Дешёвый Claude оказался ни дешёвым, ни Claude

Anthropic 12 сентября опубликовала отчёт о противодействии злоупотреблениям Claude: в нём операции, сорванные с декабря 2025 по август 2026 года по семи направлениям вреда. Главный сдвиг касается киберопераций. Большинство из них шли через ИИ, который либо сам выполнял действия, либо управлял многоагентной схемой разведки, взлома и выгрузки данных.

Компания оговаривает, что отобрала самые заметные и новые случаи, поэтому типичную картину они не отражают. Среди участников есть подозреваемые государственные группы, финансово мотивированные преступники, продавцы коммерческого шпионского софта и пропагандистские структуры. Злоумышленники работали с Claude Haiku, Sonnet и Opus. На Fable и моделях класса Mythos вредоносной активности не нашли, за исключением одного случая нелегальной дистилляции.

Как ИИ встроен в атаку

Anthropic считает, что сложность операции перестала указывать на того, кто за ней стоит. Хактивист на чужих API-ключах, разрозненные финансово мотивированные одиночки и оператор государственного шпионажа вели кампании против многих жертв сразу, и, по оценке компании, ещё год назад для такого потребовалось бы много опытных операторов. Схему автономных атак, которую Anthropic в ноябре 2025 года описывала у подозреваемой государственной кампании, теперь, по её словам, переняли все классы злоумышленников, которых она изучала. Готовые наступательные агентные фреймворки вроде PentAGI воспроизводят большую часть этой обвязки для любого, кто их скачает. При этом люди по-прежнему выбирают цели, решают, как монетизировать находки, и проверяют результаты.

Нагляднее всего это видно на GTG-20006. Атрибуция Anthropic совпадает с публичными сообщениями, которые связывают эту группу с Midnight Blizzard. Один из операторов, русскоговорящий, работает под ником JackPoterz, и его почерк и цели соответствуют российскому государственному шпионажу. Группа поручила ИИ-агентам следить, замечают ли её инструменты защитные продукты. Если развёрнутый код засекали, агенты сами переписывали и пересобирали его, пока он не переставал обнаруживаться, и только после этого инструмент выкладывали для боевых операций. Человек в основном правил навыки Claude Code, на которых держались эти процессы.

Anthropic насчитала больше 20 организаций в планах, разведке и живых операциях группы: министерства, оборонные и разведывательные ведомства, посольства, аналитические центры, предприятия ОПК, в основном на Украине и в Европе. Отдельный интерес группа проявляла к цепочкам поставок дронов. Она выгрузила почтовые ящики как минимум двух производителей компонентов и украла полный проприетарный SDK системы машинного зрения дрона, а затем несколько дней разбирала её архитектуру, список комплектующих и детали необъявленного продукта.

До части целей группа добиралась окольным путём. Она взломала как минимум трёх поставщиков гостевого Wi-Fi в отелях и через подмену DNS отправляла трафик постояльцев на свои серверы. В июле Microsoft Threat Intelligence описала этот метод под названием CaptiveCrunch. При взломе технологического ведомства одной из стран Северной Африки группа вынесла всю базу учётных данных: больше 300 000 записей национальных удостоверений личности и данные коммерческого реестра более чем полумиллиона компаний.

GTG-10007 устроена иначе. Anthropic описывает её как китайскоговорящих операторов, вероятно из Чанши в провинции Хунань. Двое из них учатся на бакалавриате в местном университете, один проходил стажировку в Sangfor и собеседовался в QiAnXin на должность в наступательных операциях. Операторы запускали «рои агентов»: ведущий ИИ-агент делил разведку и работу после взлома на задачи и раздавал их множеству параллельных субагентов. Исследование одного крупного защитного продукта, по словам компании, дало несколько ранее неизвестных уязвимостей, которые группа проверила в своей лаборатории. Отдельный непрерывный процесс по сетевым устройствам за один месяц выдал больше десятка возможных уязвимостей нулевого дня. Ещё тринадцать агентов по расписанию собирали открытые материалы под приоритеты государственной разведки. Целями группы были около пятидесяти организаций, а вручную она, по данным отчёта, работала только против жертв внутри Китая.

