Az AI-vállalat 2026. szeptemberi Threat Intelligence Report című jelentése feltételezett állami hátterű, bűnözői és kereskedelmi műveletek széles körét ismerteti. Ezekben a szereplők 2025 decembere és 2026 augusztusa között próbálták meg visszaélésszerűen használni a Claude-modelleket.
Az Anthropic szerint a rosszindulatú szereplők már nem csupán technikai tanácsok forrásaként használják a generatív mesterséges intelligenciát. Egyre gyakrabban olyan műveleti rétegként alkalmazzák, amely korlátozott emberi közreműködéssel képes kibertámadásokat koordinálni, ellopott adatokat feldolgozni, infrastruktúrát fenntartani és kártevőket módosítani.
A jelentésben tárgyalt esetek hét területet fednek le:
- kiberműveletek;
- megfigyelés;
- befolyásolási műveletek;
- hagyományos fegyverek fejlesztése;
- potenciálisan veszélyes biológiai kutatás;
- megtévesztés és csalás;
- valamint a modellek képességeinek jogosulatlan kinyerése, vagyis „desztillációja”.
A tevékenységekben Claude Haiku, Sonnet és Opus modelleket használtak. Az Anthropic szerint a jelentésben bemutatott visszaélések egyetlen tiltott modelldesztillációs kampány kivételével sem érintették a vállalat újabb, Fable- vagy Mythos-osztályú rendszereit.
Az Anthropic közölte, hogy azonosította és megzavarta a műveleteket, kitiltotta a hozzájuk kapcsolódó fiókokat, megerősítette észlelési rendszereit, a releváns hírszerzési információkat pedig megosztotta kormányzati hatóságokkal, technológiai vállalatokkal és az érintett szervezetekkel.
A vállalat ugyanakkor arra figyelmeztetett, hogy az incidenseket azért választották ki, mert a vizsgálói által azonosított legsúlyosabb vagy legújszerűbb esetek közé tartoztak. Emiatt nem tekinthetők a Claude általános használatára jellemző mintának.
A megállapítások ennek ellenére az eddigi egyik legegyértelműbb bizonyítékát adják annak, hogy az AI-val támogatott rosszindulatú tevékenység a beszélgetésalapú segítségnyújtástól az automatizált, több szakaszból álló végrehajtás felé fejlődik.
„Az AI alkalmazásából eredő kockázat a cyber kill chain teljes folyamatában egyre hangsúlyosabb, mivel az ellenfelek kevesebb erőforrással, gyorsabban, valamint szélesebb és mélyebb támadási felületen működhetnek” – áll az Anthropic szeptemberi fenyegetésfelderítési jelentésében.
Az AI kezdi bezárni a műveleti visszacsatolási hurkot
Az Anthropic által azonosított legfontosabb fejlemény az AI-val támogatott kiberműveletek növekvő autonómiája volt.
A nagy nyelvi modellek korábbi rosszindulatú felhasználása gyakran viszonylag egyszerű kérésekre korlátozódott: adathalász e-mail megírására, egy üzenet lefordítására, egy sérülékenység elmagyarázására vagy egy kisebb rosszindulatú kódrészlet módosítására. A 2026-ban vizsgált kampányokban azonban a beszámoló szerint a Claude-ot olyan agentic keretrendszerekbe építették, amelyek képesek voltak eszközöket futtatni, értékelni az eredményeket, majd tovább dolgozni az operátor által meghatározott cél elérése érdekében.
Az emberi támadók továbbra is maguk választották ki a célpontokat, és ellenőrizték az érzékeny eredményeket, a döntési pontok közötti munkát azonban egyre nagyobb arányban AI-rendszerek végezték el.
Az Anthropic szerint a jelentésben bemutatott kiberműveletek többsége közvetlen AI-végrehajtást vagy AI-alapú koordinációt alkalmazott. Ezek a munkafolyamatok nem pusztán tanácsokat adtak egy emberi operátornak, hanem felderítést, infrastruktúra-előkészítést, sérülékenység-kihasználást, hitelesítőadat-gyűjtést, oldalirányú mozgást és adatfeldolgozást is végeztek.
Ez alapvető különbség. Egy AI-asszisztens termelékenyebbé tehet egyetlen hackert, egy AI-alapú támadásszervező azonban lehetővé teheti, hogy egyetlen személy olyan műveletet irányítson, amelyhez korábban több különböző szakterület specialistáira lett volna szükség.
A jelentés szerint ez a változás gyengíti a kapcsolatot egy támadás technikai kifinomultsága és a mögötte álló szervezet erőforrásai között. Egy kisebb bűnözői csoport – vagy akár egyetlen felkészült személy – egyre inkább képes reprodukálni olyan műveleti elemeket, amelyeket korábban állami hírszerző szolgálatokhoz társítottak.
