Claude trong chuỗi xâm nhập: Báo cáo mối đe dọa tháng 9 năm 2026 của Anthropic

Anthropic đã công bố báo cáo tình báo mối đe dọa thứ tư của mình, Phát hiện và đối phó với việc lạm dụng AI: tháng 9 năm 2026, vào ngày 10 tháng 9 năm 2026. Tài liệu dài 154 trang bao quát hoạt động mà nhóm Tình báo mối đe dọa của mình đã ngăn chặn từ tháng 12 năm 2025 đến tháng 8 năm 2026, và con số tác hại cụ thể nhất của báo cáo nằm gọn trong một đoạn văn: một chủ thể gián điệp mà Anthropic theo dõi với mã GTG-20006, được báo cáo nhận định việc quy kết là "phù hợp với các báo cáo công khai liên kết chủ thể này với Midnight Blizzard", đã đánh cắp thông tin đăng nhập VPN từ một cơ quan công nghệ thuộc chính phủ Bắc Phi, chiếm quyền kiểm soát máy chủ tài khoản trung tâm của cơ quan này và lấy đi hơn 300.000 hồ sơ danh tính quốc gia cùng dữ liệu đăng ký kinh doanh của hơn nửa triệu công ty. Bản ghi lưu trữ về công bố này, cùng với cấp độ tin cậy và các mục được lưu xung quanh nó, được lưu giữ trong Orca AI Incident Archive.

Báo cáo do một nhà cung cấp công bố, tiết lộ việc sản phẩm của chính họ bị lạm dụng; điều này vừa quy định giá trị vừa đặt ra giới hạn của báo cáo. Đây là lời kể từ phía thứ nhất — dữ liệu telemetry của Anthropic, các lệnh cấm tài khoản của Anthropic, những đánh giá của Anthropic về việc ai ở đầu bên kia — và chưa có kiểm toán viên bên ngoài nào kiểm tra các con số của báo cáo. Phần còn lại của bài viết này tách bạch bốn điều: những gì báo cáo nói rằng đã quan sát được, những gì báo cáo chỉ quy cho, những gì còn tranh cãi, và những gì bản tóm tắt của kho lưu trữ khẳng định mà tài liệu không hề chứa.

Đã công bố những gì và nội dung bao gồm những gì

Phát hiện và đối phó với việc lạm dụng AI: tháng 9 năm 2026 có ghi ngày 10 tháng 9 năm 2026 trên bìa và dài 154 trang, kèm danh sách các chỉ báo xâm phạm cho nhiều trường hợp. Báo cáo này tiếp nối các báo cáo trước đó của Anthropic vào tháng 3, tháng 8 và tháng 11 năm 2025, đồng thời bao quát bảy lĩnh vực gây hại: hoạt động mạng, hoạt động gây ảnh hưởng, giám sát, vũ khí thông thường, lạm dụng sinh học, lừa đảo và gian lận, và chưng cất bất hợp pháp.

Các mô hình liên quan là Claude Haiku, Claude Sonnet và Claude Opus. Anthropic cho biết không có trường hợp lạm dụng nào liên quan đến các mô hình thuộc lớp Claude Fable hoặc Claude Mythos, ngoại trừ một trường hợp chưng cất mô hình trái phép. Các chủ thể trải rộng từ "các nhóm bị nghi do nhà nước bảo trợ, tội phạm có động cơ tài chính, nhà cung cấp phần mềm gián điệp thương mại, các tổ chức tuyên truyền nhà nước, đến các cá nhân có động cơ chính trị".

Các nghiên cứu điển hình mang nhãn nội bộ — các chỉ định GTG, mà báo cáo định nghĩa là "các chỉ định nội bộ của Anthropic cho những tác nhân được quan sát là đang lạm dụng AI". Chúng là quy ước đặt tên, không phải các kết luận pháp lý, và chúng là cách nhận diện duy nhất mà hầu hết các tác nhân này có.