Взлом за часы

Операторы, предположительно связанные с группировкой ShinyHunters, берут скоростью. В одном случае путь от единственного украденного токена разработчика до полного административного контроля над облаком жертвы занял около трёх часов. Другой участник после взлома SaaS-провайдера вытащил данные примерно 200 его клиентов, а затем примерно за 34 часа выгрузил хранилище сессий с более чем 2 100 наборами токенов Azure AD из более чем 40 корпоративных тенантов. Почти всю работу при этом сделали ИИ-агенты.

Масштаб украденного соответствующий. У одного технологического поставщика вынесли больше терабайта данных, в том числе сотни тысяч национальных идентификаторов и миллионы записей платёжных карт. У авиакомпании получили доступ к системам с десятками миллионов записей о пассажирах. Французскоговорящий оператор frkoo на десяти машинах AWS EC2 скачал 1,8 миллиона Android-приложений, декомпилировал их и искал в коде зашитые секреты.

Один из атакующих утверждал, что получил легальные выплаты по баг-баунти на HackerOne, 2 000 и 5 000 долларов, от двух компаний, в которые проник и которые шантажировал.

Такой стиль работы в отчёте называют «vibe hacking». Оператор ставит ИИ общую задачу, например достать данные с широкого набора целей, а модель сама изучает среду, пишет и запускает скрипты и повторяет, пока задача не будет выполнена. Нередко оператор не разбирается в устройстве конкретной цели и оставляет детали модели.

Пропаганда на конвейере

В разделе об информационных операциях девять случаев из России, Ирана, Турции, стран Залива, Южной Азии, Африки и Европы, несколько из них приурочены к выборам. Сеть, которую Anthropic связывает с французским рекламным агентством LKM Company, состояла примерно из 70 поддельных новостных сайтов. Они опубликовали не меньше 8 913 статей примерно на 20 языках, у каждого сайта был свой аккаунт в X, а сверху их поддерживали более 250 фальшивых комментаторов. Политическую позицию сеть меняла в зависимости от того, кто платил. Реальной реакции большая часть этого контента почти не получила.

Anthropic объясняет, что видит такие операции на стадии производства, раньше соцсетей, и часто срывает их до выхода к аудитории. Шире всего расходились случаи, где распространением занимались государственные СМИ. В ЦАР материалы ежедневно шли в эфир пророссийской станции «Радио Ленго Сонго» на 98,9 FM, которую, по расследованию проекта All Eyes On Wagner, в 2017 году создала и финансировала группа Вагнера. Самую агрессивную просьбу этой операции Claude выполнить отказался: оператор хотел назвать реальных людей боевиками, чтобы навести на них силовиков.

Ключи как добыча, вычисления и прикрытие

Доступ к самому ИИ стал отдельной целью. Украденные ключи и сессии дают атакующему сразу три вещи: товар для перепродажи, вычисления за чужой счёт и чужое имя в логах. Хактивист из отчёта месяц работал только на украденных API-ключах, а партнёры ShinyHunters, найдя ключи жертвы, переключали на них собственные атакующие нагрузки.

GTG-50021, русско- и украиноговорящая группа, один из участников которой называет себя kl1zy, продавала дешёвый доступ к Claude. Он оказался ни дешёвым, ни Claude. Трафик покупателей незаметно уходил на другую модель, а вместе с инструментами реселлера ставился сборщик учётных данных. Украденные аккаунты Anthropic группа перепродавала другим прокси-перекупщикам. Anthropic советует относиться к ключам ИИ и интеграциям агентов так же серьёзно, как к рабочим учётным данным, и покупать доступ только через официальные каналы.

Русскоговорящая GTG-50020 раньше взламывала платформы бронирования отелей и финтех: из одной жертвы она вытащила около 26 ГБ данных и пыталась получить от 1,5 до 2,5 миллиона долларов шантажом или продажей данных. Потом группа применила те же приёмы к ИИ-индустрии. Она внедрила вредоносные инструкции в автоматическую песочницу, где один ИИ-поставщик оценивает модели, и песочница отдала его рабочие API-ключи от нескольких провайдеров. С той же инфраструктуры группа примерно за четыре дня атаковала около тридцати ИИ-компаний, повторяя один найденный рабочий путь. Заявленной целью был доступ к предрелизной модели Claude, но ни один из более чем десятка путей не сработал.

Все ключи в этих историях украдены из окружений клиентов. Собственные системы Anthropic, по словам компании, не пострадали.