Claude внутри цепочки вторжения: отчет Anthropic об угрозах за сентябрь 2026 года

Anthropic опубликовала свой четвертый отчет по киберразведке под названием «Обнаружение и противодействие неправомерному использованию ИИ: сентябрь 2026 года» от 10 сентября 2026 года. Документ объемом 154 страницы охватывает деятельность, которую ее команда Threat Intelligence пресекла в период с декабря 2025 года по август 2026 года, а самая конкретная цифра ущерба умещается в одном абзаце: шпионский субъект, которого Anthropic отслеживает как GTG-20006 и чью атрибуцию отчет называет «согласующейся с публичными сообщениями, связывающими этого субъекта с Midnight Blizzard», похитил VPN-учетные данные у североафриканского государственного технологического ведомства, захватил его центральный сервер учетных записей и вынес более 300 000 записей национальных удостоверений личности и данные коммерческого реестра более чем полумиллиона компаний. Архивная запись об этом раскрытии вместе с ее степенью уверенности и записями, зарегистрированными вокруг нее, хранится в Orca AI Incident Archive.

Этот отчёт — раскрытие вендором злоупотребления собственным продуктом, что одновременно определяет его ценность и его ограничения. Это рассказ из первых рук — телеметрия Anthropic, блокировки учётных записей Anthropic, суждения Anthropic о том, кто был на другой стороне, — и ни один внешний аудитор не проверял его цифры. Остальная часть этого материала разделяет четыре вещи: что отчёт, по его утверждению, наблюдал, что он только приписывает, что оспаривается, и что резюме архива приписывает документу, хотя в документе этого нет.

Что было опубликовано и что оно охватывает

Обнаружение и противодействие злоупотреблению ИИ: сентябрь 2026 г. датирован 10 сентября 2026 года на обложке и насчитывает 154 страницы, включая списки индикаторов компрометации для многих случаев. Он продолжает более ранние отчеты Anthropic в марте, августе и ноябре 2025 года и охватывает семь областей вреда: кибероперации, операции влияния, наблюдение, обычные вооружения, биологическое злоупотребление, мошенничество и аферы, а также незаконная дистилляция.

В инцидентах участвовали модели Claude Haiku, Claude Sonnet и Claude Opus. Anthropic заявляет, что ни один из случаев злоупотребления не затрагивал Claude Fable или модели класса Claude Mythos, за исключением одного случая незаконной дистилляции. Круг действующих лиц варьируется от «подозреваемых спонсируемых государством групп, финансово мотивированных преступников, коммерческих поставщиков шпионского ПО, государственных пропагандистских институтов и политически мотивированных лиц».

В тематических исследованиях используются внутренние обозначения — дескрипторы GTG, которые в отчёте определяются как «внутренние обозначения Anthropic для субъектов, замеченных в злоупотреблении ИИ». Это соглашения об именовании, а не юридические выводы, и это единственный идентификатор, который есть у большинства таких субъектов.

Аналитическое утверждение Anthropic уже, чем количество случаев: что ИИ «ликвидировал разрыв в рабочей силе и инструментарии» между государственными операциями и отдельными операторами и что «изощрённость перестала быть надёжным признаком того, кто стоит за операцией». В отчёте измеряется то, что в нём называется uplift — скорость, масштаб и глубина — и к собственным кейсам прилагаются две оговорки: люди «сохранили за собой решения, которые имеют для них наибольшее значение», включая выбор целей и способы монетизации украденных данных, а «автономность и вред — это отдельные оси».

300 000 идентификационных записей: GTG-20006

{{1}}GTG-20006{{/1}} — это кейс, который содержит номер записи. Anthropic описывает русскоязычного оператора, использующего псевдоним «JackPoterz», и утверждает, что его атрибуция «согласуется с публичными сообщениями, связывающими этого субъекта с Midnight Blizzard», — это сравнение с атрибуцией других, а не независимое подтверждение, и в отчёте не указано, о каких именно сообщениях идёт речь.

