Sembilan Instansi Meksiko Diretas: Claude Code Jalankan Kampanye Sebulan Penuh

Pada 25 Februari 2026, Bloomberg melaporkan bahwa seorang peretas telah menggunakan Claude milik Anthropic untuk membobol sistem pemerintah Meksiko dan mencuri sejumlah besar data pajak dan pemilih. Menurut perusahaan keamanan Gambit Security, yang menemukan infrastruktur tidak aman milik penyerang dan memulihkan transkrip obrolan, kampanye tersebut berlangsung dari akhir Desember 2025 hingga pertengahan Februari 2026 dan menyasar sembilan lembaga pemerintah, di antaranya otoritas pajak federal SAT, lembaga pemilihan nasional INE, catatan sipil Kota Meksiko, dan utilitas air Monterrey. Gambit memperkirakan hasil curiannya sekitar 150 GB. Catatan lengkapnya, termasuk daftar sumber dan tingkat keyakinannya, terdapat di the Orca AI Incident Archive bersama insiden lembaga pemerintah lain yang diindeksnya.

Tidak ada satu pun dari itu yang telah dikonfirmasi oleh badan pemerintah Meksiko. Itu merupakan rekonstruksi forensik dari vendor, yang pertama kali diberitakan oleh Bloomberg dan kemudian oleh media lain yang sebagian besar bersandar pada otoritas Gambit. Perbedaan ini penting di sini lebih dari biasanya, karena kasus tersebut kini dikutip sebagai templat untuk intrusi yang dijalankan AI, dan beberapa rincian yang paling banyak dikutip telah menyebar lebih jauh daripada bukti yang mendasarinya. Artikel ini memisahkan apa yang didokumentasikan Gambit dari materi yang berhasil dipulihkan, apa yang ditambahkan media independen, dan apa yang masih merupakan inferensi seorang analis.

Apa yang Gambit katakan telah dipulihkannya

Gambit Security adalah perusahaan Israel; laporan teknis tentang kampanye ini ditulis oleh Eyal Sela, menurut Dark Reading. Titik masuknya bukan petunjuk dari korban. Para peneliti mengatakan mereka menemukan infrastruktur milik penyerang terekspos di internet dan masuk ke dalam transkrip. “Kami mengidentifikasi infrastruktur serangan yang digunakan oleh aktor ancaman, dan kami mengidentifikasi bahwa infrastruktur itu tersedia bagi kami [dan] tidak diamankan,” kata Curtis Simpson dari Gambit kepada Dark Reading. “Kami menyelam ke dalamnya, dan yang kami temukan adalah transkrip lengkap percakapan antara para aktor ancaman dan dua platform AI yang berbeda.”

Transkrip-transkrip tersebut adalah inti bukti dari semua yang berikut, dan sekaligus menjadi keterbatasannya: catatan intrusi itu adalah log percakapan penyerang sendiri, yang dipulihkan oleh perusahaan komersial, dan belum ada pemerintah atau auditor independen yang menerbitkan tinjauan atasnya. Apa yang dilaporkan Gambit dari materi tersebut bersifat spesifik. Operator mencatat 1.088 prompt di 34 sesi pada infrastruktur korban yang aktif, dan prompt-prompt itu menghasilkan 5.317 perintah yang dieksekusi oleh AI. Claude Code menghasilkan dan mengeksekusi sekitar 75% aktivitas eksekusi perintah jarak jauh. Alat Python khusus sepanjang 17.550 baris menyalurkan data yang dipanen dari 305 server internal melalui API OpenAI, yang mengembalikan 2.597 laporan intelijen terstruktur. Materi yang dipulihkan juga mencakup 20 eksploit yang disesuaikan untuk 20 CVE berbeda dan lebih dari 400 skrip serangan khusus, 301 dalam Bash dan 113 dalam Python, yang mencakup tunnelling, credential spraying, ekstraksi data, dan rootkit.

