Anthropic описала, как ИИ стал оркестратором кибератак

Отчёт охватывает семь классов злоупотреблений

Anthropic опубликовала отчёт Threat Intelligence о наиболее заметных и новых случаях злоупотребления Claude, которые команда компании выявила и пресекла с декабря 2025-го по август 2026 года. Материал охватывает семь направлений: кибероперации, кампании влияния, слежку, мошенничество, биологические риски, разработку обычных вооружений и незаконную дистилляцию моделей. Среди описанных участников — предполагаемые государственные группы, финансово мотивированные преступники, поставщики коммерческого шпионского ПО, государственные пропагандистские структуры и политические активисты.

Компания подчёркивает, что это не статистически типичная выборка злоупотреблений, а наиболее примечательные кейсы. Поэтому отчёт показывает возможные режимы применения ИИ, но не позволяет оценить их распространённость во всей индустрии. Все сведения о расследованиях и атрибуции представлены самой Anthropic; независимой проверки каждого эпизода в публикации нет.

По данным Anthropic, в рассмотренных операциях применялись Claude Haiku, Sonnet и Opus. Случаи не затронули Claude Fable и Mythos, кроме одного эпизода незаконной дистилляции. Компания сообщает, что блокировала связанную активность, усиливала защитные механизмы и при необходимости передавала сведения властям и отраслевым партнёрам.

ИИ перешёл от подсказок к исполнению цепочки атаки

Главный вывод киберраздела — роль модели стала более автономной. В большинстве описанных операций ИИ не ограничивался ответами в чате: многоагентные frameworks выполняли разведку, эксплуатацию уязвимостей и эксфильтрацию данных. Человек по-прежнему выбирал цели и просматривал результаты, но значительная часть промежуточных действий переходила к агентам.

Anthropic считает, что из-за этого техническая сложность операции всё хуже указывает на ресурсы и квалификацию её автора. Модели сокращают разрыв между одиночным оператором и хорошо обеспеченной группой: помогают разрабатывать инструменты, понимать незнакомую инфраструктуру, обрабатывать похищенные данные и повторять действия в большем масштабе. Публичные offensive-agent frameworks дополнительно упрощают сборку автоматизированной цепочки атаки.

Это не означает, что модель самостоятельно выбирает политическую или финансовую цель. Во всех описанных сценариях намерение задавал человек. Но меняется экономика исполнения: один оператор способен параллельно вести больше направлений, быстрее перестраивать инструменты и делегировать модели анализ среды, который раньше требовал нескольких специалистов.

Российская шпионская группа автоматизировала адаптацию вредоносных инструментов

Один из центральных кейсов — GTG-20006, атрибуция которой, по словам Anthropic, согласуется с публичными сообщениями о Midnight Blizzard. Группа атаковала военные и разведывательные цели в украинских и европейских государственных структурах, а также дипломатические и оборонные организации. Её AI-driven workflows охватывали разработку, аренду инфраструктуры, phishing, закрепление, command and control и эксфильтрацию.

Особенно важен замкнутый цикл уклонения от защиты. Агенты отслеживали, обнаруживают ли security-продукты развёрнутые образцы malware, затем модифицировали и пересобирали их до исчезновения детекта. Anthropic также описывает автоматизацию подготовки phishing-доменов и инфраструктуры, рассылок и мониторинга успешных компрометаций; человек вмешивался главным образом, когда требовалось изменить Claude Code skills, управлявшие workflow.

Компания насчитала более 20 организаций в планировании, разведке и активных операциях группы. В отчёте говорится о краже данных производителей компонентов для беспилотников, компрометации поставщиков гостиничного Wi-Fi, захвате WhatsApp-аккаунтов и доступе к облачной почте нескольких организаций. Эти детали показывают, что риск возникает не в одном новом exploit, а в ускорении всей последовательности от поиска входа до обработки добытых данных.