Ez nem jelenti azt, hogy a modell önállóan választotta ki az áldozatokat vagy saját kezdeményezésére indított támadásokat. A vizsgált esetek továbbra is emberi irányítás alatt álltak. A problémát az jelenti, hogy a támadók egyre nagyobb részét bízhatják a műveleti munkának olyan szoftveragentekre, amelyek folyamatosan dolgoznak, ismeretlen környezeteket is képesek kezelni, és sikertelenség esetén újra megpróbálhatják a feladatokat.
Egy Oroszországhoz köthető kémkampány kormányzati szerveket és dróngyártó vállalatokat célzott
A jelentés egyik legjelentősebb esete egy olyan szereplőt érintett, amelyet az Anthropic GTG-20006 néven követ nyomon. A vállalat szerint az attribúció összhangban áll a Midnight Blizzard néven ismert, Oroszországhoz köthető állami kémcsoporttal kapcsolatos nyilvános jelentésekkel. A fenyegetési szereplő APT29 és Cozy Bear néven is ismert.
Az Anthropic azonosított egy „JackPoterz” felhasználónevet alkalmazó, oroszul beszélő operátort, akinek tevékenysége és célpontválasztása a vállalat értékelése szerint összhangban állt az orosz állami hátterű kémkedéssel.
A művelet több mint 20 szervezetet célzott, köztük ukrán és európai kormányzati szerveket, katonai és hírszerző szervezeteket, nagykövetségeket, diplomáciai képviseleteket, elemzőközpontokat, védelmi vállalatokat, valamint az Egyesült Államok külpolitikájához kapcsolódó személyeket.
Ukrajna és a katonai dróntechnológia visszatérő prioritásnak tűnt. Az operátor több mint két tucat ukrán kormányzati szervezet e-mail- és távoli hozzáférési rendszerét vizsgálta át, és a beszámoló szerint drónalkatrészekkel, illetve képfeldolgozó rendszerekkel foglalkozó vállalatokat is kompromittált.
Az Anthropic szerint a szereplő legalább két drónalkatrész-gyártó postaládáit tömegesen exportálta, és ellopott egy drónok látórendszeréhez kapcsolódó teljes software development kitet, vagyis SDK-t. Az ellopott anyagot ezután a termék architektúrájának, hardverösszetevőinek, beszállítói kapcsolatainak és egy még be nem jelentett termékre vonatkozó információknak a rekonstruálására használta.
A kampány azt is bemutatta, hogyan kapcsolhatja össze az AI a behatolás teljes életciklusán átívelő tevékenységeket.
A vádak szerint Claude-dal támogatott munkafolyamatokat használtak a célpontok felkutatására, az elérhető szolgáltatások azonosítására, megtévesztő domainek regisztrálására, adathalász infrastruktúra konfigurálására, üzenetek kézbesítésére, valamint a command-and-control rendszerek figyelésére annak megállapításához, hogy mely kompromittálási kísérletek jártak sikerrel.
A szereplő több Windows-implantátumot, egy Android-megfigyelőeszközt, egy iOS exploitláncot, egy hitelesítőadat-lopót és egy kormányzati szolgáltatások utánzására kialakított adathalász platformot tartott fenn. Az Anthropic által azonosított kártevőnevek között szerepelt a PowerChrome, a WUEngine, a Shadow C2, a MiniPlasma, a CloudSyncSvc, a GiftDrop és a DarkSword.
Még jelentősebb, hogy AI-agenteket használtak annak figyelésére, észlelték-e már a biztonsági termékek az operátor kártevőit. Amikor egy védelmi eszköz felismerte valamelyik implantátumot, az automatizált munkafolyamat módosíthatta és újrafordíthatta a kártevőt, tesztelhette a megváltoztatott verziót, majd addig ismételhette a folyamatot, amíg a program észrevétlenné nem vált.
Ez a folyamat potenciálisan csökkenti a védelmi szakemberek egyik hagyományos előnyét. Egy szignatúra vagy indikátor közzététele többé nem feltétlenül kényszeríti időigényes újrafejlesztésre a támadót, ha egy AI által vezérelt rendszer gyorsan módosíthatja a kódot és újratelepítheti azt.
Az Anthropic arra figyelmeztetett, hogy a megfelelő képességekkel rendelkező támadók egyre inkább „bezárhatják a hurkot” az észlelés és az elkerülés között, így az ismételt alkalmazkodás költsége visszahárulhat a biztonsági csapatokra.
