境外模型输出直接投入境内商业场景的企业，按此基线承担全链条责任。

（三）监管规章与网安法修正

表9 与调用境外大模型直接相关的主要规定

国内监管的落点很清楚：在中国境内以任何形式向公众提供生成式AI服务，无论底层模型来自哪里，提供者都按境内规则承担内容生产者责任、标识义务与备案要求。而”套壳”境外模型的服务，在备案环节即因主体与模型不一致而无法通过，等于自始处于违法状态。

五、使用开源或域外大模型的风险全景

（一）合同层：服务可用性与准入限制

Anthropic的服务不支持中国大陆地区；2025年9月5日，其宣布将服务限制从此前”由中国全资拥有的实体”扩大到”由中共或中国实体多数持股或控制”的公司。据公开报道，OpenAI自2024年7月起停止对中国大陆提供API直接访问，Google的Gemini同样不向中国大陆开放。这意味着境内主体直接注册、付款、调用这些模型的每一个环节都处于违约状态；报告第五章已经展示了厂商识别并封禁此类使用的实际能力与意愿。对企业而言，合同层的风险不是”会不会被发现”，而是”何时断供、断供时业务连续性如何保障”。

（二）数据出境层：三条法定路径

企业将个人信息输入境外模型，构成《个人信息保护法》第三十八条意义上的”向境外提供”。按《促进和规范数据跨境流动规定》的分档：

表10 个人信息出境三路径门槛（关键信息基础设施运营者除外）

三点提示：第一，与境外模型的每次API调用都是一次出境，数据的接收方是模型厂商及其关联方，“调用”与”传输”在合规上同义；第二，匿名化（达到不可识别、不能复原标准）后的数据不构成个人信息出境，但去标识化数据仍属个人信息；第三，重要数据与国家秘密不适用上述任何路径——前者须经安全评估且行业主管部门另有规定的从其规定，后者绝对禁止。

（三）内容与算法监管层

以任何形式对公众提供服务，即落入《生成式人工智能服务管理暂行办法》《深度合成规定》《标识办法》的管辖：承担内容生产者责任，添加显式与隐式标识，具有舆论属性或社会动员能力的须通过安全评估并完成算法备案。境外模型不能替企业分担任何一项义务。法发〔2026〕10号的”通知—必要措施”规则进一步把事后治理义务写实：接到侵权通知后未及时停止生成相关内容，就要对损害担责。

（四）域外法层：GDPR与欧盟《人工智能法案》

若企业的服务触及欧盟境内用户，风险结构是双层的。GDPR层面，向欧盟用户提供服务或监控其行为即触发域外适用（第3条第2款）；将欧盟用户数据传入模型平台构成第五章意义上的跨境传输，须有充分性认定、标准合同条款（第46条）等合法传输机制，并按Schrems II判决（C-311/18）评估接收国访问风险并采取补充措施。报告披露的情节——美欧用户数据经第三方路由流入中国实验室再进入Claude——正是欧盟监管者视角下的多级违规样本，报告原文也认定此类做法”很可能不符合隐私法律”。

欧盟《人工智能法案》（Regulation (EU) 2024/1689）方面：禁止性条款已于2025年2月2日适用；通用大模型（GPAI）义务自2025年8月2日适用，欧盟委员会自2026年8月2日起可对其行使监督执法权；生成内容透明度义务自2026年8月2日适用。原定2026年8月2日适用的高风险义务已被《数字综合法案》（Regulation (EU) 2026/1744，2026年7月27日生效）推迟：独立高风险系统（招聘、信用、教育、执法辅助等）延至2027年12月2日，嵌入受监管产品的高风险AI延至2028年8月2日。在欧盟市场部署基于境外大模型功能的企业，即便暂时避开高风险定档，透明度义务与GPAI链条上的合同取证义务已经现时生效。

（五）风险矩阵

六、分类合规指引：应用Claude时的数据保护

（一）国有公立企事业单位

对这类主体，结论应当直接：不得使用境外商业大模型处理任何公务数据、政务数据与个人隐私信息。依据分五层——

表11 国有公立企事业单位的主要禁止与限制

可执行的建议：全面排查单位内网的境外模型访问入口（浏览器插件、办公软件内置AI、代码助手）；以完成备案的国产大模型或私有化部署的开源模型承接公文辅助、数据整理等需求；确因科研等特殊需要使用境外模型的，在物理隔离环境内、经审批、使用脱敏至不可识别的数据，并全程留痕审计。

