Claude binnen de intrusieketen: het dreigingsrapport van Anthropic van september 2026

Anthropic publiceerde haar vierde dreigingsinlichtingenrapport, Misbruik van AI detecteren en tegengaan: september 2026, op 10 september 2026. Het 154 pagina's tellende document behandelt activiteiten die haar Threat Intelligence-team tussen december 2025 en augustus 2026 heeft verstoord, en het meest concrete schadecijfer past in één enkele alinea: een spionageacteur die Anthropic volgt als GTG-20006, van wie het rapport de toeschrijving "in overeenstemming met openbare berichtgeving die de acteur aan Midnight Blizzard koppelt" noemt, stal VPN-inloggegevens van een Noord-Afrikaanse overheidsinstantie voor technologie, nam de centrale accountserver ervan over en ging ervandoor met meer dan 300.000 nationale identiteitsgegevens en de handelsregistergegevens van meer dan een half miljoen bedrijven. Het archiefrecord voor deze openbaarmaking, met de betrouwbaarheidsgraad en de vermeldingen die eromheen zijn geregistreerd, is opgenomen in het Orca AI Incident Archive.

Het rapport is afkomstig van een leverancier die misbruik van het eigen product onthult, wat zowel de waarde als de beperkingen ervan bepaalt. Het is een verslag uit de eerste hand — Anthropic's telemetrie, Anthropic's accountblokkades, Anthropic's oordelen over wie aan de andere kant stond — en geen enkele externe auditor heeft de cijfers gecontroleerd. De rest van dit stuk scheidt vier dingen: wat het rapport zegt te hebben waargenomen, wat het alleen toeschrijft, wat betwist wordt, en wat de samenvatting van het archief beweert dat het document niet bevat.

Wat is er gepubliceerd, en wat het omvat

Detectie en bestrijding van misbruik van AI: september 2026 is op de omslag gedateerd op 10 september 2026 en telt 154 pagina's, met indicator-of-compromise-lijsten voor veel van de gevallen. Het volgt op eerdere rapporten van Anthropic in maart, augustus en november 2025, en behandelt zeven schadegebieden: cyberoperaties, beïnvloedingsoperaties, surveillance, conventionele wapens, biologisch misbruik, oplichting en fraude, en illegale distillatie.

De betrokken modellen waren Claude Haiku, Claude Sonnet en Claude Opus. Anthropic stelt dat geen van de misbruikgevallen betrekking had op Claude Fable of modellen uit de Claude Mythos-klasse, met uitzondering van één geval van ongeoorloofde distillatie. De actoren variëren van "vermoedelijke door de staat gesteunde groepen, financieel gemotiveerde criminelen, commerciële spywareleveranciers, staatspropagandainstellingen en politiek gemotiveerde individuen".

Casestudies dragen interne labels — GTG-aanduidingen, die het rapport definieert als "Anthropics interne aanduidingen voor actoren waarvan is waargenomen dat ze AI misbruiken". Het zijn naamgevingsconventies, geen juridische bevindingen, en ze vormen het enige aanknopingspunt dat de meeste van deze actoren hebben.

Anthropics analytische claim is beperkter dan het aantal gevallen: dat AI "de kloof op het gebied van arbeid en tooling heeft gedicht" tussen staatsoperaties en individuele operatoren, en dat "geavanceerdheid geen betrouwbaar signaal meer is voor wie er achter een operatie zit". Het rapport meet wat het uplift noemt — snelheid, schaal en diepgang — en voegt twee kanttekeningen toe aan zijn eigen casestudies: mensen "hebben de beslissingen behouden die voor hen het belangrijkst zijn", waaronder doelwitselectie en hoe gestolen gegevens te gelde worden gemaakt, en "autonomie en schade zijn afzonderlijke assen".

De 300.000 identiteitsgegevens: GTG-20006

GTG-20006 is de zaak die het nummer van het record draagt. Anthropic beschrijft een Russischsprekende operator met de handle "JackPoterz" en zegt dat de attributie "in overeenstemming is met openbare berichtgeving die de actor aan Midnight Blizzard koppelt" — een vergelijking met de attributie door anderen in plaats van een onafhankelijke bevestiging, en het rapport vermeldt niet op welke berichtgeving het doelt.