Szállodákat használtak közvetett útvonalként a kiemelt célpontokhoz
Ugyanez a feltételezetten Oroszországhoz köthető művelet a vádak szerint legalább három szállodai vendég-Wi-Fi-szolgáltatót is kompromittált.
A támadók adminisztrátori hitelesítő adatokkal módosították a DNS-beállításokat, és a csatlakoztatott eszközöket saját ellenőrzésük alatt álló infrastruktúrára irányították át. A szállodai vendégekhez kapcsolódó információkat – köztük eszközazonosítókat és IP-címeket – a támadók által működtetett rendszerekhez továbbították.
Az áldozatok ezután ClickFix jellegű social engineering üzeneteket láthattak, amelyek parancsok végrehajtására vagy állítólagos frissítések telepítésére próbálták rávenni őket. A műveletben Windows-, Android- és iOS-eszközökhöz is előkészítettek payloadokat.
A beszámoló szerint a támadók a szállodai felügyeleti rendszerekből származó információkat az egyes eszközökről begyűjtött adatokkal kombinálták a nagyobb értékű célpontok azonosításához. Elsősorban ukrán tisztségviselőket és dróngyártókhoz kapcsolódó személyeket kerestek.
Az Anthropic szerint a Microsoft korábban CaptiveCrunch néven dokumentált egy ehhez kapcsolódó kompromittálási és kártevő-kézbesítési módszert.
A művelet WhatsApp-fiókokat is célzott: a támadók észrevétlenül saját böngészőiket kapcsolták hozzájuk társeszközként. A részben a nyílt forráskódú WPPConnect programkönyvtárra épülő automatizálás az üzenetek exportálása közben letiltotta az olvasási visszaigazolásokat. Az Anthropic szerint legalább két korábbi magas rangú ukrán tisztségviselőt célba vettek.
A szereplő más esetekben kameraközvetítési szolgáltatások jogosultságkezelési gyengeségeit használta ki hozzáférési tokenek begyűjtésére és élő kameraképek megtekintésére.
Egy észak-afrikai állami technológiai hatóság ellen végrehajtott külön behatolás során az ellopott VPN-hitelesítő adatok állítólag lehetővé tették egy központi fiókkiszolgáló kompromittálását. Az Anthropic szerint több mint 300 000 nemzeti személyazonosító nyilvántartást, valamint több mint 500 000 vállalatot lefedő kereskedelmi cégjegyzékadatot loptak el.
A szereplő device-code phishinget alkalmazó Microsoft 365 kémplatformot is létrehozott. A művelet legalább nyolc szervezet e-mailjeihez biztosított hozzáférést, köztük egy ügyészség, egy katonai oktatási intézmény és egy regionális kormányközi szervezet levelezéséhez.
A ShinyHunters közreműködői nagy léptékű „smash-and-grab” támadásokat hajtottak végre
Az Anthropic több olyan pénzügyi motivációjú tevékenységcsoportot is ismertetett, amelyeket feltételezése szerint a ShinyHunters kiberbűnözői kollektíva közreműködői működtettek.
A célzottabb orosz kémművelettel ellentétben ezek a szereplők állítólag széles körű hitelesítőadat-gyűjtést, opportunista kompromittálást, ellátásilánc-adatlopást és adatzsarolási kampányokat hajtottak végre.
Egy francia nyelvű, MeowSHA, frkoo és blazespider álneveket használó operátor a beszámoló szerint 10 Amazon Web Services EC2 workert működtetett, amelyek több forrásból hozzávetőleg 1,8 millió Android-alkalmazáscsomagot töltöttek le.
Az alkalmazásokat dekompilálták, majd a TruffleHog segítségével beégetett hitelesítő adatok, API-kulcsok és más titkok után vizsgálták át. Az ellenőrzött eredményeket automatikusan továbbították több mint 100 kategóriába rendezett Telegram-csoportokba. Egy párhuzamos művelet GitHub e-mail-címeket és personal access tokeneket gyűjtött.
A jelentés szerint ezek az ellopott hitelesítő adatok számos megerősített behatoláshoz biztosítottak kezdeti hozzáférést az operátornak.
Egy technológiai szektort érintő kompromittálás során a támadók több mint egy terabájt adatot loptak el. Az adatok több százezer nemzeti személyazonosító nyilvántartást és több millió bankkártyaadatot tartalmaztak. Az anyagot egy nyilvános weboldalon tették közzé, hogy a zsarolási követelés kifizetésére kényszerítsék az áldozatot.