Вторжение, в результате которого появилась эта цифра, было направлено на государственный технологический орган Северной Африки. Согласно отчету, злоумышленник похитил учетные данные к VPN-устройству, использовал их, чтобы захватить центральный сервер учетных записей организации, и оттуда выкрал «полную базу учетных данных: более 300 000 записей национальных удостоверений личности и данные коммерческого реестра более чем полумиллиона компаний, работающих в стране». Эти записи принадлежали государственному органу, и люди, фигурирующие в них, не имеют отношения к поставщику ИИ в этой истории.

Более широкая кампания того же актора затронула «более 20 различных организаций» — государственные министерства, оборонные и разведывательные структуры, посольства, аналитические центры и оборонно-промышленные компании, сосредоточенные в Украине и Европе, но распространяющиеся на Ближний Восток и на морские ведомства в Азии. Среди конкретных примеров:

• Wi-Fi в отелях: злоумышленник скомпрометировал как минимум три компании в сфере гостеприимства, предоставляющие гостевой Wi-Fi, а затем изменил записи DNS так, чтобы гостевой трафик, идентификаторы устройств и IP-адреса направлялись на серверы, контролируемые злоумышленником. Microsoft Threat Intelligence опубликовала в июле 2026 года отчет об этой же краже и методе доставки под названием CaptiveCrunch, на который ссылается отчет Anthropic.

• WhatsApp: аккаунты жертв привязывались как сопутствующие устройства с помощью headless-браузеров и открытой библиотеки автоматизации WPPConnect; уведомления о прочтении отключались, а русско- и украиноязычные переписки массово выгружались. Таким образом были атакованы как минимум два бывших высокопоставленных украинских чиновника.

• Дроны: почтовые ящики как минимум двух производителей компонентов для дронов были массово выгружены, а полный проприетарный комплект для разработки программного обеспечения системы компьютерного зрения дрона был украден и подвергнут обратной разработке за несколько дней.

• Уклонение: агенты мониторинга следили за тем, обнаруживаются ли развернутые импланты, и если их обнаруживали, агенты изменяли и пересобирали вредоносное ПО до тех пор, пока их не переставали обнаруживать.

Вывод Anthropic из цикла уклонения состоит в том, что он переворачивает преимущество защитника. «ИИ переложил издержки обратно на защитников», — говорится в отчёте, поскольку новое обнаружение больше не выигрывает время, когда способный противник может восстановиться быстрее, чем поставляется сигнатура.

Второй случай, связанный с государством: GTG-10007

GTG-10007 — другой случай в отчёте с явной государственной атрибуцией и более необычный. Anthropic описывает китайскоязычных операторов, «вероятно, проживающих в Чанше в китайской провинции Хунань», включая двух студентов местного университета, изучающих компьютерную и коммуникационную инженерию; один проходил стажировку в компании по кибербезопасности Sangfor и проходил собеседование в QiAnXin на должность в сфере наступательной безопасности.

Группа нацелилась примерно на пятьдесят организаций в сферах образования, розничной торговли, энергетики, технологий, здравоохранения, финансов, производства и государственного управления. Anthropic сообщает, что она извлекла сотни мегабайт личных данных студентов из облачного хранилища образовательной технологической компании, получила доступ к производственным системам ритейлера и получила записи о гражданах — имена, номера телефонов и домашние адреса — из государственного учреждения в Юго-Восточной Азии.

Отличает его работа по уязвимостям: постоянная исследовательская программа, нацеленная на класс защитного ПО, «развёрнутого специально для обнаружения вторжений», которая, по словам Anthropic, выявила множество ранее неизвестных уязвимостей, подтверждённых субъектом в собственной лаборатории, рабочие эксплойты для нескольких семейств сетевых устройств и устройств безопасности, а также «более десятка возможных находок нулевого дня за один месяц» в рамках одного непрерывно итерируемого рабочего процесса. Отдельный флот из тринадцати агентов сбора данных работал по расписанию против открытых военных и правительственных материалов без участия человека.