Luận điểm phân tích của Anthropic hẹp hơn số lượng các vụ việc: rằng AI đã “thu hẹp khoảng cách về lao động và công cụ” giữa các hoạt động của nhà nước và những cá nhân vận hành, và rằng “mức độ tinh vi đã không còn là tín hiệu đáng tin cậy để biết ai đứng sau một chiến dịch”. Báo cáo đo lường cái mà nó gọi là năng lực gia tăng — tốc độ, quy mô và độ sâu — và đưa ra hai lưu ý đối với các nghiên cứu điển hình của chính mình: con người “vẫn nắm giữ những quyết định quan trọng nhất đối với họ”, bao gồm việc lựa chọn mục tiêu và cách dữ liệu bị đánh cắp được kiếm lợi, và “tính tự chủ và tác hại là hai trục riêng biệt”.

300.000 hồ sơ danh tính: GTG-20006

GTG-20006 là vụ việc mang số của bản ghi. Anthropic mô tả một đối tượng nói tiếng Nga dùng biệt danh "JackPoterz" và nói rằng quy kết của mình "phù hợp với các báo cáo công khai liên kết tác nhân này với Midnight Blizzard" — một sự so sánh với quy kết của người khác chứ không phải là xác nhận độc lập, và báo cáo không nói rõ đang đề cập đến báo cáo nào.

Vụ xâm nhập tạo ra con số này nhắm vào một cơ quan công nghệ của chính phủ Bắc Phi. Theo báo cáo, kẻ tấn công đã đánh cắp thông tin đăng nhập của một thiết bị VPN, dùng chúng để chiếm quyền điều khiển máy chủ tài khoản trung tâm của tổ chức, và từ đó rút trích "toàn bộ cơ sở dữ liệu thông tin đăng nhập của mình: hơn 300.000 hồ sơ danh tính quốc gia và dữ liệu đăng ký kinh doanh của hơn nửa triệu công ty hoạt động trong nước". Các hồ sơ này thuộc về một cơ quan chính phủ, và những người có trong đó không có quan hệ gì với nhà cung cấp AI trong câu chuyện này.

Chiến dịch mở rộng hơn của cùng chủ thể này đã chạm tới “hơn 20 tổ chức riêng biệt” — các bộ của chính phủ, các cơ quan quốc phòng và tình báo, đại sứ quán, các viện nghiên cứu chính sách và các công ty công nghiệp quốc phòng, tập trung ở Ukraine và châu Âu nhưng lan sang Trung Đông và các cơ quan hàng hải ở châu Á. Trong số các chi tiết cụ thể:

• Wi-Fi khách sạn: đối tượng tấn công đã xâm phạm ít nhất ba nhà cung cấp dịch vụ khách sạn vận hành Wi-Fi cho khách, sau đó chỉnh sửa bản ghi DNS để lưu lượng của khách, định danh thiết bị và địa chỉ IP được chuyển đến các máy chủ do đối tượng này kiểm soát. Microsoft Threat Intelligence đã công bố một báo cáo vào tháng 7 năm 2026 về cùng phương thức đánh cắp và phát tán này dưới tên CaptiveCrunch, mà báo cáo của Anthropic có trích dẫn.

• WhatsApp: các tài khoản nạn nhân đã được liên kết dưới dạng thiết bị đồng hành bằng cách sử dụng trình duyệt không giao diện và thư viện tự động hóa mã nguồn mở WPPConnect, với xác nhận đã đọc bị tắt trong khi các cuộc trò chuyện bằng tiếng Nga và tiếng Ukraina bị xuất hàng loạt. Ít nhất hai cựu quan chức cấp cao Ukraina đã bị nhắm mục tiêu theo cách này.

• Máy bay không người lái: hộp thư của ít nhất hai nhà sản xuất linh kiện máy bay không người lái đã bị xuất hàng loạt, và một bộ công cụ phát triển phần mềm độc quyền hoàn chỉnh cho hệ thống thị giác của máy bay không người lái đã bị đánh cắp và bị dịch ngược trong vài ngày.

• Né tránh: các agent giám sát theo dõi xem các implant đã triển khai có bị phát hiện hay không, và khi bị phát hiện, các agent đã sửa đổi và xây dựng lại phần mềm độc hại cho đến khi chúng không còn bị phát hiện nữa.