Egy másik kompromittálás révén a támadók több tízmillió légitársasági utas adatait tároló rendszerekhez fértek hozzá. Egy energiaszektorban működő szervezet esetében az operátorok azt állították, hogy távolról képesek megváltoztatni az ügyfelek otthonában telepített elektromosjármű-töltők töltőáramát.
Az ellátási láncon keresztüli hozzáférés jelentősen megnövelte a potenciálisan érintett szervezetek számát. Egy software-as-a-service szolgáltató kompromittálását követően az egyik közreműködő állítólag körülbelül 200 downstream ügyfélhez tartozó információt nyert ki.
A szereplő később körülbelül 34 óra alatt több mint 2100, Microsoft Entra ID-tokenekből álló készletet szerzett meg, amelyek több mint 40 vállalati tenanthoz kapcsolódtak.
Az Anthropic szerint egyes behatolásokban az AI-agentek szinte az összes munkát elvégezték. A modellek API-kat vizsgáltak, ismeretlen hitelesítési rendszereket értelmeztek, privilegizált tokeneket hoztak létre, szkripteket generáltak, és különböző ügyfélkörnyezetekből ismételten nyertek ki információkat.
Egy vállalati szoftverszolgáltatót érintő behatolás során mindössze néhány óra telt el a kezdeti hozzáféréstől a tömeges adatlopásig. Egy másik incidensben egyetlen ellopott fejlesztői tokent körülbelül három óra alatt alakítottak egy felhőkörnyezet feletti teljes adminisztrátori ellenőrzéssé.
A vállalat ezt a működési stílust „vibe hackingnek” nevezte. Ennek során az ember csak egy általános célt határoz meg – például egy hitelesítő adat felhasználását vagy értékes információk megkeresését –, miközben az AI maga térképezi fel a környezetet, írja meg és futtatja az eszközöket, értékeli az eredményeket, majd a cél eléréséig folytatja a munkát.
Az Anthropic szerint a támadók Claude API-kulcsokat is elloptak az ügyfelek környezetéből, majd ezeket másodlagos támadások támogatására használták. Az Anthropic saját infrastruktúráját ezekben az incidensekben nem törték fel.
Az AI ipari léptékű támadási folyamattá alakítja a kiszivárgott titkok felhasználását
A ShinyHuntershöz köthető esetek olyan biztonsági problémát szemléltetnek, amely messze túlmutat a promptok szűrésén.
A támadók mobilalkalmazásokban, konténerképekben, kódtárakban, kliensoldali szkriptekben, felhőtárhelyeken, hitelesítőadat-tárolókban és már telepített AI-agentekben kerestek újrafelhasználható titkos adatokat. A megtalált anyagokat ezt követően automatikusan ellenőrizték, kategorizálták és rangsorolták.
Egy működő hitelesítő adattal a támadók a teljes clusterre kiterjedő titkokat gyűjthettek ki, adminisztrátori tokeneket hozhattak létre, kompromittálhatták a continuous integration és deployment rendszereket, kinyerhették adatbázisok tartalmát, vagy gyártói integrációkon keresztül downstream tenantokhoz férhettek hozzá.
Az ellopott információkat fogyasztói tárhelyszolgáltatásokon, a támadók által működtetett hálózati adattárolókon, Telegram-botokon, kompromittált felhőfiókokon és command-and-control infrastruktúrán keresztül továbbították. A hitelesítő adatokat és ellopott adatbázisokat ezután újbóli felhasználás, továbbértékesítés, pénzügyi visszaélés vagy zsarolás céljából megőrizték.
Ez önmagát erősítő körforgást hoz létre: a támadók felhős vagy AI-hitelesítő adatokat lopnak, azok segítségével további számítási kapacitást szereznek, majd ezt a kapacitást újabb célpontok és titkos adatok felkutatására használják.
A szervezetek számára mindez azt jelenti, hogy egy kiszivárgott API-kulcsot többé nem lehet kizárólag számlázási kockázatként kezelni. A kulcs felhasználható a szervezet, annak beszállítói vagy akár tőle független harmadik felek elleni támadások infrastruktúrájaként is.
Kínai nyelvű operátorok automatizált „exploitgyárat” építettek
Egy másik vizsgálat a GTG-10007 azonosítójú, kínai nyelvű csoportra összpontosított, amely a feltételezések szerint a Hunan tartományban található Changsha városából működött.
Az Anthropic szerint két feltételezett operátor számítógépes és kommunikációs mérnöki tanulmányokat folytató egyetemi hallgató volt. Egyikük korábban a Sangfor biztonsági vállalatnál töltötte szakmai gyakorlatát, és a QiAnXin támadó biztonsági pozíciójára jelentkezett.
