Claude w łańcuchu intruzji: raport Anthropic o zagrożeniach z września 2026 r.

Anthropic opublikował swój czwarty raport z zakresu threat intelligence, Wykrywanie i przeciwdziałanie nadużyciom AI: wrzesień 2026, 10 września 2026 r. 154-stronicowy dokument obejmuje działalność, którą jego zespół Threat Intelligence zakłócił w okresie od grudnia 2025 do sierpnia 2026 r., a jego najbardziej konkretna liczba dotycząca szkód mieści się w jednym akapicie: podmiot prowadzący działalność szpiegowską, który Anthropic śledzi jako GTG-20006 i którego przypisanie raport określa jako „spójne z publicznymi doniesieniami łączącymi ten podmiot z Midnight Blizzard”, wykradł dane uwierzytelniające do VPN od północnoafrykańskiego organu ds. technologii rządowych, przejął jego centralny serwer kont, po czym wyniósł ponad 300 000 krajowych rekordów tożsamości oraz dane z rejestru handlowego ponad pół miliona firm. Wpis archiwalny dotyczący tego ujawnienia, wraz z jego oceną pewności i wpisami złożonymi wokół niego, znajduje się w Orca AI Incident Archive.

Raport jest ujawnieniem przez dostawcę nadużyć jego własnego produktu, co określa zarówno jego wartość, jak i ograniczenia. To relacja z pierwszej ręki – telemetria Anthropic, bany kont nakładane przez Anthropic, oceny Anthropic dotyczące tego, kto był po drugiej stronie – a żaden zewnętrzny audytor nie zweryfikował jego liczb. Dalsza część tego tekstu rozdziela cztery kwestie: to, co raport twierdzi, że zaobserwował; to, co jedynie przypisuje; to, co jest sporne; oraz to, co streszczenie archiwum twierdzi, że dokument zawiera, a czego w nim nie ma.

Co zostało opublikowane i czego dotyczy

Wykrywanie i przeciwdziałanie nadużywaniu AI: wrzesień 2026 ma datę 10 września 2026 r. na okładce i liczy 154 strony, a w wielu przypadkach zawiera listy wskaźników kompromitacji. Następuje po wcześniejszych raportach Anthropic z marca, sierpnia i listopada 2025 r. i obejmuje siedem obszarów szkód: operacje cybernetyczne, operacje wpływu, inwigilację, broń konwencjonalną, niewłaściwe wykorzystanie w biologii, oszustwa i wyłudzenia oraz nielegalną destylację modeli.

Zaangażowane modele to Claude Haiku, Claude Sonnet i Claude Opus. Anthropic podaje, że żaden z przypadków nadużycia nie dotyczył modeli Claude Fable ani modeli klasy Claude Mythos, z wyjątkiem jednego przypadku nielegalnej destylacji. Sprawcy obejmują „podejrzewane o sponsorowanie przez państwo grupy, przestępców kierujących się motywacją finansową, komercyjnych dostawców oprogramowania szpiegującego, państwowe instytucje propagandowe oraz osoby kierujące się motywacjami politycznymi”.

Studia przypadków zawierają wewnętrzne etykiety — oznaczenia GTG, które raport definiuje jako „wewnętrzne oznaczenia Anthropic dla podmiotów zaobserwowanych przy nadużywaniu AI”. Są to konwencje nazewnicze, a nie ustalenia prawne, i są jedynym identyfikatorem, jakim dysponuje większość tych podmiotów.

Analityczne twierdzenie Anthropic jest węższe niż liczba przypadków: że AI „zniwelowała lukę w pracy i narzędziach” między operacjami państwowymi a indywidualnymi operatorami oraz że „zaawansowanie przestało być wiarygodnym sygnałem tego, kto stoi za operacją”. Raport mierzy to, co nazywa uplift — szybkość, skalę i głębokość — i do własnych studiów przypadków dodaje dwa zastrzeżenia: ludzie „zachowali decyzje, które są dla nich najważniejsze”, w tym wybór celów i sposób monetyzacji skradzionych danych, a „autonomia i szkoda to odrębne osie”.

300 000 rekordów tożsamości: GTG-20006

GTG-20006 to sprawa oznaczona numerem rekordu. Anthropic opisuje rosyjskojęzycznego operatora posługującego się pseudonimem „JackPoterz” i twierdzi, że jego atrybucja jest „zgodna z publicznymi doniesieniami łączącymi tego aktora z Midnight Blizzard” — jest to porównanie z atrybucją innych osób, a nie niezależne potwierdzenie, a raport nie mówi, o które doniesienia chodzi.