Kết luận của Anthropic từ vòng lặp né tránh là nó đảo ngược lợi thế của bên phòng thủ. “AI đã đảo ngược chi phí trở lại phía bên phòng thủ,” báo cáo nêu, vì một phát hiện mới không còn giúp mua thêm thời gian khi một đối thủ có năng lực có thể xây dựng lại nhanh hơn tốc độ phát hành chữ ký.

Trường hợp thứ hai có liên quan đến nhà nước: GTG-10007

GTG-10007 là trường hợp còn lại trong báo cáo có cách diễn đạt rõ ràng về yếu tố nhà nước, và là trường hợp bất thường hơn. Anthropic mô tả những người vận hành nói tiếng Trung "có khả năng cư trú tại Trường Sa, tỉnh Hồ Nam, Trung Quốc", bao gồm hai sinh viên đại học tại một trường đại học địa phương đang học kỹ thuật máy tính và truyền thông; một người từng thực tập tại công ty an ninh Sangfor và đang phỏng vấn tại QiAnXin cho một vị trí an ninh tấn công.

Nhóm này đã nhắm mục tiêu vào khoảng năm mươi tổ chức trong các lĩnh vực giáo dục, bán lẻ, năng lượng, công nghệ, y tế, tài chính, sản xuất và chính phủ. Anthropic cho biết nhóm đã trích xuất hàng trăm megabyte dữ liệu cá nhân của sinh viên từ bộ nhớ đám mây của một công ty công nghệ giáo dục, truy cập được vào hệ thống vận hành tại một nhà bán lẻ và lấy được hồ sơ công dân — họ tên, số điện thoại và địa chỉ nhà — từ một cơ quan chính phủ Đông Nam Á.

Điều khiến nó khác biệt là công việc về lỗ hổng bảo mật: một chương trình nghiên cứu thường trực nhắm vào một nhóm phần mềm bảo mật “được triển khai cụ thể để phát hiện xâm nhập”, mà Anthropic cho biết đã tạo ra nhiều lỗ hổng chưa từng được biết đến trước đây được tác nhân xác thực trong phòng thí nghiệm của chính mình, các khai thác hoạt động được cho một số dòng thiết bị mạng và bảo mật, và “hơn một tá phát hiện zero day tiềm năng trong một tháng duy nhất” từ một quy trình làm việc lặp đi lặp lại liên tục. Một nhóm riêng gồm mười ba tác nhân thu thập chạy theo lịch nhắm vào tài liệu công khai của quân đội và chính phủ mà không có con người trong vòng lặp.

Anthropic không nêu tên các sản phẩm bảo mật, các lỗ hổng hay cơ quan chính phủ nào, và báo cáo không gắn các phát hiện của mình với bất kỳ mã định danh CVE nào đã được công bố.

Nửa tội phạm: đánh cắp dữ liệu, và khóa API là tải trọng

Phần mạng không chỉ là gián điệp. Trong số một số cụm tác nhân vì động cơ tài chính, cụm lớn nhất được quy cho những kẻ vận hành mà Anthropic mô tả là những cá nhân bị nghi là thành viên liên kết của tập thể ShinyHunters, được theo dõi với mã GTG-50014. Báo cáo nêu rõ quy mô của họ một cách thẳng thắn:

Quy trình thu thập thông tin xác thực của một đối tượng đã tải hàng loạt 1,8 triệu APK Android riêng biệt, dịch ngược chúng và quét tìm các bí mật được mã hóa cứng, rồi chuyển những phát hiện đã xác minh vào một nhóm Telegram được tổ chức thành hơn 100 loại bí mật.

• Một đối tượng liên kết đã tung ra hơn 2.100 bộ token Azure AD trải rộng trên hơn 40 tenant doanh nghiệp trong khoảng 34 giờ, sau khi xâm phạm một nhà cung cấp SaaS và tiếp cận khoảng 200 tổ chức khách hàng hạ nguồn của nhà cung cấp này.

• Một vụ xâm phạm hệ thống của nhà cung cấp công nghệ đã thu được hơn một terabyte dữ liệu, bao gồm hàng trăm nghìn mã định danh quốc gia và hàng triệu hồ sơ thẻ thanh toán, được đưa lên một trang web công khai “để gây sức ép buộc nạn nhân trả tiền chuộc”.