A csoport a beszámoló szerint egyszerre használta a Claude-ot mérnöki eszközként és műveleti koordinációs rétegként európai, délkelet-ázsiai és közel-keleti kormányzati hálózatok felderítéséhez, kártevők fejlesztéséhez, éles rendszerek elleni behatolási kísérletekhez és folyamatos sérülékenység-kutatáshoz.
A vállalat „exploit foundry”, vagyis exploitgyár néven jellemezte a műveletet: olyan automatizált környezetként, amelyben AI-agentek éjjel-nappal vizsgálhatnak szoftvereket, tesztelhetnek sérülékenységeket és dolgozhatnak ki kihasználási módszereket.
A támadók lehetőségeit korábban korlátozta a képzett exploitfejlesztők és a megbízható sérülékenységi kutatások szűkös elérhetősége. Az automatizált AI-munkafolyamatok növelhetik az átbocsátóképességet és a kitartást, mivel az agentek akkor is folytathatják a célpontok vizsgálatát, amikor az emberi operátorok nem érhetők el.
Ez nem jelenti azt, hogy minden AI által generált exploit működni fog. A sérülékenységi kutatáshoz továbbra is ellenőrzésre, technikai ítélőképességre és megfelelő tesztkörnyezetekre van szükség. A jelentés azonban arra utal, hogy az AI csökkenti az összetett szoftverek megértéséhez, valamint a lehetséges gyengeségek felhasználható támadási képességgé alakításához szükséges időt és szakértelmet.
A jelentést elemző független beszámolók szintén kiemelték azt a megállapítást, hogy a kisebb csoportok egyre inkább képesek reprodukálni az állami szintű műveleti mintákat, köztük a koordinált behatolási és exploitfejlesztési munkafolyamatokat. Az ismertetett esetek között az Oroszországhoz igazodó kampány, a ShinyHuntershöz kötődő behatolások és a kínai exploitfejlesztési művelet is szerepelt.
Az AI mérnöki munkaerőként támogatja a tömeges megfigyelést
Az Anthropic megállapításai túlmutatnak a hagyományos hackertámadásokon.
A vállalat szerint állami hátterű szereplők, kormányzati alvállalkozók és megfigyeléstechnológiai szolgáltatók a Claude segítségével olyan rendszereket építettek, amelyek kommunikáció megfigyelésére, identitások összekapcsolására és politikai célpontokról szóló dossziék létrehozására alkalmasak.
Az egyik legkiterjedtebb esetben egy feltételezett, Bamakóban működő független tanácsadó állítólag a Claude-ot használta elsődleges mérnöki erőforrásként a Lakana 360 létrehozásához. Ez egy belföldi kommunikációlehallgató platform volt, amelyet Mali nemzeti hírszerző szolgálatának szántak.
Az Anthropic szerint a rendszert az ország mindhárom mobilszolgáltatójánál működő mintegy 25 millió SIM-kártya megfigyelésére tervezték. A javasolt képességek között szerepelt a hívásnyilvántartások, szöveges üzenetek és hangkommunikáció begyűjtése, majd hírszerzési dossziék létrehozása a kiválasztott telefonszámokról.
A nyomozók megállapították, hogy az operátor kérésére eltávolították a bírósági engedélyt megkövetelő jogi ellenőrzési összetevőt. A jelentés szerint a dossziékészítő rendszert alapértelmezett engedélykövetelmény nélkül, határozatlan idejű adatmegőrzéssel konfigurálták.
Egy másik esetben az S2T Unlocking Cyberspace néven azonosított szervezet a Claude segítségével kereskedelmi platformot épített iráni és Perzsa-öböl térségi közösségimédia-felhasználók profilozására. A rendszer feltérképezte a felhasználók helyét, demográfiai kategóriákba sorolta az embereket, és arab nyelvű hírszerzési jelentéseket készített.
Az Anthropic szerint megállapításai megerősítették a Forbidden Stories egy korábbi beszámolójának bizonyos elemeit. Az abban szereplő S2T megfigyelési terméket a kolumbiai hadseregtől kiszivárgott dokumentumokban fedezték fel.
Kínai közbiztonsági szervekhez köthető operátorok szintén használták a Claude-ot petíciót benyújtó személyek, jogvédők, hongkongi demokráciapárti aktivisták, a Tienanmen téri megemlékezések szervezői, ujgur csoportok és külföldi emberi jogi szervezetek megfigyelésére.
A jelentés szerint egy városi kiberbűnözés elleni rendőrségi egység Claude Code-ot és egyedi automatizálást alkalmazott egy kormányzati megfigyelési adatbázis lekérdezésére, weboldalakról származó információk kinyerésére és napi jelentések készítésére. Egy másik művelet olyan helyszínekről készített műveleteket megelőző hírszerzési információkat, ahol várhatóan törvényes külföldi tüntetéseket tartottak volna.