Incydent, w wyniku którego powstała ta grafika, wymierzony był w północnoafrykańską rządową agencję ds. technologii. Według raportu sprawca ukradł poświadczenia do urządzenia VPN, wykorzystał je do przejęcia centralnego serwera kont organizacji, a stamtąd wykradł „całą jej bazę danych poświadczeń: ponad 300 000 krajowych rekordów tożsamości oraz dane rejestrowe ponad pół miliona firm działających w kraju”. Rekordy należały do organu rządowego, a osoby w nich ujęte nie mają żadnego związku z dostawcą AI opisanym w tej historii.

Szersza kampania tego samego podmiotu objęła „ponad 20 różnych organizacji” — ministerstwa rządowe, organy obrony i wywiadu, ambasady, think tanki oraz firmy przemysłu obronnego, skupione w Ukrainie i Europie, ale obejmujące także Bliski Wschód i agencje morskie w Azji. Wśród szczegółów:

• Hotel Wi-Fi: podmiot naruszył zabezpieczenia co najmniej trzech dostawców usług hotelarskich oferujących Wi-Fi dla gości, a następnie zmodyfikował rekordy DNS tak, aby ruch gości, identyfikatory urządzeń i adresy IP trafiały do serwerów kontrolowanych przez podmiot. Microsoft Threat Intelligence opublikował w lipcu 2026 r. raport na temat tej samej kradzieży i metody dystrybucji pod nazwą CaptiveCrunch, na który powołuje się raport Anthropic.

• WhatsApp: konta ofiar były łączone jako urządzenia towarzyszące przy użyciu przeglądarek headless i open-source’owej biblioteki automatyzacji WPPConnect, przy czym potwierdzenia przeczytania były wyłączone, a rozmowy w języku rosyjskim i ukraińskim masowo eksportowano. W ten sposób zaatakowano co najmniej dwóch byłych wysokich rangą urzędników ukraińskich.

• Drony: skrzynki pocztowe co najmniej dwóch producentów komponentów do dronów zostały masowo wyeksportowane, a kompletny zastrzeżony zestaw narzędzi programistycznych systemu wizyjnego drona został skradziony i poddany inżynierii wstecznej w ciągu kilku dni.

• Unikanie wykrycia: agenci monitorujący obserwowali, czy wdrożone implanty są wykrywane, a gdy były, agenci modyfikowali i przebudowywali złośliwe oprogramowanie, aż przestały być wykrywane.

Wniosek Anthropic płynący z pętli unikania jest taki, że odwraca ona przewagę obrońcy. „AI odwróciło koszty z powrotem na obrońców” – stwierdza raport, ponieważ nowe wykrycie nie kupuje już czasu, gdy zdolny przeciwnik może odbudować się szybciej, niż sygnatura trafi do wdrożenia.

Drugi przypadek powiązany z państwem: GTG-10007

GTG-10007 to drugi przypadek w raporcie z wyraźnym ukazaniem roli państwa, a zarazem bardziej nietypowy. Anthropic opisuje chińskojęzycznych operatorów „prawdopodobnie mieszkających w Changsha w prowincji Hunan w Chinach”, w tym dwóch studentów miejscowego uniwersytetu studiujących inżynierię komputerową i komunikacyjną; jeden odbywał staż w firmie bezpieczeństwa Sangfor i brał udział w rozmowie kwalifikacyjnej w QiAnXin na stanowisko związane z bezpieczeństwem ofensywnym.

Grupa obrała za cel około pięćdziesięciu organizacji w sektorach edukacji, handlu detalicznego, energii, technologii, ochrony zdrowia, finansów, produkcji i administracji publicznej. Anthropic twierdzi, że pozyskała setki megabajtów danych osobowych uczniów z pamięci masowej w chmurze firmy z branży technologii edukacyjnych, dotarła do systemów produkcyjnych detalisty oraz uzyskała dane obywateli — imiona i nazwiska, numery telefonów i adresy domowe — od agencji rządowej w Azji Południowo-Wschodniej.

To, co je wyróżnia, to prace nad podatnościami: stały program badawczy wymierzony w klasę oprogramowania bezpieczeństwa „wdrożonego specjalnie do wykrywania intruzji”, który według Anthropic zaowocował wieloma wcześniej nieznanymi podatnościami zweryfikowanymi przez aktora we własnym laboratorium, działającymi exploitami dla kilku rodzin urządzeń sieciowych i bezpieczeństwa oraz „ponad tuzinem możliwych ustaleń zero-day w ciągu jednego miesiąca” z jednego stale iterującego przepływu pracy. Osobna flota trzynastu agentów zbierających dane działała według harmonogramu wobec publicznych materiałów wojskowych i rządowych, bez udziału człowieka w pętli.

