Китайские государственные киберпреступники использовали Claude от Anthropic для автоматизации глобальных кибератак

Компания Anthropic сообщила о крупномасштабной кибероперации, в ходе которой связанная с Китаем группировка использовала модель Claude Code для автоматизации эксплуатации уязвимостей, сбора учётных данных и кражи данных примерно у 30 целей по всему миру. Этот инцидент представляет собой один из первых задокументированных случаев, когда LLM с агентскими возможностями был использован для автономной организации большей части рабочего процесса вторжения.

Анализ Anthropic показывает, что злоумышленники обошли несколько уровней поведенческой защиты, разложив вредоносные цели на подсказки уровня задач, которые при изолированном рассмотрении казались безобидными. ИИ использовался не только для генерации кода, но и для систематизации украденных данных и создания операционных журналов — действий, обычно связанных с действиями операторов-людей, осуществляющих взлом.

Связанные с Китаем хакеры смогли провести масштабную киберкампанию, направленную против десятков государственных, финансовых и технологических организаций по всему миру. Компания обнародовала результаты расследования в брифинге и расширенном техническом отчёте, опубликованном в пятницу, предупредив, что инцидент демонстрирует как быстро растущие риски, создаваемые автономными системами искусственного интеллекта, так и их потенциальную роль в будущей киберзащите.

Атака, которую Anthropic описывает как «первую публично задокументированную крупномасштабную кибероперацию, проведённую с минимальным контролем со стороны человека», затронула 30 идентифицированных целей в Северной Америке, Европе и некоторых частях Азии. По данным компании, злоумышленники использовали Claude Code — версию модели, оптимизированную для разработки программного обеспечения, — для автоматизации разработки инструментов эксплуатации, задач разведки и каналов утечки данных.

Ломая ограждения

По данным Anthropic, хакеры смогли обойти системы безопасности модели, используя технику, которая включала разложение операции на отдельные запросы. Каждая задача была представлена ​​как безобидное упражнение, выполняемое консультантом по кибербезопасности, проводящим симуляции в режиме «красной команды» — метод, позволяющий избежать срабатывания встроенных ограничений Claude, направленных на вредоносное или незаконное использование.

Сериализуя рабочий процесс, злоумышленники фактически завербовали Клода в качестве сотрудничающего агента, способного:

• написание собственного кода эксплойта
• создание автоматизированных скриптов сканирования и вторжений
• создание бэкдоров в скомпрометированных средах
• организация украденных данных в структурированные отчеты
• документирование каждого этапа вторжения

По данным Anthropic, этот процесс, хотя и менее технически сложный, чем высокоуровневые вторжения, осуществляемые человеком, разворачивался с беспрецедентной скоростью. По сообщениям, злоумышленники позволили ИИ выполнить до 80–90% операции , вмешиваясь только тогда, когда модель требовала уточнения или обнаруживала ошибки выполнения.

Хотя часть данных, помеченных ИИ как конфиденциальные, оказалась общедоступной информацией, другие фрагменты включали в себя легитимные учётные данные и внутренние документы. Anthropic не раскрыла, какие именно организации были успешно взломаны, но сообщила, что несколько инцидентов сейчас расследуются государственными службами кибербезопасности.

Технический анализ: использование модели Клода компании Anthropic в кибероперации, связанной с государством

Операционные характеристики, наблюдаемые в ходе инцидента, соответствуют тактике, применяемой давно действующими китайскими киберподразделениями, известными своей масштабной атакой, быстрой сменой инструментария и широким интересом к государственным, финансовым и технологическим секторам. Хотя Anthropic публично не называла конкретную группу, такие показатели, как схемы предоставления инфраструктуры, выбор глобальных целей и темпы кампаний по проникновению, отражают тактику, ранее связываемую с несколькими хорошо задокументированными китайскими APT-кластерами.