Anthropic не называет ни продукты безопасности, ни уязвимости, ни государственное ведомство, а отчёт не связывает свои выводы ни с одним опубликованным идентификатором CVE.

Криминальная половина: кража данных и API-ключи в качестве полезной нагрузки

Раздел о киберугрозах посвящён не только шпионажу. Из нескольких кластеров, действующих по финансовым мотивам, крупнейший приписывается операторам, которых Anthropic описывает как предполагаемых членов коллектива ShinyHunters и отслеживает под обозначением GTG-50014. В отчёте прямо указан их масштаб:

• Один конвейер учётных данных оператора массово скачал 1,8 млн различных Android APK, декомпилировал их и просканировал на наличие жёстко закодированных секретов, направляя подтверждённые находки в группу Telegram, структурированную по более чем 100 типам секретов.

• Один аффилиат слил более 2 100 наборов токенов Azure AD, охватывающих более 40 корпоративных тенантов, примерно за 34 часа после взлома поставщика SaaS и получения доступа примерно к 200 его нижестоящим организациям-клиентам.

• Одна компрометация технологического провайдера принесла более терабайта данных, включая сотни тысяч национальных идентификаторов и миллионы записей платёжных карт, размещённых на публичном веб-сайте, «чтобы оказать давление на жертву и вынудить её заплатить выкуп».

• В авиакомпании злоумышленники получили доступ к системам, в которых хранились десятки миллионов записей о пассажирах; в энергетической компании они утверждали, что могут удалённо управлять зарядным током домашних зарядных станций для электромобилей клиентов.

GTG-50029, один франкоязычный хактивист, получил доступ как минимум к 14 из 42 отслеживаемых европейских целей в сфере политики, СМИ и аналитических центров, вывел предположительно от 12 до 26 ГБ дампов баз данных и похитил примерно 140 000 записей, включавших политические взгляды пользователей, — параллельно создавая платформу для доксинга, загруженную десятками миллионов строк утёкших данных.

Сквозная тема финансовых дел такова: сам доступ к ИИ стал добычей. Операторы крали API-ключи Anthropic из сред клиентов и запускали собственные атакующие нагрузки за чужой счёт — то, что отчёт называет применением «living off the land» к ИИ. Anthropic чётко обозначает границу: «Во всех случаях участвовавшие API-ключи были украдены из сред клиентов Anthropic. Собственные системы Anthropic не были скомпрометированы этим субъектом». GTG-50020 — русскоязычная группа, перешедшая от вторжений в системы бронирования отелей к индустрии ИИ, — атаковала примерно тридцать ИИ-компаний примерно за четыре дня; её заявленной целью был доступ к предрелизной модели Claude, и, согласно отчёту, «субъект так и не получил доступ».

Установленный, приписываемый, оспариваемый, отсутствующий

Установлено. Доклад существует, датирован 10 сентября 2026 года и насчитывает 154 страницы. Его описания вторжений, списки индикаторов и меры по блокировке — это собственный отчёт самой Anthropic, а независимые издания — The Next Web в день публикации, Digital Watch Observatory и исследовательские заметки Cloud Security Alliance — описывают тот же документ, те же семь областей вреда и те же сведения GTG-20006. Ни одно издание не опубликовало собственную криминалистическую реконструкцию североафриканского вторжения, поэтому цифра 300 000 опирается на телеметрию одной компании.

Атрибутировано. Связь с государством — это оценка Anthropic, с оговоркой в её собственном тексте: «согласуется с публичными сообщениями, связывающими данного субъекта с Midnight Blizzard». Указание на Чанша, история трудоустройства студентов и государственная трактовка материалов на китайском языке также являются характеристикой Anthropic, а не атрибуцией со стороны правительства. В материале The Next Web цитируется руководитель отдела киберразведки Anthropic Джейкоб Клайн в интервью Axios и The New York Times, но не приводится оценка этих цифр ни одним внешним экспертом.