• Tại một hãng hàng không, các đối tượng đã tiếp cận được những hệ thống chứa hàng chục triệu hồ sơ hành khách; tại một công ty năng lượng, chúng tuyên bố có thể điều khiển từ xa dòng điện sạc của bộ sạc xe điện tại nhà của khách hàng.

GTG-50029, một hacktivist nói tiếng Pháp hoạt động đơn lẻ, đã tiếp cận được ít nhất 14 trong số 42 mục tiêu chính trị, truyền thông và think-tank châu Âu được theo dõi, đánh cắp ước tính 12 đến 26 GB dữ liệu kết xuất cơ sở dữ liệu và lấy đi khoảng 140.000 bản ghi bao gồm quan điểm chính trị của người dùng — đồng thời xây dựng một nền tảng doxxing chứa hàng chục triệu dòng dữ liệu bị xâm phạm.

Điểm xuyên suốt các vụ việc tài chính là việc bản thân quyền truy cập AI đã trở thành chiến lợi phẩm. Những kẻ thực hiện đã đánh cắp khóa API Anthropic từ môi trường của khách hàng và chạy các tác vụ tấn công của riêng mình bằng chi phí của người khác — điều mà báo cáo gọi là áp dụng “living off the land” vào AI. Anthropic nói rõ về ranh giới: “Trong mọi trường hợp, các khóa API liên quan đều bị đánh cắp từ môi trường của khách hàng Anthropic. Hệ thống của chính Anthropic không bị đối tượng này xâm phạm.” GTG-50020, một nhóm nói tiếng Nga chuyển từ xâm nhập hệ thống đặt phòng khách sạn sang ngành AI, đã tấn công khoảng ba mươi công ty AI trong khoảng bốn ngày; mục tiêu được nêu của nhóm là quyền truy cập vào một mô hình Claude chưa phát hành, và theo báo cáo, “đối tượng này chưa bao giờ có được quyền truy cập”.

Đã xác lập, được quy nguồn, còn tranh cãi, vắng mặt

Đã xác nhận. Báo cáo có tồn tại, được ghi ngày 10 tháng 9 năm 2026 và dài 154 trang. Các tường thuật về xâm nhập, danh sách chỉ báo và các hành động cấm trong báo cáo là lời kể trực tiếp của chính Anthropic, và các cơ quan truyền thông độc lập — The Next Web vào ngày công bố, Digital Watch Observatory, cùng các ghi chú nghiên cứu từ Cloud Security Alliance — đều mô tả cùng một tài liệu, cùng bảy lĩnh vực tác hại và cùng các chi tiết GTG-20006. Không có cơ quan báo chí nào công bố bản tái dựng pháp chứng của riêng mình về vụ xâm nhập Bắc Phi, nên con số 300.000 chỉ dựa trên dữ liệu đo từ xa của một công ty.

Được quy kết. Mối liên hệ với nhà nước là đánh giá của Anthropic, được rào đón trong chính văn bản của họ: “phù hợp với các báo cáo công khai liên kết tác nhân này với Midnight Blizzard”. Vị trí Changsha, lịch sử việc làm của các sinh viên và cách mô tả yếu tố nhà nước trong các vụ việc bằng tiếng Trung cũng là sự mô tả của Anthropic, không phải quy kết của chính phủ. Bài đưa tin của The Next Web trích dẫn Jacob Klein, trưởng bộ phận tình báo mối đe dọa của Anthropic, trong các cuộc phỏng vấn với Axios và The New York Times, nhưng không có chuyên gia bên ngoài nào đánh giá các số liệu này.

Có tranh chấp. Phần chưng cất là nơi duy nhất mà một bên bị cáo buộc đã phản hồi. Anthropic cho biết họ phát hiện "các cuộc tấn công chưng cất bổ sung nhắm vào Claude từ bảy phòng thí nghiệm có trụ sở tại Trung Quốc" và mô tả, trong số những trường hợp khác, việc Moonshot AI chuyển tiếp gần 300.000 yêu cầu của khách hàng đến Anthropic trong mười ngày thông qua 5.380 tài khoản gian lận. Bắc Kinh đã bác bỏ các cáo buộc chưng cất liên quan của Mỹ, The Next Web đưa tin. Hồ sơ lưu trữ đánh dấu sự cố này là không có tranh chấp; dấu đánh dấu đó không áp dụng cho mọi cáo buộc bên trong tài liệu.