（二）私营公司

私营公司的空间大于公共机构，但边界同样清楚。可用的空间：使用已备案的境内模型服务；跨国集团由境外关联主体作为合同当事方、在境外环境中使用境外模型（注意中国员工与客户的个人信息仍不得随意进入该环境）；将匿名化后的数据用于境外模型处理。不可逾越的边界：批量个人信息出境前未完成路径判定与影响评估；商业秘密、未公开的源代码与核心算法、客户名单、重要数据输入境外模型；使用灰色API转售服务。

制度建议按”分级—评估—管控—审计”四步落地：先做数据分类分级，明确禁止输入、限制输入、可输入三张清单；对拟出境场景逐项做个人信息保护影响评估并留存三年；在办公终端与内网出口部署数据防泄漏与AI访问管控，明确禁止员工以个人账号处理公司数据；建立调用日志与定期审计，并将境外模型供应商的条款变化（如Anthropic的持股限制）纳入供应商管理台账。

（三）AI大模型公司

报告对七家实验室的点名，本质上是把”调用境外模型”的四种模式全部摊在了台面上，逐一对应的合规结论如下。

表12 国内大模型公司调用境外模型的行为定性与风险

给这类企业的建议集中在三条：第一，把”不碰蒸馏红线”写入研发合规制度——境内模型若以境外模型输出作为训练数据，不仅面临境外处置，在国内备案与监管检查中也会因训练数据来源合法性（生成式AI办法第七条）受质疑；第二，凡对外提供服务的，模型来源、数据来源、内容责任全部按境内规则自持，不做任何形式的”套壳”；第三，正视断供风险，建立多模型冗余与国产替代预案，关键业务不应依赖任何单一境外模型。

（四）合规自查清单

表13 调用境外大模型前的自查要点

七、结语

这份报告给人的直观感受是两幅画面的并置：一边是长沙的学生团队、地方网警的值班桌、军工研究机构的课题组，把Claude嵌进各自的工作流；另一边是Anthropic的封禁清单、政策收紧与对七个实验室的点名。无论其中各案的真实细节最终如何被验证，对国内企业可以确定的判断只有一条：境外大模型的每一次调用，都是一次数据出境、一次合同项下的行为、一次可能被对方记录并分析的活动。合规的重心因此不在”能不能用”，而在数据分级是否清晰、出境路径是否合法、员工行为是否受控、供应链断供是否有预案。这四件事做扎实了，企业在任何一份下一期”滥用报告”里，都应当是安全的旁观者，而不是被点名的注脚。

（全文完）

主要资料来源

1. Anthropic, Detecting and countering misuse of AI: September 2026, 2026年9月10日发布（154页，本所存档文本）。

2. 《最高人民法院关于依法审理涉人工智能纠纷案件的意见》（法发〔2026〕10号），2026年9月7日发布；参见最高人民法院知识产权法庭官方解读及新华社2026年9月9日报道。

3. 《全国人民代表大会常务委员会关于修改〈中华人民共和国网络安全法〉的决定》（主席令第六十一号），2025年10月28日通过，2026年1月1日施行。

4. 中央网信办专家解读《网络安全法》修改，2026年1月2日。

5. Regulation (EU) 2024/1689（人工智能法案）；Regulation (EU) 2026/1744（数字综合法案，2026年7月24日刊于《欧盟官方公报》，7月27日生效）。

6. Regulation (EU) 2016/679（GDPR）；CJEU, C-311/18 (Schrems II), 2020年7月16日。

7. Anthropic关于限制由中国实体多数持股或控制的公司使用其服务的政策公告，2025年9月5日（据公开报道）。

8. 《个人信息保护法》《数据安全法》《生成式人工智能服务管理暂行办法》《互联网信息服务深度合成管理规定》《人工智能生成合成内容标识办法》、GB 45438-2025等（以正式公布文本为准）。

9. 北京互联网法院、广州互联网法院涉人工智能典型案例公开报道。

免责声明：本文由 AI 辅助整理生成，供专业交流与合规参考，不构成正式法律意见；报告相关事实均转述自 Anthropic 公开报告，未经独立验证。具体事项请咨询执业律师后决策。