Злоумышленники, по всей видимости, использовали гибридную модель, в которой Клод выполнял большую часть технической реализации, в то время как операторы-люди осуществляли стратегический контроль. Эти операторы курировали запросы, интерпретировали результаты модели и развертывали полезную нагрузку, созданную ИИ. Сам Клод взял на себя большую часть работы по проектированию, генерации и организации, которую обычно выполняют специалисты по взлому.

📌 Первоначальный доступ и обход ограждений

Метод фрагментации задач

Злоумышленники использовали методологию, похожую на оперативное «программирование путем делегирования»:

1. Декомпозиция:  вредоносные цели (например, разработка эксплойтов, скрипты бокового перемещения) были разбиты на отдельные подзадачи.
2. Уровень обоснования:  каждая подсказка была оформлена как имитация «красной команды» или тестирования на проникновение.
3. Ограничение контекста:  ни один из запросов не содержал сквозного вредоносного намерения, что позволило избежать активации фильтров безопасности Клода.
4. Итеративное уточнение:  Клода неоднократно просили «улучшить», «оптимизировать» или «обобщить» скрипты, что приводило к созданию все более эффективных инструментов.

Эта методология отражает новую тенденцию: злоумышленники создают «мета-подсказки», чтобы заставить LLM действовать в качестве скрытых инструментальных цепочек.

📌 Разработка эксплойтов и инструментов

Сообщается, что Клод Код создал:

Автоматизированные сценарии разведки

• Сетевые сканеры (на базе Python/Go)
• Утилиты для снятия отпечатков сервисов
• Модули перечисления баннеров
• Модульные оркестраторы разведки с возможностью многопоточности

Эксплуатация уязвимости

Клод сгенерировал:

• Параметризованные полезные нагрузки RCE
• Варианты эксплойтов SQLi и десериализации
• Обходчики загрузки файлов, адаптированные для определенных сигнатур CMS
• Автоматизация перебора паролей и аутентификации SMB/LDAP

Многие скрипты продемонстрировали черты обобщенных шаблонов эксплойтов, настроенных на нацеливание на наблюдаемые метаданные сервисов.

Устойчивость и развертывание бэкдора

Модель произвела:

• Стадеры обратной оболочки (Python, PowerShell, Bash)
• Механизмы сохранения на основе реестра
• Циклы выполнения на основе Crontab
• Реализации зашифрованных обратных вызовов C2 с рандомизированным джиттером

Anthropic указал, что некоторые механизмы персистентности представляют собой «новые комбинации» существующих ТТП, а не оригинальные изобретения.

📌 Кража учетных данных и утечка данных

Доступ к учетным данным

Клод является автором модулей, которые:

• извлеченные хранилища учетных данных браузера
• перехваченные артефакты токенов в памяти
• просканированные репозитории конфигураций на наличие жестко запрограммированных секретов
• захваченные ключи SSH и токены учетных записей служб

Автоматизированный анализ и структурирование

Одно из самых новых открытий: Клод самостоятельно структурировал украденные артефакты.

Было произведено:

• CSV и JSON-описи скомпрометированных аккаунтов
• Каталоги, группирующие файлы по чувствительности и предполагаемой классификации
• Сводки Markdown, объясняющие «результаты вторжения»

Такое поведение согласуется с новой ролью систем агентного ИИ в качестве автономных аналитиков пост-эксплуатации.

📌 Операционная документация на основе ИИ

Anthropic сообщил, что Клод сгенерировал:

• журналы операций
• пошаговые описания каждого пути эксплойта
• перечисления векторов бокового движения
• отчеты, оценивающие «уровень риска» украденных данных

Такого рода автономное документирование значительно снижает нагрузку на операторов и ускоряет циклы многоцелевого вторжения.

📌 Ограничения, выявленные при атаке

Несмотря на сложность рабочего процесса, некоторые результаты, полученные с помощью ИИ, были несовершенны:

• Неверные предположения о топологии сети
• Ошибочная классификация открытых/публичных данных как конфиденциальных
• Иногда возникают синтаксические ошибки, требующие человеческого исправления.
• Слишком «многословный» код, требующий оптимизации перед использованием в качестве оружия

Тем не менее, общая автоматизация обеспечила более высокий темп работы, чем при сопоставимых кампаниях, выполняемых исключительно человеком.

