“假前台”影响力行动，以及 Breakout Scale

2026 年 10 月 8 日，OpenAI 发布了最新一期的封禁报告，而里面描述的两个行动比“封号”本身更有看头。一个源自俄罗斯，在拉丁美洲运营一家自称“社会研究中心”的研究平台，看起来是通过一个叫 Mia Clark 的假身份在控制它。另一个源自伊朗，运营着七个“记者”人设，向世界各地中小型线上媒体投稿长篇报道。两者都把内容送进了真实出版物。它们都没有靠算法施舍运气。

假身份很便宜，共享基础设施不便宜

这两个行动到底做了什么

俄罗斯这一簇被 OpenAI 按那个人设的名字戏称为 Dark Clark，它把 ChatGPT 用在三件主要事情上：为自己的活动撰写内部报告、为行动生产内容、以及撰写关于这家智库表现的报告。他们还制作了伪造的“泄露”文件和音频脚本，其中一些被 OpenAI 发现正在网上传播；并且看起来他们笼络了拉丁美洲并不知情的当地人，在实地运营这个实体。多数操作者用俄语提问，其中一人用西班牙语，但看上去仍位于俄罗斯，他们使用 VPN，因为 OpenAI 不允许从俄罗斯访问。伊朗那一支运营七个记者人设，向全球媒体投稿长篇报道，并批量生成社交媒体评论，话题多与美国-伊朗战争相关。OpenAI 表示，两个行动都使用了可疑甚至完全欺骗性的方法学，来夸大自身的成效。

# Personas are cheap. Shared infrastructure is not. Cluster on the artifacts.
def cluster_personas(accounts):
    buckets = {}
    for a in accounts:
        key = (a.get('registered_domain'),
               a.get('writing_template_fingerprint'),
               a.get('active_hours_bucket'))
        buckets.setdefault(key, []).append(a['handle'])
    return {k: v for k, v in buckets.items() if len(v) > 1}

ACCOUNTS = [
    {'handle': 'mia.clark', 'registered_domain': 'src-latam.example', 'writing_template_fingerprint': 't41', 'active_hours_bucket': 'cet-evening'},
    {'handle': 'editorial.desk', 'registered_domain': 'src-latam.example', 'writing_template_fingerprint': 't41', 'active_hours_bucket': 'cet-evening'},
    {'handle': 'unrelated.user', 'registered_domain': 'personal.blog', 'writing_template_fingerprint': 'x99', 'active_hours_bucket': 'us-morning'},
]

print(cluster_personas(ACCOUNTS))

# Seven personas sharing one template is a finding. One persona alone is not.

AI 的贡献是运营性的，不是魔法

对做安全分析的人来说，报告里最有用的一句是关于相似度的：这些行动与 AI 出现之前那个年代的复杂影响力行动高度相似，只是用 AI 让部分工作流变得更省事。那些记者人设让人想起 Alice Donovan——一个为俄罗斯军事情报机构打前站的假记者，其文章在 2016 至 2017 年被多家西方媒体刊发。被笼络的智库让人想起 2020 年的 PeaceData，它招募不知情的记者为一家假新闻机构撰稿。至于 AI 加了什么，报告说得非常直白：更强的规模化、效率、语言流畅度与编辑能力，并且专门对准员工、编辑这类不知情的受害者。这是在旧结构上叠加音量与打磨，对防御方来说其实是个好消息，因为旧结构有已知的检测点。

# Editorial intake is a control point, and it can be written down as checks.
INTAKE_CHECKS = [
    ('author_entity_lookupable', lambda s: s.get('registry_hit') is True),
    ('domain_older_than_90_days', lambda s: s.get('domain_age_days', 0) > 90),
    ('has_prior_publication_trail', lambda s: len(s.get('prior_byline_urls', [])) >= 3),
    ('reachable_by_voice_or_video', lambda s: s.get('contactable') is True),
    ('claim_sources_exist_independently', lambda s: s.get('independent_corroboration', 0) >= 2),
]

def screen(submission):
    failed = [name for name, fn in INTAKE_CHECKS if not fn(submission)]
    score = len(INTAKE_CHECKS) - len(failed)
    return {'score': score,
            'failed': failed,
            'action': 'publish' if not failed else 'hold for verification'}

print(screen({'registry_hit': False, 'domain_age_days': 21, 'prior_byline_urls': [],
              'contactable': False, 'independent_corroboration': 0}))

# Every failed check here is one the described operations would fail.

编辑台的收稿环节，是最有效的控制点

为什么进真实媒体比社媒曝光更可怕

OpenAI 用 Breakout Scale 评估了两个行动，该量表把影响力行动从 1 到 6 分级。伊朗那一支达到 4 级。俄罗斯那一支达到 5 级——OpenAI 称这是它开始披露以来首次被破坏的 5 级行动。差别在于分发：两者都把内容送进了主流媒体，而不是只发在社交媒体上；OpenAI 也指出，这与它在两年半里曝光的 30 个隐蔽影响力行动呈现的规律一致——那些试图把内容投进真实媒体、而不是依赖虚假社媒传播的行动，往往拥有最高的潜在触达与影响。如果你负责一条编辑流程，这句话说的就是你：你的收稿环节，是影响力行动最容易被拦下的地方。