Оспаривается. Раздел о дистилляции — единственное место, где обвиняемая сторона дала ответ. Anthropic утверждает, что обнаружила «дополнительные атаки дистилляции против Claude со стороны семи лабораторий, базирующихся в Китае», и, среди прочего, описывает, как Moonshot AI перенаправляла почти 300 000 клиентских запросов в Anthropic в течение десяти дней через 5 380 мошеннических аккаунтов. Пекин отверг связанные с этим американские заявления о дистилляции, сообщил The Next Web. В архивной записи этот инцидент помечен как неоспариваемый; этот флаг не распространяется на каждое утверждение внутри документа.

Отсутствует. В однострочном резюме этой записи в архиве сказано, что в отчёте документируется использование Claude «впервые» для триажа пострадавших и генерации копий программ-вымогателей. Ни то, ни другое не фигурирует в цитируемых источниках. Слово «ransomware» не встречается ни в 154-страничном PDF, ни на веб-странице отчёта, как и слово «triage». Описываемое в отчёте вымогательство — это схема «заплати или утечка» в отношении украденных данных, а не шифрование; единственное употребление слова «ransom» относится к технологическому провайдеру, чьи украденные файлы были публично выставлены, чтобы вынудить к оплате. Считайте эти два утверждения не подтверждёнными источниками, на которые ссылается эта запись. При этом 300 000 записей об идентификационных данных указаны в собственном разделе GTG-20006 отчёта.

Что, по словам Anthropic, она сделала и что не раскрыла

Для каждого случая в отчёте приводится вариант одного и того же ответа: аккаунты заблокированы, развёрнуты дополнительные средства обнаружения, информация передана «властям и отраслевым партнёрам, где это уместно», а меры защиты усилены с учётом полученных уроков. В разделе о дистилляции добавляются технические меры против техники воспроизведения подписи рассуждений, использовавшейся для извлечения трассировок рассуждений из Claude.

То, что не раскрывается, почти так же последовательно: сколько учётных записей было заблокировано, когда каждую операцию прервали по отношению к моменту её начала, какие ведомства получили какие разведданные и как этих акторов вообще обнаружили. Такие умолчания обычны для отчёта поставщика, и они же являются причиной, по которой документ невозможно проверить извне.

Вопрос о политике был поднят другими. Исследовательская заметка Cloud Security Alliance, опубликованная после доклада, утверждает, что в нем «нет упоминаний Закона ЕС об ИИ, Офиса по ИИ или статьи 55», и задается вопросом, подпадает ли умышленное злоупотребление со стороны третьих лиц вообще под определение «серьезного инцидента» в статье 55, которое разрабатывалось с расчетом на сбой модели, а не на поведение атакующего. В заметке признается, что уведомления по статье 55 не являются публичными, поэтому молчание не доказывает, что уведомление не подавалось, и говорится, что единственным подтвержденным уведомлением в рамках этого режима на тот момент было уведомление OpenAI, около 7 сентября 2026 года.

Как читать числа

Две вещи упрощают использование цифр из отчёта. Первая — отделять вред от автономности: Anthropic сообщает, что несколько наиболее серьёзных компрометаций произошли в ходе операций, где человек управлял каждым шагом, поэтому случай с низкой автономностью не является случаем низкой серьёзности. Вторая — воспринимать эти цифры как подсчёт того, что мог увидеть один поставщик. Все эти 300 000 записей идентификационных данных, 2 100 наборов токенов и 140 000 записей политических мнений были подготовлены компанией, описывающей злоупотребление своим собственным продуктом, а субъекты, которых так и не обнаружили, не фигурируют ни в одном из них.