De inbraak die tot dit aantal leidde, was gericht op een Noord-Afrikaanse overheidsinstantie voor technologie. Volgens het rapport stal de actor inloggegevens voor een VPN-apparaat, gebruikte die om de centrale accountserver van de organisatie over te nemen en exfiltreerde van daaruit "de volledige database met inloggegevens: meer dan 300.000 nationale identiteitsgegevens en de handelsregistergegevens van meer dan een half miljoen bedrijven die in het land actief zijn". De gegevens waren eigendom van een overheidsinstantie, en de mensen erin hebben geen enkele band met de AI-leverancier in dit verhaal.

De bredere campagne van dezelfde actor trof "meer dan 20 verschillende organisaties" — ministeries, defensie- en inlichtingenorganen, ambassades, denktanks en defensie-industriële bedrijven, geconcentreerd in Oekraïne en Europa maar zich uitstrekkend tot het Midden-Oosten en tot maritieme instanties in Azië. Tot de concrete gevallen behoren:

• Hotel-wifi: de actor heeft ten minste drie leveranciers in de gastvrijheidssector gecompromitteerd die gasten-wifi beheren, en vervolgens DNS-records gewijzigd zodat gastverkeer, apparaatidentificatoren en IP-adressen naar door de actor gecontroleerde servers gingen. Microsoft Threat Intelligence publiceerde in juli 2026 een rapport over dezelfde diefstal en leveringsmethode onder de naam CaptiveCrunch, waarnaar het rapport van Anthropic verwijst.

• {{1}}WhatsApp{{/1}}: slachtofferaccounts werden als gekoppelde apparaten verbonden met behulp van headless browsers en de opensource-automatiseringsbibliotheek WPPConnect, waarbij leesbevestigingen werden onderdrukt terwijl gesprekken in het Russisch en Oekraïens massaal werden geëxporteerd. Minstens twee voormalige hoge Oekraïense functionarissen werden op deze manier doelwit.

• Drones: de mailboxen van minstens twee fabrikanten van dronecomponenten zijn in bulk geëxporteerd, en een complete propriëtaire softwareontwikkelingskit voor een dronevisiesysteem werd gestolen en over meerdere dagen reverse-engineered.

• Ontwijking: monitoringagenten hielden in de gaten of ingezette implants werden gedetecteerd, en wanneer dat het geval was, pasten agenten de malware aan en bouwden die opnieuw totdat ze niet meer werden gedetecteerd.

De conclusie die Anthropic uit de ontwijkingslus trekt, is dat die het voordeel van de verdediger omkeert. "AI heeft de kosten weer bij de verdedigers gelegd," staat in het rapport, "omdat een nieuwe detectie geen tijd meer oplevert wanneer een capabele tegenstander sneller kan herbouwen dan de signature wordt uitgerold."

Het tweede aan de staat gelieerde geval: GTG-10007

GTG-10007 is het andere geval in het rapport met expliciete staatsframing, en het meest ongewone. Anthropic beschrijft Chineessprekende operators "die waarschijnlijk in Changsha in de Chinese provincie Hunan wonen", onder wie twee bachelorstudenten aan een lokale universiteit die computer- en communicatietechniek studeren; een van hen had stagegelopen bij beveiligingsbedrijf Sangfor en was in gesprek bij QiAnXin voor een functie in offensieve beveiliging.

De groep richtte zich op ongeveer vijftig organisaties in sectoren als onderwijs, detailhandel, energie, technologie, gezondheidszorg, financiën, productie en overheid. Anthropic zegt dat het honderden megabytes aan persoonsgegevens van studenten heeft geëxtraheerd uit de cloudopslag van een onderwijs-technologiebedrijf, productiesystemen bij een detailhandelaar heeft bereikt en burgersdossiers — namen, telefoonnummers en huisadressen — heeft opgehaald bij een overheidsinstantie in Zuidoost-Azië.

Wat het onderscheidt, is het kwetsbaarheidsonderzoek: een doorlopend onderzoeksprogramma gericht op een klasse beveiligingssoftware die "specifiek wordt ingezet om inbraken te detecteren", waarvan Anthropic zegt dat het meerdere voorheen onbekende kwetsbaarheden heeft opgeleverd die door de actor in zijn eigen lab zijn gevalideerd, werkende exploits voor verschillende families netwerk- en beveiligingsapparaten, en "meer dan een dozijn mogelijke zero day-bevindingen in één maand" uit één continu itererende workflow. Een afzonderlijke vloot van dertien verzamelagenten draaide volgens een schema tegen openbaar militair en overheidsmateriaal, zonder menselijke tussenkomst.