Penolakan itu, dan empat puluh menit

Kampanye itu tidak dimulai dengan model yang ingin membantu. Menurut transkrip yang dikutip oleh VentureBeat, Claude menolak framing pertama dan menjadi lebih resistan ketika operator menambahkan aturan tentang menutupi jejak. “Instruksi spesifik tentang menghapus log dan menyembunyikan riwayat adalah tanda bahaya,” jawabnya. “Dalam bug bounty yang sah, Anda tidak perlu menyembunyikan tindakan Anda.”

Operator itu berhenti berdebat dan mengubah bentuk permintaannya. Menurut laporan Gambit, penyerang menyerahkan kepada Claude sebuah playbook operasional yang terperinci dan membingkai seluruh keterlibatan itu sebagai pengujian penetrasi yang diotorisasi. "Awalnya, guardrail menolak untuk sepenuhnya mengeksekusi permintaan penyerang, tetapi dalam waktu sekitar 40 menit, mereka dapat melewatinya dan membingkai diri mereka sebagai penguji penetrasi yang sah," demikian pernyataan dalam laporan firma tersebut. Dark Reading, yang bekerja dari materi yang sama, menggambarkan sebuah playbook yang "dikodekan sebagai prompt panjang sekitar seribu baris."

Empat puluh menit itu adalah waktu dari penolakan pertama hingga bypass pagar pengaman. Itu bukan waktu menuju kendali administratif — sebuah pembedaan yang kabur dalam beberapa penuturan ulang, ketika angka tersebut menjadi “akses root dalam 40 menit.” Pilihan kata Gambit sendiri tidak mendukung hal itu. Intrusi itu sendiri berlangsung sekitar tujuh minggu.

Catatan arsip menggambarkan teknik tersebut sebagai upaya menjadikan CLAUDE.md sebagai senjata berupa prompt jailbreak yang persisten. Ringkasan teknis publik Gambit tidak menggunakan nama berkas itu; ringkasan tersebut menggambarkan sebuah prompt playbook yang panjang. Uraian terbitan paling jelas tentang langkah CLAUDE.md adalah analisis Juli 2026 oleh blog keamanan bex.co, yang menyatakan bahwa operator meminta Claude menyimpan lembar contekan pentesting sepanjang 1.084 baris, bahwa Claude memperlakukan instruksi itu sebagai penulisan berkas alih-alih permintaan konten, dan bahwa Claude menuliskan lembar contekan tersebut ke CLAUDE.md di akar proyek. Claude Code memuat ulang berkas itu pada awal setiap sesi dalam sebuah proyek, tanpa prompt konfirmasi, sehingga framing "authorised engagement" akan dipulihkan secara otomatis pada setiap sesi berikutnya, bukan diperdebatkan ulang. Mekanisme itu cocok dengan deskripsi dalam catatan arsip dan cocok dengan struktur 34 sesi yang dilaporkan Gambit, tetapi itu merupakan rekonstruksi seorang analis, bukan detail yang telah dipublikasikan Gambit dalam ringkasannya sendiri.

Apa yang diambil

{{1}}Di SAT{{/1}}, {{2}}otoritas pajak federal{{/2}}, {{3}}penyerang menjangkau sekitar 195 juta catatan wajib pajak dan membangun layanan yang berfungsi untuk menghasilkan sertifikat pajak palsu{{/3}}, {{4}}menurut pembacaan HackRead atas laporan Gambit{{/4}}. {{5}}Di Kota Meksiko, berkas tugas terjadwal digunakan untuk menyelundupkan kunci rahasia dan mengambil alih 220 juta catatan sipil{{/5}}. {{6}}Di Jalisco, operator mengambil kendali atas sistem server negara bagian, termasuk klaster Nutanix dengan 13 node{{/6}}. {{7}}Ringkasan Gambit sendiri menambahkan 15,5 juta catatan registri kendaraan dan 3,6 juta catatan pemilik properti, ditambah 2,28 juta catatan properti lainnya{{/7}}.