Anthropic nie podaje nazw produktów bezpieczeństwa, podatności ani agencji rządowej, a raport nie wiąże swoich ustaleń z żadnym opublikowanym identyfikatorem CVE.

Przestępcza strona: kradzież danych i klucze API jako łup

Sekcja dotycząca cyberbezpieczeństwa nie dotyczy wyłącznie szpiegostwa. Spośród kilku klastrów o motywacji finansowej największy przypisuje się operatorom, których Anthropic opisuje jako podejrzewanych członków kolektywu ShinyHunters, śledzonym pod oznaczeniem GTG-50014. Raport podaje ich skalę wprost:

• Potok poświadczeń jednego operatora masowo pobrał 1,8 miliona unikalnych plików APK na Androida, zdekompilował je i przeskanował w poszukiwaniu zakodowanych na stałe sekretów, kierując zweryfikowane wyniki do grupy na Telegramie zorganizowanej według ponad 100 typów sekretów.

• Jeden partner afiliacyjny ujawnił ponad 2100 zestawów tokenów Azure AD obejmujących ponad 40 dzierżaw korporacyjnych w ciągu około 34 godzin, po tym jak włamał się do dostawcy SaaS i dotarł do około 200 jego organizacji klientów końcowych.

• Jedno naruszenie u dostawcy technologii przyniosło ponad terabajt danych, w tym setki tysięcy krajowych numerów identyfikacyjnych i miliony rekordów kart płatniczych, umieszczonych na publicznej stronie internetowej „w celu wywarcia presji na ofiarę, by zapłaciła okup”.

• W pewnej linii lotniczej napastnicy dotarli do systemów przechowujących dziesiątki milionów rekordów pasażerów; w firmie energetycznej twierdzili, że mogą zdalnie kontrolować prąd ładowania domowych ładowarek pojazdów elektrycznych klientów.

GTG-50029, pojedynczy francuskojęzyczny haktywista, dotarł do co najmniej 14 z 42 śledzonych europejskich celów politycznych, medialnych i think-tanków, wyeksfiltrował szacunkowo od 12 do 26 GB zrzutów baz danych i pozyskał około 140 000 rekordów obejmujących poglądy polityczne użytkowników — jednocześnie budując platformę do doxxingu wypełnioną dziesiątkami milionów wierszy naruszonych danych.

Wątek przewijający się przez sprawy finansowe jest taki, że sam dostęp do AI stał się łupem. Operatorzy kradli klucze API Anthropic ze środowisk klientów i uruchamiali własne obciążenia atakujące cudzym kosztem — co raport określa jako zastosowanie podejścia „living off the land” do AI. Anthropic jasno określa granicę: „W każdym przypadku zaangażowane klucze API zostały skradzione ze środowisk klientów Anthropic. Własne systemy Anthropic nie zostały naruszone przez tego aktora”. GTG-50020, rosyjskojęzyczna grupa, która przeniosła się z włamań związanych z rezerwacjami hotelowymi do branży AI, zaatakowała około trzydziestu firm AI w ciągu mniej więcej czterech dni; jej deklarowanym celem był dostęp do niewydanego jeszcze modelu Claude, a według raportu „aktor nigdy nie uzyskał dostępu”.

Ustalony, przypisany, kwestionowany, nieobecny

Potwierdzone. Raport istnieje, jest datowany na 10 września 2026 r. i liczy 154 strony. Jego opisy naruszeń, listy wskaźników i działania banujące są relacją własną Anthropic, a niezależne media — The Next Web w dniu publikacji, Digital Watch Observatory oraz notatki badawcze Cloud Security Alliance — opisują ten sam dokument, te same siedem obszarów szkód i te same szczegóły GTG-20006. Żadne medium nie opublikowało własnej rekonstrukcji kryminalistycznej północnoafrykańskiego naruszenia, więc liczba 300 000 opiera się na telemetrii jednej firmy.

Przypisane. Powiązanie z państwem to ocena Anthropic, opatrzona zastrzeżeniem w jej własnym tekście: „spójne z publicznymi doniesieniami wiążącymi tego aktora z Midnight Blizzard”. Lokalizacja w Changsha, historia zatrudnienia studentów oraz przedstawianie chińskojęzycznych spraw jako związanych z państwem również stanowią charakterystykę Anthropic, a nie rządową atrybucję. Relacja The Next Web cytuje Jacoba Kleina, szefa ds. wywiadu zagrożeń w Anthropic, z wywiadów dla Axios i The New York Times, ale nie zawiera żadnego zewnętrznego eksperta oceniającego te liczby.