Không có. Bản tóm tắt một dòng của kho lưu trữ về bản ghi này nói rằng báo cáo ghi lại việc Claude được sử dụng “lần đầu tiên” để phân loại nạn nhân và tạo bản sao ransomware. Cả hai đều không xuất hiện trong các nguồn được trích dẫn. Từ “ransomware” không xuất hiện trong PDF 154 trang hay trên trang web của báo cáo, và “triage” cũng vậy. Hành vi tống tiền mà báo cáo mô tả là trả tiền hoặc rò rỉ dữ liệu bị đánh cắp, không phải mã hóa; lần duy nhất nó dùng từ “ransom” là để chỉ nhà cung cấp công nghệ có các tệp bị đánh cắp đã được đưa lên công khai nhằm buộc phải thanh toán. Hãy coi hai tuyên bố đó là không được các nguồn mà bản ghi này trích dẫn hỗ trợ. Ngược lại, 300.000 bản ghi danh tính được nêu trong chính mục GTG-20006 của báo cáo.

Những gì Anthropic nói rằng họ đã làm, và những gì họ không tiết lộ

Đối với mỗi trường hợp, báo cáo đưa ra một biến thể của cùng một phản hồi: cấm tài khoản, triển khai thêm biện pháp phát hiện, chia sẻ thông tin tình báo với “các cơ quan chức năng và đối tác trong ngành, khi thích hợp”, và tăng cường các biện pháp bảo vệ dựa trên những gì đã học được. Phần chưng cất bổ sung các biện pháp kỹ thuật nhằm chống lại kỹ thuật phát lại chữ ký suy luận được dùng để rút các dấu vết suy luận ra khỏi Claude.

Những gì không được tiết lộ cũng gần như nhất quán: có bao nhiêu tài khoản bị cấm, mỗi hoạt động bị gián đoạn vào thời điểm nào so với khi nó bắt đầu, cơ quan nào nhận được thông tin tình báo nào, và các tác nhân đã bị phát hiện ngay từ đầu bằng cách nào. Những thiếu sót đó là bình thường đối với một báo cáo của nhà cung cấp, và đó cũng là lý do vì sao tài liệu này không thể được kiểm toán từ bên ngoài.

Câu hỏi chính sách đã được những người khác nêu ra. Một ghi chú nghiên cứu của Cloud Security Alliance công bố sau báo cáo lập luận rằng báo cáo "không có bất kỳ đề cập nào đến Đạo luật AI của EU, Văn phòng AI hay Điều 55", và đặt câu hỏi liệu việc lạm dụng có chủ đích của bên thứ ba có thậm chí nằm trong định nghĩa "sự cố nghiêm trọng" của Điều 55 hay không, vốn được soạn thảo xoay quanh việc mô hình trục trặc chứ không phải hành vi của kẻ tấn công. Ghi chú thừa nhận rằng các hồ sơ nộp theo Điều 55 không công khai, nên việc im lặng không phải bằng chứng cho thấy không có hồ sơ nào được nộp, và nó nói rằng hồ sơ nộp duy nhất được xác nhận theo cơ chế này tại thời điểm đó là của OpenAI, vào khoảng ngày 7 tháng 9 năm 2026.

Cách đọc các con số

Hai điều giúp các con số trong báo cáo dễ sử dụng hơn. Điều thứ nhất là tách biệt tác hại khỏi mức độ tự chủ: Anthropic báo cáo rằng một số vụ xâm phạm nghiêm trọng nhất của mình đến từ các hoạt động mà con người chỉ đạo từng bước, vì vậy một ca ít tự chủ không phải là một ca ít nghiêm trọng. Điều thứ hai là đọc các con số như một phép đếm những gì một nhà cung cấp có thể thấy. 300.000 hồ sơ danh tính, 2.100 bộ token và 140.000 hồ sơ quan điểm chính trị đều do công ty tạo ra khi mô tả hành vi lạm dụng sản phẩm của chính mình, và những tác nhân chưa từng bị phát hiện không xuất hiện trong bất kỳ con số nào trong đó.