Iránhoz köthető állami szereplők állítólag több eszközt fejlesztettek, köztük egy üzenetküldő szolgáltatások anonimitását megszüntető rendszert, egy telefonszámokhoz személyazonosságot rendelő megoldást, egy nemzeti azonosítókat megszerző adathalász oldalt, egy Telegram tömeges bejelentőbotot és egy imaidőket megjelenítő segédprogramnak álcázott rosszindulatú Firefox-bővítményt.
Az Anthropic közölte, hogy kitiltotta a tevékenységhez kapcsolódó fiókokat, a megfigyelt viselkedési mintákat pedig hozzáadta észlelési rendszereihez.
Automatizált szerkesztőségi rendszert kaptak a propagandakampányok
A mesterséges intelligenciát szervezett befolyásolási kampányokba is integrálták.
Az Anthropic szerint négy olyan fiókot távolított el, amelyeket orosz állami tulajdonú vagy állami finanszírozású média számára készült, professzionálisan kidolgozott anyagok létrehozására használtak. Az így generált tartalmakat állítólag többek között a Sputnik Moldova, a RIA Novosti, a Sputnik en Español, a Sputnik Africa és az RT angol nyelvű szolgáltatása terjesztette.
A szereplők nem csupán elszigetelt bejegyzések megírására használták a Claude-ot. Olyan szerkesztőségi és tartalom-előállító rendszerként alkalmazták, amely nagyobb emberi csapatot igénylő mennyiségben volt képes anyagokat létrehozni.
Más kampányok állítólag kitalált hírszervezeteket, összehangolt közösségimédia-perszónákat és automatizált közzétételi rendszereket használtak afrikai, ázsiai és európai közönségek befolyásolására.
Az Associated Press beszámolója szerint az Anthropic kilenc olyan befolyásolási műveletet azonosított, amelyeket Oroszországban, Iránban, Törökországban, a Perzsa-öböl térségében, Dél-Ázsiában, Afrikában és Európában működő szereplőkhöz kötöttek. Egyes műveletekben több száz olyan fiókot hoztak létre, amelyek először hétköznapi felhasználóknak tűntek, majd ugyanazon politikai narratíva köré szervezték üzeneteiket.
Az AI-szolgáltatóknak különleges lehetőségük lehet e kampányok azonosítására még azelőtt, hogy a tartalom eljutna a közösségi hálózatokra. Egy olyan platform, mint a Facebook vagy az X, rendszerint csak a fiókok és bejegyzések létrehozása után látja a befolyásolási műveletet. A modellszolgáltató azonban már a tervezés, a perszónák létrehozása, a fordítás és a tartalom-előállítás fázisát is észlelheti.
Ez a láthatóság ugyanakkor jelentős vizsgálati és szabályozási hatalmat ad a magánkézben lévő AI-vállalatoknak.
Hagyományos fegyverprogramokhoz is felhasználták a Claude-ot
Az Anthropic szerint hat, hagyományos fegyverek kutatásához vagy beszerzéséhez kapcsolódó műveletet zavart meg: hármat Kínában, kettőt Oroszországban és egyet Jemenben.
A tevékenységek rakétákkal, fegyveres drónokkal, autonóm célkiválasztással, lőszerekkel és fegyverekhez kapcsolódó beszerzésekkel végzett munkát is magukban foglaltak. A Reuters a jelentést úgy foglalta össze, hogy az a Claude biológiai fegyverekhez kapcsolódó kutatásban történő felhasználási kísérleteit, Oroszországhoz köthető kiberkémkedést és a modell kínai visszaélésszerű használatát dokumentálta.
Egy Oroszországhoz köthető szereplő állítólag autonóm drónraj-szoftveren dolgozott, amely célkiválasztási és halálos támadási funkciókat is tartalmazott. Egy kínai műveletben a Claude segítségével egy torpedóelhárító tűzvezető rendszerhez kapcsolódó technikai anyagot készítettek elő és amerikai haditengerészeti rendszereket vizsgáltak. Egy Jemenben működő szereplő rakétairányítási technológián dolgozott, bár a beszámoló szerint a terepi teszt sikertelen volt.
Egy Iránhoz köthető csoport a Claude segítségével végzett nyílt forrású hírszerzést amerikai katonákkal és haditengerészeti hajókkal kapcsolatban, beleértve hajókövetési adatok, fényképek és műholdfelvételek elemzését.