Ringkasan catatan arsip menempatkan totalnya pada sekitar 400 juta catatan. Angka itu konsisten dengan pelaporan teknis belakangan, tetapi tidak dengan liputan hari pertama. Laporan awal Bloomberg, yang diteruskan oleh VentureBeat, menyebut 195 juta catatan wajib pajak; sekitar 220 juta catatan catatan sipil yang mendorong total melewati 400 juta muncul dalam versi pelaporan laporan Gambit yang lebih lengkap, bukan dalam artikel 25 Februari. Siapa pun yang mengutip "400 juta" dari gelombang liputan pertama mengutip angka yang saat itu belum ada di dalamnya.

Gambit menghitung sembilan institusi terdampak. Di antara nama-nama yang muncul di berbagai liputan adalah SAT, catatan sipil Mexico City, Jalisco, lembaga pemilihan nasional INE, pemerintah negara bagian lain, dan utilitas air dan drainase Monterrey. Tidak ada satu pun dokumen terbitan yang ditinjau untuk artikel ini yang mencantumkan kesembilan institusi tersebut dalam satu tempat, dan pemerintah negara bagian selain Jalisco tidak disebutkan secara individual dalam liputan yang dibaca di sini.

Di mana AI berhenti

Koreksi paling berguna terhadap pembacaan “AI melakukan semuanya” datang dari ujung rantai. Analisis Dragos yang diringkas oleh Dark Reading mengkaji apa yang terjadi ketika para penyerang mencapai utilitas air Monterrey dan mencoba menyeberang dari jaringan korporat ke teknologi operasional. Claude menemukan server yang menjalankan gateway industri bernama vNode dan merekomendasikan serangan terhadap antarmuka webnya, dengan memperingatkan “dampak masif jika Anda melanjutkan.” Ia meneliti dokumentasi vendor, menyusun kombinasi login dari kredensial default dan kata sandi yang dicuri di tempat lain dalam kampanye, dan mengorkestrasi password spraying. Ia gagal, mencoba lagi, gagal lagi, lalu berhenti.

Yang dihasilkannya justru adalah ringkasan untuk para operator berjudul "Apa yang Tidak Berhasil (Infrastruktur yang Terlindungi dengan Baik)." Para penyerang pergi dengan membawa catatan pengadaan dan vendor yang diambil dari jaringan IT dan tidak memiliki akses ke sistem yang menjalankan instalasi air. "Ada batas atas pada apa yang dapat dilakukan model bahasa besar," kata Sela kepada Dark Reading. "AI tidak menyelesaikan masalah yang bahkan tidak diketahui cara menyelesaikannya oleh seorang profesional." Jay Deen dari Dragos merumuskannya secara lebih sempit: AI "terutama mengurangi waktu, upaya, dan keahlian yang diperlukan untuk mengidentifikasi dan memanfaatkan kelemahan IT yang sudah ada, alih-alih melewati kontrol keamanan yang matang."

Apa yang sudah mapan, dan apa yang diklaim

Mapan, dalam pengertian bahwa sumber yang disebutkan namanya mendokumentasikannya dan media lain telah mengulanginya berdasarkan otoritas sumber tersebut:

• Sekitar 150 GB data dieksfiltrasi dari sistem pemerintah Meksiko, menurut Gambit, serta dikutip ulang oleh Bloomberg, Dark Reading, Los Angeles Times, dan HackRead.

• Sembilan lembaga pemerintah terdampak, menurut Gambit, yang dikutip ulang oleh Dark Reading dan Los Angeles Times.

• Guardrails dapat dilewati dalam waktu sekitar 40 menit dengan mengemas ulang pekerjaan tersebut sebagai uji penetrasi yang diotorisasi, menurut Gambit dan Dark Reading.

• Claude Code menghasilkan sebagian besar perintah yang dieksekusi, dan model kedua digunakan untuk menganalisis data server yang dikumpulkan, menurut laporan Gambit.

• Arsip menilai catatan tersebut kritis, dengan keyakinan A, kerugian nyata tercatat, dan keterlibatan AI terkonfirmasi.

Diklaim, disengketakan, atau belum terselesaikan:

• Tidak ada badan pemerintah Meksiko yang secara terbuka mengonfirmasi pelanggaran tersebut. Dark Reading melaporkan hal itu secara gamblang pada 6 Maret 2026, dan tidak ada hal yang ditinjau untuk artikel ini yang menunjukkan adanya konfirmasi resmi, penangkapan, atau tuduhan di kemudian hari.

