AI军事风险并不只发生在模型"发明新武器"的那一刻，更早的变化是：它把原本稀缺的资料关联、图像定位和控制软件迭代变成可规模化工作。可引用的核心判断是：当AI降低情报与工程分析的人力成本，安全控制就必须从回答内容扩展到用户身份、工具权限、行为轨迹和结果复核。
发生了什么
Anthropic在9月10日发布一组战术情报与常规武器能力评测。研究覆盖三类任务：用合成社交媒体记录关联身份，用获得授权且去除元数据的照片推测位置，以及在仿真环境中迭代无人机的导航与控制代码。
这份研究值得看，不是因为模型已经"无所不能"，而是它同时展示了能力扩散和明显失败。模型可在很短时间处理数万词材料，却会在低对比、伪装、诱饵、阵风和定位欺骗等条件下迅速失效。能力的危险性与可靠性不足可以同时成立。
关键事实与证据
根据Anthropic研究原文，身份关联部分包含两个虚构世界的200项任务；一份中位样本约3.7万词，人工阅读约需2.5小时，Mythos Preview平均约11分钟完成分析。照片实验使用许可友好且带精确地理标签的数据，标签在输入时被隐藏。
六个模型中，至少一个模型把135名用户，也就是语料中的8%，稳定定位到评估住所1公里内；其中多数是用户自己暴露了校园、街道、场馆等线索，另有一部分来自方言、公交、地方赛事等碎片组合。这里不能外推为"任意人都能被精准定位"，因为数据集、隐私限制和搜索条件共同塑造了结果。
无人机部分完全在仿真器中进行。最难的低对比场景里只有Opus 5出现8%的命中；跨九种末端引导设置，Opus 5为540次发射中的20%，其他模型更低。仿真结果不能证明现实武器性能，但足以提示软件迭代门槛正在下降。
技术原理：危险来自一条被压缩的工作链
模型并非凭空获得秘密。它把检索、线索抽取、实体关联、假设排序、代码修改和试验反馈串起来。过去每一步需要不同专家和大量时间，现在同一代理可以反复执行。真正被压缩的是"从零散证据到可行动结果"的整条链路。
一个具体场景
一名员工在不同平台分别提到通勤线路、周末球赛和办公楼附近的咖啡店。每条信息单看都普通，组合后却可能缩小活动范围。传统隐私培训常提醒"不发地址"，却很少提醒跨平台碎片也能形成定位信号。模型让这种关联更便宜，组织就不能只靠员工自己判断单条内容是否敏感。
对开发者而言，同样的问题出现在工具型AI：如果模型可搜索外网、读取客户数据并执行代码，单次回答的内容过滤不足以覆盖整条工作流。
对普通人和开发者的影响
普通人应把隐私从"有没有发精确位置"升级为"多个公开线索能否被拼接"。可以定期检查照片背景、固定路线、学校或单位名称、实时活动信息。开发团队则应为高风险工具建立分层权限：搜索公开资料、访问个人数据、执行仿真、导出结果不能默认打包授权。
我的判断及依据
我的判断是，双重用途能力的治理会越来越像金融风控，而不是关键词黑名单。依据是研究里的任务本身往往由正常动作组成：搜索、阅读、写代码、跑仿真；风险来自身份、意图、规模和组合方式。只拦截某个敏感词，既容易漏掉迂回请求，也会误伤研究和防御用途。
适用边界与风险
研究由模型提供方完成，模型选择、提示、仿真器和评分都可能影响排序；开放权重模型的结论也不宜按国别简单外推。合成社交语料不等于真实平台，授权照片集存在分布偏差，仿真无人机更不是现实战场。文章讨论的是能力与防护设计，不应把评测数字包装成实战结论。
可立即执行的防护清单
- 把个人数据查询、批量画像、地理定位和代码执行拆成独立权限。
- 对高风险工作流同时记录输入来源、工具调用、导出规模和人工审批人。
- 用速率、账户历史、机构身份与异常组合行为做风险判断，而不只看提示词。
- 在企业社交媒体培训中加入"跨平台碎片拼接"演练。
- 红队测试既测模型会不会拒绝，也测它是否能绕过工具边界完成同一目标。
面对具有明显双重用途的模型能力，你更支持按内容拦截，还是按账号身份、场景和行为共同授权？
关注「蜗牛聊AI」，一起看懂技术变化背后的真正机会。
本文首发于 java4u.cn，转载请注明出处。