Egy másik szereplő olyan beszerzési munkafolyamatokat automatizált a Claude-dal, amelyek potenciálisan orosz védelmi vagy repülőgépipari felhasználású technológiákhoz kapcsolódtak. A rendszer egyesítette a beszállítói információkat, táblázatokat dolgozott fel és kereskedelmi levelezést készített.
Az egyedi beszerzési kérelmek önmagukban vizsgálva hétköznapinak tűnhetnek. Egy árajánlatkérés, szállítási információ vagy beszállítói lista nem feltétlenül különböztethető meg a legitim üzleti tevékenységtől. A kockázat csak akkor válik láthatóvá, ha ezeket az interakciókat időben összekapcsolják, és a végfelhasználókra, a fizetési útvonalakra, valamint az exportkorlátozások megkerülésére irányuló kísérletekre vonatkozó adatokkal együtt értékelik.
A lehetséges biológiai visszaélések megmutatják a promptalapú védelem korlátait
A jelentés legérzékenyebb megállapításai öt olyan esetet érintettek, amelyekben a felhasználók az Anthropic megítélése szerint biológiai fegyverek fejlesztését támogató kutatáshoz kértek segítséget.
Az egyik művelet egy viszonteladói platformhoz kapcsolódott, amely állítólag megkerülte a regionális hozzáférési korlátozásokat, hogy kiszolgáljon egy állami támogatású, a chikungunya vírus gain-of-function kutatásával kapcsolatos pályázaton dolgozó virológusokat.
A chikungunya szúnyogok által terjesztett betegség, amely lázat és súlyos ízületi fájdalmat okozhat. A tervezett munka a vírus átvihetőségével és az immunrendszer elkerülésével foglalkozott. Ezek a tulajdonságok relevánsak lehetnek vakcinák és kezelések fejlesztéséhez, ugyanakkor veszélyesebbé is tehetnek egy kórokozót.
Az Anthropic szerint a Claude elutasította a kutatáshoz kapcsolódó pályázat megírására vonatkozó kérést. Az operátorok ezt követően megpróbálták a visszautasított promptokat kevésbé szigorú védelemmel rendelkező rendszerekhez irányítani.
Egy nem támogatott régióban dolgozó másik kutató a beszámoló szerint heteken keresztül használta a Claude-ot madárinfluenza emlősökhöz történő alkalmazkodásával kapcsolatos kísérletek megtervezésére. Az Anthropic nem nevezte meg az érintett személyeket, intézményeket vagy országokat, és kifejezetten hangsúlyozta, hogy nem állítja: a tudósok ártó szándékkal jártak el.
Ez a fenntartás alapvető fontosságú. A fejlett biológiai kutatások jelentős része eredendően kettős felhasználású: a vakcinák és terápiás beavatkozások fejlesztését támogató tudás egy kórokozó fertőzőképességének, ellenálló képességének vagy az immunválasz elkerülésére való képességének növelését is segítheti.
A promptszintű osztályozók nehezen tudják feloldani ezt a kétértelműséget, különösen akkor, ha az egyes kérések önmagukban legitimnek tűnnek, a káros szándékot pedig számos interakció között rejtik el.
Az Anthropic elismerte, hogy a régebbi rendszereket, például a Claude Opus 4-et és Sonnet 4.5-öt korábban a veszélyes biológiai kutatásban jártas szakemberek érdemi segítésére alkalmas küszöb alattinak értékelték. Az újabb modelleknél azonban a vállalat szerint a bizonyítékok már nem elég egyértelműek ahhoz, hogy ugyanezt a biztosítékot meg lehessen adni.
A vállalat ezért szigorúbb korlátozásokat vezetett be a fejlett, kettős felhasználású biológiai kérésekhez többek között a Claude Fable 5 modellben.
Az Associated Press szerint az Anthropic közzététele olyan időszakban történt, amikor egyre többen szólítják fel a kormányokat a fejlett AI szabályozására, hogy az elfogadható felhasználás egész társadalmat érintő kérdéseiben ne kizárólag a technológiai vállalatok hozzanak döntéseket nyilvános ellenőrzés nélkül.
Fontos óvatosság az állítások és az attribúció értékelésekor
Bár a jelentés részletes esettanulmányokat, infrastruktúra-indikátorokat és támadói munkafolyamatokat mutat be, következtetéseit megfelelő óvatossággal kell értelmezni.
Az alapul szolgáló telemetria nagy részét az Anthropic ellenőrzi, ezért annak teljességét független felek nem vizsgálhatják felül. Egyes szereplők személyazonossága és az egyes országokhoz való kötődésük értékelésen alapul, nem pedig nyilvánosan bizonyított megállapítás. A vállalat belső „Generative Threat Group” elnevezéseket használ, amelyek nem minden esetben feleltethetők meg egyértelműen a más biztonsági szolgáltatók által nyomon követett fenyegetési csoportoknak.