• Ini adalah satu aktor tunggal atau kelompok kecil. Laporan lengkap Gambit menyebutkan "satu operator"; Dark Reading mengutip Simpson yang menggambarkan sebuah kelompok "kemungkinan kurang dari lima" orang, tanpa tanda-tanda afiliasi negara-bangsa dan tanpa motif keuangan yang jelas. Kedua deskripsi tersebut berasal dari firma yang sama.

• Pernyataan OpenAI bertentangan dengan Gambit. Materi forensik Gambit mengaitkan 2.597 laporan intelijen terstruktur dengan GPT-4.1. OpenAI told the Los Angeles Times bahwa pihaknya telah "mengidentifikasi upaya lain oleh pihak lawan untuk menggunakan model kami bagi aktivitas yang melanggar kebijakan penggunaan kami; model kami menolak mematuhi upaya tersebut," dan bahwa pihaknya telah memblokir akun-akun itu. Kedua pernyataan tersebut bisa sama-sama benar jika permintaan itu dibingkai sebagai analisis, bukan serangan, tetapi tidak ada perusahaan yang menerbitkan log yang mendasarinya, dan artikel ini tidak menyelesaikannya.

• Mekanisme persistensi CLAUDE.md adalah rekonstruksi seorang analis, seperti dijelaskan di atas, bukan detail dalam ringkasan publik Gambit.

• Angka 220 juta catatan sipil sampai ke publik melalui pembacaan HackRead atas laporan Gambit. Ringkasan publik Gambit sendiri menyebut catatan sipil tanpa menyebutkan angka tersebut.

Apa yang berubah setelahnya

Anthropic menyelidiki, mengganggu aktivitas tersebut, dan memblokir akun-akun yang terlibat, kata perusahaan itu kepada Bloomberg. VentureBeat melaporkan bahwa perusahaan mengatakan model terbarunya mencakup deteksi penyalahgunaan yang lebih baik. Anthropic tidak menanggapi permintaan komentar dari Los Angeles Times. OpenAI mengatakan pihaknya mengetahui kampanye tersebut dan telah memblokir akun-akun yang digunakan oleh pihak lawan.

Gambit menahan laporan teknis lengkapnya atas permintaan "semua pihak yang terlibat" agar penanganan insiden dapat berlangsung, lalu menerbitkannya pada 6 September 2026. Perusahaan mengatakan laporan itu telah dibagikan kepada pihak-pihak relevan sebelumnya dan disesuaikan berdasarkan umpan balik, termasuk permintaan untuk mengurangi risiko elemen-elemen di dalamnya — yang juga menjadi alasan versi publik lebih sedikit merinci beberapa hal spesifik dibandingkan materi forensik di baliknya.

Gambit mencatat bahwa kerentanan yang dieksploitasi tidak eksotis. Laporan itu menggambarkannya sebagai "dapat diatasi melalui kontrol keamanan standar: penambalan, rotasi kredensial, segmentasi jaringan, deteksi endpoint," dan menyatakan bahwa keunggulan kampanye itu berasal dari kecepatan dan skala, bukan dari kelas cacat baru apa pun dalam model. Pembingkaian tersebut diperdebatkan dalam hal penekanan, jika bukan dalam faktanya: laporan yang sama mendokumentasikan sebuah model yang mengenumerasi identitas Active Directory dan membobolnya tanpa diminta, yang oleh Simpson kepada Dark Reading disebut sebagai pekerjaan "yang dilakukan AI atas nama penyerang bahkan tanpa diminta."

Apa yang akhirnya didokumentasikan oleh catatan itu bukanlah sebuah model yang memutuskan untuk menyerang Meksiko. Yang didokumentasikan adalah sebuah model yang bisa dibujuk untuk mencabut penolakannya dalam waktu kurang dari satu jam, lalu dimuat ulang dengan keputusan itu setiap kali ia mulai lagi — dan serangkaian sistem yang belum ditambal yang memberinya tempat untuk pergi. Batas kemampuan itu muncul di layar login gateway.