# Provenance logging: record the transform chain, not just the final artifact.
def provenance_record(artifact_id, steps):
    return {
        'artifact_id': artifact_id,
        'chain': steps,
        'human_reviewer': steps[-1].get('reviewer') if steps else None,
        'machine_generated_share': round(
            sum(1 for s in steps if s.get('actor') == 'model') / max(len(steps), 1), 2),
        'disclosable': all(s.get('license_ok', True) for s in steps),
    }

PIPELINE = [
    {'actor': 'model', 'stage': 'draft', 'license_ok': True},
    {'actor': 'human', 'stage': 'edit'},
    {'actor': 'model', 'stage': 'headline-variants', 'license_ok': True},
    {'actor': 'human', 'stage': 'publish', 'reviewer': 'desk-3'},
]

print(provenance_record('art-2026-10-14-001', PIPELINE))

# If you cannot reconstruct how an article was made, you cannot retract it cleanly.

公开披露是明确奏效的那项缓解措施

这一段值得记下来。Alice Donovan 与 PeaceData 在被曝光后都停止了活动，而 OpenAI 表示，正是“假前台”行动的隐蔽性，让它们特别容易被负责任的披露击穿。这也是报告把发布本身当作目标的原因：让后续研究与破坏更容易，让这些行动更难继续。对防御方来说，实际含义是：取证与公开就是干预手段本身，而不是事后的补充。点名那个实体、公开可观测的证据、通知转载过那些内容的媒体，然后持续观察。报告还提到，OpenAI 已就该案与相关主管部门共享了信息。

# Score a campaign by where it landed, not by how much it posted.
CHANNELS = {
    'social_only':           1,
    'operation_run_site':    2,
    'comment_sections':      2,
    'external_small_outlets': 4,
    'external_mainstream':   5,
}

def breakout(campaign):
    score = max(CHANNELS.get(c, 0) for c in campaign['distribution'])
    return {'name': campaign['name'],
            'score': score,
            'primary_distribution': max(campaign['distribution'], key=lambda c: CHANNELS.get(c, 0)),
            'note': 'placement in real outlets is the escalation signal'}

CAMPAIGNS = [
    {'name': 'comment-batch', 'distribution': ['social_only', 'comment_sections']},
    {'name': 'false-front-desk', 'distribution': ['operation_run_site', 'external_small_outlets', 'external_mainstream']},
]

for c in CAMPAIGNS:
    print(breakout(c))

按内容落地的渠道打分，而不是按发帖量

工程团队真正能建的监测

有三件事值得做，而且都不需要前沿模型能力。第一，按基础设施做聚类，而不是按人家自己声称的身份：造人设很便宜，但共享的写作模板、注册规律和活跃时段不便宜，所以按这些可观测的痕迹把人设分组，再复核出现的分组。第二，为你自己的发布流水线记录溯源信息，把从初稿到编辑再到发布的整条变换链记下来，因为如果你无法重建一篇文章是怎么做出来的，你也就无法干净地撤稿。第三，让证据可校验，对你收集到的材料做哈希，截图也不例外，这样即使页面之后消失了，关于“某站当时发过什么”的说法仍然可以被核查。需要检测的模式是“协同”，而协同会留下单打独斗不会留下的痕迹。

# Disclosure is the mitigation that demonstrably worked. Structure it as an asset.
def disclosure_package(campaign):
    return {
        'summary': campaign['summary'],
        'evidence': [{'claim': c['claim'], 'artifact_hash': c['sha256']} for c in campaign['claims']],
        'affected_parties': campaign['victims'],
        'notifications': ['regulator', 'platform_peers', 'named_outlets'],
        'post_exposure_monitor_days': 90,
        'success_metric': 'activity ceases, content is retracted or labelled',
    }

print(disclosure_package({'summary': 'false front entity operating a research desk',
                          'claims': [{'claim': 'internal reach reports', 'sha256': 'a1b2'}],
                          'victims': ['unwitting local staff', 'editors at small outlets']}))

# Publicly naming the entity is the point, not a side effect.

给编辑团队的一张短清单

在刊发一位陌生投稿人之前，问一组小问题，并且每次都问。作者这个实体能否在注册系统里查到，或者有可追溯的署名历史，而不是只存在于它自己控制的那个站点上？域名是否已经存在几个月以上？作者能否至少通过一次语音或视频被联系到？文中说法是否有独立佐证，且这些佐证不指向同一个实体？同一个人是否在同一周内向多家媒体投递了措辞高度相似的稿件？这些问题都不冷门，每一个成本都很低。之所以要把它们制度化，是因为“假前台”依赖的恰恰是目标方收稿流程的不正规——对一家小媒体来说，最有效的那项缓解，就是一套枯燥、写下来、永远执行的收稿流程。