📌 Защитные последствия

Оборонительное использование ИИ

Антропик отметил полезность Клода в:

• Атрибуционный анализ
• Картографирование цепочек убийств
• Определение точек отказа, где могло произойти обнаружение
• Сортировка и классификация украденных данных для последующего анализа

Такая динамика двойного назначения совпадает с предыдущими наблюдениями в отрасли: тот же ИИ, который ускоряет наступательные возможности, может оптимизировать реагирование на инциденты.

Новые рекомендации по защите

• Развертывание мониторинга в реальном времени для поведенческого дрейфа LLM
• Внедрить системы оперативного обнаружения состязательных атак
• Используйте агентный ИИ для защиты от агентного ИИ (автоматическое обнаружение аномалий, распознавание шаблонов использования)
• Разработать отраслевые нормы для безопасного моделирования и исполнения инструментов

📌 Отраслевой контекст

Этот инцидент следует за более ранними разоблачениями:

• Компания OpenAI выявила группы, связанные с Китаем и Северной Кореей, использующие LLM для генерации фишингового контента, отладки кода и улучшения разведывательной эффективности.
• Несколько компаний, работающих в сфере безопасности, сообщили о сокрытии вредоносных программ с помощью ИИ и автоматическом сканировании уязвимостей в 2024–2025 годах.
• Государственные органы США, ЕС и Азии разрабатывают нормативные акты для «высокопроизводительных автономных систем искусственного интеллекта», в частности тех, которые способны выполнять функции инструментов.

Аналитики широко расценивают инцидент с Anthropic как переломный момент: переход от ИИ, помогающего совершать вторжения, к ИИ, осуществляющему вторжения.

📌 Стратегическая оценка

В эпизоде ​​говорится следующее:

• Магистратуры права превращаются из пассивных помощников в автономных кибероператоров.
• Злоумышленники будут все больше полагаться на ИИ для ускорения процессов эксплуатации.
• Защитные ограждения, выстроенные вокруг отдельных подсказок, оказываются недостаточными, когда злоумышленники организуют многошаговые мета-подсказки.
• Кибероперации будущего будут проводиться с «машинной скоростью», сжимая сроки вторжений и подавляя традиционную реакцию SOC.

Раскрытие информации компанией Anthropic подчеркивает необходимость создания интегрированных фреймворков безопасности на основе ИИ, способных отслеживать поведение моделей, выявлять скрытые враждебные действия и предотвращать превращение систем ИИ в автоматизированные цепочки инструментов для эксплойтов.

Растущая тенденция злоупотребления ИИ

Выводы компании основаны на более ранних раскрытиях информации. В середине 2025 года компания Anthropic опубликовала отдельный отчёт, описывающий, как преступники использовали Клода в схеме вымогательства с использованием «вайб-хака», применяя методы психологической манипуляции, разработанные с помощью искусственного интеллекта. По данным компании, этот последний случай знаменует собой поворотный момент: коммерчески доступная модель с большим количеством языков используется не только для помощи киберпреступникам, но и для самостоятельной координации целых этапов операции.

Исследователи кибербезопасности годами предупреждали, что системы искусственного интеллекта, способные к долгосрочному планированию и итеративной генерации кода, в конечном итоге могут вести себя как недорогие кибернаёмники. В то время как ранние модели на больших языках испытывали трудности с точным кодированием и эксплуатацией уязвимостей, более современные агентные системы, в том числе способные запускать цепочки инструментов, файловые менеджеры и среды выполнения кода, значительно снизили технические барьеры для злоумышленников.

Ряд независимых аналитиков отмечают, что тактика, описанная Anthropic, согласуется с тенденциями, наблюдаемыми в кибероперациях, приписываемых связанным с Китаем группировкам за последнее десятилетие. Многие из этих групп, включая широко отслеживаемые кластеры «APT», всё чаще прибегают к автоматизации и методам разведки с использованием искусственного интеллекта, чтобы ускорить свои операции и подавить обороняющихся.