Anthropic noemt de beveiligingsproducten, de kwetsbaarheden en de overheidsinstantie niet bij naam, en het rapport koppelt de bevindingen aan geen enkele gepubliceerde CVE-identificatie.

De criminele helft: datadiefstal, en API-sleutels als lading

Het cybergedeelte gaat niet alleen over spionage. Van de verschillende financieel gemotiveerde clusters wordt het grootste toegeschreven aan operatoren die Anthropic beschrijft als vermoedelijke aangeslotenen bij het ShinyHunters-collectief, getrackt als GTG-50014. Het rapport zet hun omvang ronduit uiteen:

• De credentialpijplijn van één operator heeft massaal 1,8 miljoen afzonderlijke Android-APK's gedownload, deze gedecompileerd en gescand op hardgecodeerde secrets, en geverifieerde bevindingen doorgestuurd naar een Telegram-groep die was ingedeeld in meer dan 100 typen secrets.

Eén affiliate dumpte in ongeveer 34 uur meer dan 2.100 Azure AD-tokensets die meer dan 40 bedrijfstenants omvatten, nadat hij een SaaS-provider had gecompromitteerd en ongeveer 200 van diens downstream-klantorganisaties had bereikt.

• Een compromittering van een technologieleverancier leverde meer dan een terabyte aan data op, waaronder honderdduizenden nationale identificatienummers en miljoenen betaalkaartgegevens, die op een openbare website waren geplaatst "om het slachtoffer onder druk te zetten losgeld te betalen".

Bij een luchtvaartmaatschappij kregen de actoren toegang tot systemen met tientallen miljoenen passagiersgegevens; bij een energiebedrijf beweerden ze dat ze op afstand de laadstroom van de thuislaadstations voor elektrische auto's van klanten konden regelen.

GTG-50029, een enkele Franstalige hacktivist, wist ten minste 14 van de 42 gevolgde Europese politieke, media- en denktankdoelen te bereiken, exfiltreerde naar schatting 12 tot 26 GB aan database-dumps en bemachtigde ongeveer 140.000 records met daarin de politieke opvattingen van gebruikers — terwijl hij een doxxingplatform bouwde dat gevuld was met tientallen miljoenen rijen gegevens uit datalekken.

De rode draad in de financiële zaken is dat toegang tot AI zelf buit werd. Daders stalen Anthropic API-sleutels uit klantomgevingen en draaiden hun eigen aanvalsworkloads op kosten van iemand anders — wat het rapport "living off the land" toepassen op AI noemt. Anthropic is duidelijk over de grens: "In elk geval waren de betrokken API-sleutels gestolen uit de omgevingen van Anthropic-klanten. De eigen systemen van Anthropic zijn door deze actor niet gecompromitteerd." GTG-50020, een Russischsprekende groep die overstapte van hotelboekingsinbraken naar de AI-industrie, viel in ongeveer vier dagen tijd ruwweg dertig AI-bedrijven aan; het verklaarde doel was toegang tot een nog niet vrijgegeven Claude-model, en volgens het rapport "heeft de actor nooit toegang gekregen".

Vastgesteld, toegeschreven, betwist, afwezig

Vastgesteld. Het rapport bestaat, is gedateerd op 10 september 2026 en telt 154 pagina's. De verslagen van de intrusie, indicatorenlijsten en verbanningsacties zijn Anthropics eigen verslag uit eerste hand, en onafhankelijke media — The Next Web op de dag van publicatie, Digital Watch Observatory en onderzoeksnotities van de Cloud Security Alliance — beschrijven hetzelfde document, dezelfde zeven schadegebieden en dezelfde details van GTG-20006. Geen enkel medium heeft een eigen forensische reconstructie van de Noord-Afrikaanse intrusie gepubliceerd, dus het cijfer van 300.000 berust op de telemetrie van één bedrijf.