Sporne. Sekcja dotycząca destylacji to jedyne miejsce, w którym oskarżona strona odpowiedziała. Anthropic twierdzi, że wykrył „dodatkowe ataki destylacyjne wymierzone w Claude ze strony siedmiu laboratoriów z siedzibą w Chinach”, i opisuje między innymi Moonshot AI przekazujące prawie 300 000 żądań klientów do Anthropic w ciągu dziesięciu dni za pośrednictwem 5 380 fałszywych kont. Pekin odrzucił powiązane amerykańskie twierdzenia dotyczące destylacji, poinformował The Next Web. Wpis archiwalny oznacza ten incydent jako niekwestionowany; ta flaga nie obejmuje każdego zarzutu zawartego w dokumencie.

Nieobecne. Jednolinijkowe podsumowanie tego rekordu w archiwum mówi, że raport dokumentuje użycie modelu Claude „po raz pierwszy” do triage'u ofiar i generowania treści ransomware. Żadne z tych twierdzeń nie występuje w cytowanych źródłach. Słowo „ransomware” nie występuje w 154-stronicowym pliku PDF ani na stronie internetowej raportu, podobnie jak „triage”. Opisywany w raporcie szantaż to pay-or-leak dotyczący skradzionych danych, a nie szyfrowanie; jedyne użycie słowa „ransom” odnosi się do dostawcy technologii, którego skradzione pliki wystawiono publicznie, aby wymusić zapłatę. Te dwa twierdzenia należy uznać za niepoparte źródłami, na które powołuje się ten rekord. Natomiast 300 000 rekordów tożsamości podano we własnej sekcji GTG-20006 raportu.

Co Anthropic twierdzi, że zrobił, a czego nie ujawnił

W każdym przypadku raport podaje wariant tej samej reakcji: zbanowane konta, wdrożone dodatkowe mechanizmy wykrywania, udostępnione informacje wywiadowcze „właściwym organom i partnerom branżowym, w stosownych przypadkach” oraz wzmocnione zabezpieczenia w oparciu o to, czego się nauczono. Sekcja dotycząca destylacji dodaje środki techniczne przeciwko technice odtwarzania sygnatur rozumowania wykorzystywanej do wydobywania śladów rozumowania z Claude'a.

To, co nie zostało ujawnione, jest niemal równie spójne: ile kont zbanowano, kiedy każdą operację zakłócono w stosunku do momentu jej rozpoczęcia, które organy otrzymały jakie informacje wywiadowcze i jak w ogóle wykryto sprawców. Te pominięcia są zwyczajowe w raporcie dostawcy i są też powodem, dla którego dokumentu nie można zaudytować z zewnątrz.

Inni podnieśli już kwestię polityki. Nota badawcza Cloud Security Alliance opublikowana po raporcie argumentuje, że raport nie zawiera „żadnych odniesień do EU AI Act, AI Office ani art. 55”, i pyta, czy celowe niewłaściwe wykorzystanie przez osoby trzecie w ogóle mieści się w definicji „poważnego incydentu” z art. 55, którą opracowano pod kątem awarii modelu, a nie zachowania atakującego. Nota przyznaje, że zgłoszenia na podstawie art. 55 nie są publiczne, więc milczenie nie jest dowodem, że nie dokonano żadnego zgłoszenia, i stwierdza, że jedynym potwierdzonym zgłoszeniem w ramach tego reżimu w tamtym momencie było zgłoszenie OpenAI, około 7 września 2026 r.

Jak odczytywać liczby

Dwie rzeczy ułatwiają korzystanie z liczb w raporcie. Po pierwsze, trzeba oddzielić szkodę od autonomii: Anthropic podaje, że kilka z jej najpoważniejszych naruszeń wynikało z operacji, w których człowiek kierował każdym krokiem, więc przypadek o niskiej autonomii nie jest mało poważny. Po drugie, należy odczytywać te liczby jako zliczenie tego, co mógł zobaczyć jeden dostawca. 300,000 rekordów tożsamości, 2,100 zestawów tokenów i 140,000 rekordów opinii politycznych powstało w ramach opisu firmy dotyczącego nadużyć jej własnego produktu, a sprawcy, których nigdy nie wykryto, nie pojawiają się w żadnym z nich.