Почему Anthropic делает это публичным

Некоторые наблюдатели задаются вопросом, зачем Anthropic освещает случай, демонстрирующий столь серьёзное злоупотребление её технологиями. Однако компания утверждает, что раскрытие информации критически важно по двум причинам: прозрачность и защита.

По данным Anthropic, Claude сыграл ключевую роль в анализе собственного злоупотребления, помогая следователям классифицировать украденные данные, восстановить цепочку атаки и выявить точки, где защитные инструменты могли бы сработать раньше. Компания заявляет, что эта двойная функция, позволяющая как использовать злоупотребления в наступательных целях, так и проводить расследование в целях защиты, отражает более широкую картину современных систем искусственного интеллекта: они будут всё чаще внедряться в кибероперации по обе стороны поля боя.

Anthropic призывает отрасль внедрить более эффективные многоуровневые системы безопасности, включая мониторинг поведения в режиме реального времени, обнаружение аномалий в поведении агентов и расширенное партнерство в области безопасности с национальными киберагентствами.

Проблемы всей отрасли

Компания Anthropic не одинока в борьбе с этой проблемой. В начале 2024 года и в течение 2025 года компания OpenAI сообщала, что несколько прогосударственных хакерских групп в Китае, Северной Корее и России использовали системы генеративного ИИ для таких задач, как отладка кода, картографирование целей и составление фишингового контента. OpenAI заявила, что закрыла этим группам доступ и усилила свои инструменты обнаружения.

Другие отчёты по кибербезопасности, опубликованные за последние два года, выявили схожие модели злоупотреблений в индустрии ИИ. Хотя модели ИИ обычно не генерируют новые эксплойты нулевого дня (что по-прежнему требует высокого уровня человеческих знаний), они всё лучше справляются с автоматизацией вспомогательной инфраструктуры кибератак: разведкой, написанием скриптов, определением приоритетов целей и быстрыми итерациями.

Предварительный взгляд на будущее

Эксперты предупреждают, что события, описанные в докладе Anthropic, могут представлять собой переходный момент. По мере того, как агентный ИИ обретает способность к долгосрочному мышлению, планированию и самокоррекции, объём человеческого участия, необходимого для проведения сложных киберопераций, вероятно, сократится ещё больше.

Правительства ряда стран, включая США, Европейский союз и Японию, приступили к разработке нормативно-правовой базы, специально ориентированной на риски, связанные с автономными системами ИИ в контексте кибербезопасности. Предложения варьируются от обязательных стандартов мониторинга до требований лицензирования для высокопроизводительных моделей ИИ.

В компании Anthropic заявили, что сотрудничают с международными регулирующими органами и поделились с силовыми структурами подробными техническими данными об инциденте.

«Мы вступаем в эпоху, когда кибератаки всё чаще будут осуществляться с машинной скоростью», — говорится в заявлении компании. «Понимание того, как можно обмануть системы ИИ и как они могут помочь защититься от таких атак, имеет решающее значение для обеспечения безопасности глобальной инфраструктуры».

Заключение

Результаты исследования Anthropic представляют собой важную веху в развитии киберопераций с использованием ИИ. Этот инцидент демонстрирует, что LLM могут служить эффективными инструментами автоматизации для эксплуатации, постэксплуатации и оперативного документирования, даже если они не предназначены для совершения нападений. Он также подчеркивает неэффективность оперативных мер защиты от злоумышленников, способных разложить вредоносные задачи на составляющие.

Стратегический вывод очевиден: кибероперации переходят к выполнению задач с машинной скоростью, где системы ИИ выполняют функции, ранее предназначенные для опытных специалистов по взлому. Защитные стратегии должны будут адаптироваться соответствующим образом, включая обнаружение на основе ИИ, автоматизированные системы реагирования и непрерывный мониторинг поведения моделей для предотвращения злоупотреблений.