Toegeschreven.De staatskoppeling is de beoordeling van Anthropic, in zijn eigen tekst afgezwakt: "consistent met openbare berichtgeving die de actor aan Midnight Blizzard koppelt". De locatie Changsha, de arbeidsgeschiedenis van de studenten en de staatsinkadering van de Chinese taalgevallen zijn eveneens Anthropics karakterisering, geen overheidsattributie. De berichtgeving van The Next Web citeert Jacob Klein, hoofd threat intelligence bij Anthropic, in interviews met Axios en The New York Times, maar bevat geen externe deskundige die de cijfers beoordeelt.

Betwist. Het onderdeel over distillatie is de enige plek waar een beschuldigde partij heeft gereageerd. Anthropic zegt dat het "aanvullende distillatieaanvallen tegen Claude van zeven in China gevestigde labs" heeft gevonden en beschrijft onder meer dat Moonshot AI in tien dagen tijd bijna 300.000 klantverzoeken via 5.380 frauduleuze accounts naar Anthropic heeft doorgestuurd. Peking heeft gerelateerde Amerikaanse distillatiebeweringen verworpen, zo meldde The Next Web. Het archiefrecord markeert dit incident als onbetwist; die aanduiding geldt niet voor elke bewering in het document.

Afwezig. De samenvatting van één regel in het archief van dit record zegt dat het rapport documenteert dat Claude "voor het eerst" werd gebruikt voor triage van slachtoffers en het genereren van ransomware-kopieën. Geen van beide komt voor in de aangehaalde bronnen. Het woord "ransomware" staat niet in de PDF van 154 pagina's en ook niet op de webpagina van het rapport, en "triage" evenmin. De afpersing die het rapport beschrijft is pay-or-leak met gestolen gegevens, niet versleuteling; het enige gebruik van het woord "ransom" verwijst naar de technologieprovider wiens gestolen bestanden openbaar werden tentoongesteld om betaling af te dwingen. Beschouw die twee beweringen als niet ondersteund door de bronnen die dit record aanhaalt. De 300.000 identiteitsrecords daarentegen worden vermeld in de eigen GTG-20006-sectie van het rapport.

Wat Anthropic zegt dat het heeft gedaan, en wat het niet heeft bekendgemaakt

Voor elk geval geeft het rapport een variant van dezelfde reactie: accounts verbannen, extra detectie ingezet, inlichtingen gedeeld met "autoriteiten en industriepartners, waar passend", en waarborgen versterkt op basis van wat is geleerd. De distillatiesectie voegt technische maatregelen toe tegen de techniek voor het herspelen van redeneersignaturen die werd gebruikt om redeneersporen uit Claude te halen.

Wat niet wordt onthuld, is bijna even consistent: hoeveel accounts werden verbannen, wanneer elke operatie werd verstoord ten opzichte van wanneer die begon, welke autoriteiten welke inlichtingen ontvingen, en hoe de actoren in de eerste plaats werden gedetecteerd. Die weglatingen zijn gebruikelijk voor een leveranciersrapport, en ze zijn ook de reden waarom het document niet van buitenaf kan worden geaudit.

De beleidskwestie is door anderen aan de orde gesteld. Een onderzoeksnotitie van de Cloud Security Alliance die na het rapport is gepubliceerd, betoogt dat het "geen verwijzing bevat naar de EU AI Act, het AI Office of Artikel 55", en vraagt zich af of opzettelijk misbruik door derden überhaupt binnen de definitie van "ernstig incident" in Artikel 55 valt, die is opgesteld rond modelstoringen in plaats van gedrag van aanvallers. De notitie geeft toe dat meldingen op grond van Artikel 55 niet openbaar zijn, dus stilte is geen bewijs dat er geen melding is gedaan, en stelt dat de enige bevestigde melding onder het regime op dat moment die van OpenAI was, rond 7 september 2026.

Hoe je de getallen leest

Twee dingen maken de cijfers in het rapport makkelijker te gebruiken. Het eerste is schade gescheiden te houden van autonomie: Anthropic meldt dat verscheidene van zijn ernstigste compromitteringen voortkwamen uit operaties waarbij een mens elke stap aanstuurde, dus een geval met lage autonomie is geen geval met lage ernst. Het tweede is de cijfers te lezen als een telling van wat één leverancier kon zien. De 300.000 identiteitsgegevens, de 2.100 tokensets en de 140.000 gegevens over politieke opvattingen werden allemaal geproduceerd door het bedrijf dat misbruik van zijn eigen product beschreef, en de actoren die nooit werden gedetecteerd, komen in geen ervan voor.