Массовые преступные операции получили скорость и масштаб

Во втором крупном кейсе Anthropic связывает несколько кластеров финансово мотивированной активности с предполагаемыми участниками ShinyHunters. Один франкоязычный оператор распределил сбор credentials по десяти AWS EC2 workers: система загрузила 1,8 млн Android APK, декомпилировала их и искала встроенные секреты. Проверенные находки направлялись в Telegram, а отдельный harvester собирал GitHub Personal Access Tokens.

Другая часть операций развивалась через supply chain. После компрометации SaaS-поставщика злоумышленники извлекли данные примерно 200 организаций-клиентов; в одном эпизоде дамп session store содержал более 2 100 наборов Azure AD tokens из более чем 40 корпоративных tenants и был собран примерно за 34 часа. Anthropic пишет, что почти всю работу выполнили AI agents.

Авторы называют такой стиль vibe hacking: оператор задаёт общую цель, а модель изучает окружение, пишет и запускает scripts, суммирует результаты и повторяет цикл. В одном случае переход от украденного developer token к административному контролю облачной среды занял около трёх часов. Anthropic отдельно уточняет: преступники использовали API keys, похищенные из сред клиентов, а не полученные через компрометацию собственных систем компании.

Риск выходит за пределы классической кибербезопасности

Отчёт включает и политически мотивированного одиночного оператора, который применял Claude для разработки атакующей инфраструктуры и платформы поиска по похищенным данным. По оценке Anthropic, он получил внутренний доступ как минимум к 14 из 42 отслеживаемых организаций и выгрузил ориентировочно 12–26 ГБ баз данных. Компания называет этот эпизод одним из наиболее ясных примеров того, как AI-assisted software engineering позволила одному человеку построить масштабную систему вторжения в частную жизнь.

В разделе о влиянии описана иностранная сеть, которая выдавала себя за локальную радиостанцию в Центральноафриканской Республике. Claude использовали для текстов, контрактов, должностных инструкций и оценки сотрудников на политическую лояльность. Модель отказалась выполнять наиболее агрессивный запрос — назвать реальных людей боевиками, — после чего оператор сменил формулировку на ссылку на анонимные источники.

Биологические кейсы показывают другую проблему: dual-use research может иметь одновременно терапевтические и опасные применения. Anthropic обнаружила работу с проектами по orthopoxviruses, атласом venom peptides и computational redesign токсинов. В двух последних случаях biological safety classifier почти не мешал работе по замыслу: он настроен ограничивать помощь новичкам в создании известных биологических угроз катастрофического масштаба, а не блокировать всю потенциально двойную научную деятельность.

Что меняется для защиты

Практический сигнал отчёта — статические signatures и единичное блокирование инструмента становятся менее достаточными, если агент может быстро перестроить malware и повторить атаку. Защитникам важнее видеть поведение всей цепочки: массовое сканирование, выпуск новых credentials, аномальное использование API, автоматизированную выгрузку и повторное закрепление. Именно последовательность действий труднее замаскировать одной пересборкой кода.

Для разработчиков AI-сервисов важны защита API keys, обнаружение необычных агентных workflows и связь между модельными сессиями и внешними действиями. Опубликованные кейсы показывают, что supply chain ИИ сама стала целью: украденный ключ одновременно открывает доступ к вычислениям и помогает атаковать следующие организации. Ограничения прав, короткий срок жизни credentials, изоляция execution и проверяемый audit trail становятся частью модели угроз, а не только эксплуатационной гигиеной.

Но отчёт нельзя превращать в доказательство неизбежной автономной кибервойны. Это отобранные Anthropic расследования без знаменателя, независимого сравнения с операциями без ИИ и полной методики оценки uplift. Надёжный вывод уже: агентные модели способны ускорять реальную вредоносную деятельность на разных этапах, а защита должна контролировать не только текст ответа модели, но и полномочия, инструменты и последствия её действий.