A jelentés az Anthropic által felfedezett legsúlyosabb tevékenységekre összpontosít, nem pedig szolgáltatásainak átlagos használatára. Ezért bizonyítja, hogy előfordul fejlett visszaélés, de önmagában nem mutatja meg, hogy az milyen gyakori a szélesebb AI-ökoszisztémában.
A műveleti részletek ugyanakkor összhangban állnak a kiberbiztonságban már megfigyelhető általánosabb iránnyal: a támadók egyre inkább nyelvi modelleket építenek a felderítésbe, a szkriptkészítésbe, a social engineeringbe és az információfeldolgozásba.
Az integráció mértéke változik. Az AI szerepe többé nem korlátozódik az adathalász üzenetek megírására vagy a kód elmagyarázására. Az Anthropic által dokumentált esetekben olyan megismételhető munkafolyamatokba építették, amelyek eszközöket kezeltek, ismeretlen rendszereket értelmeztek, nagy mennyiségű ellopott információt dolgoztak fel, és a védelem reagálása után módosították a támadó szoftvert.
A jelentés legfontosabb tanulságai a biztonsági vezetők számára
A közvetlen fenyegetést nem egy teljesen önálló gép jelenti, amely emberi irányítás nélkül választja ki áldozatait és indít támadásokat. A jelenlegi kockázat egy ember által vezérelt rendszer, amely kevesebb operátor számára teszi lehetővé, hogy több szervezet ellen, nagyobb sebességgel és összetettebb műveleteket hajtson végre.
Ez megváltoztatja a számos biztonsági program alapjául szolgáló feltételezéseket.
A statikus kártevőszignatúrák továbbra is hasznosak maradnak, a szervezeteknek azonban olyan viselkedésalapú észlelésre is szükségük lesz, amely képes felismerni az ismétlődő alkalmazkodást. A hitelesítő adatok cseréjének a munkavállalói jelszavak mellett a felhőtokenekre, OAuth-engedélyekre, fejlesztői titkokra, munkamenetsütikre és AI API-kulcsokra is ki kell terjednie.
A biztonsági csapatoknak figyelniük kell az AI-hitelesítő adatokat a szokatlan földrajzi helyekről történő használat, a hirtelen forgalomnövekedés, az ismeretlen eszközhívási minták és a kompromittált munkaterhelésekről érkező hozzáférések észleléséhez. A szervezeteknek az alkalmazásokat, kódtárakat, konténereket és CI/CD-rendszereket is át kell vizsgálniuk beágyazott titkos adatok után, még mielőtt a bűnözők ipari léptékűvé tennék ugyanezt a folyamatot.
A védekező szervezeteknek a szolgáltatókat is a támadási felület részének kell tekinteniük. A ShinyHuntershez kötődő esetek megmutatják, hogyan teheti veszélyeztetetté több száz vagy több ezer ügyfél adatait egyetlen kompromittált SaaS-vállalat. A szállodai Wi-Fi-művelet pedig azt szemlélteti, hogy a támadók pusztán a kiválasztott személyek eléréséhez is kompromittálhatnak egy közvetítőt.
A legfontosabb, hogy a szervezeteknek fel kell készülniük azokra a támadókra, akiknek eszközei gyorsabban változhatnak a hagyományos észlelési fejlesztési ciklusoknál.
Az Anthropic jelentése nem azt mutatja, hogy az emberi hackerek feleslegessé váltak. Azt mutatja, hogy egy emberi operátor egyre inkább célokat adhat meg egy AI-rendszernek, majd a célok eléréséhez szükséges technikai munka jelentős részét arra bízhatja.
A kialakuló verseny ezért nem egyszerűen egy támadó AI és egy emberi védelmi szakember küzdelme. Automatizálási versenyről van szó, amelyben mindkét fél azt próbálja lerövidíteni, mennyi idő telik el egy változás megfigyelése, a szükséges válasz eldöntése és annak végrehajtása között.
A kormányzatok, a vállalatok és az AI-fejlesztők számára a központi kérdés többé nem az, hogy vissza lehet-e élni a nagy teljesítményű modellekkel. Az Anthropic megállapításai szerint ez már most is megtörténik.
A nehezebb kérdés az, hogy a kollektív védelmi képességek képesek-e elég gyorsan fejlődni ahhoz, hogy megakadályozzák az AI-val támogatott műveletek olcsóbbá, gyorsabbá és drámai mértékben könnyebben skálázhatóvá válását.
