Claude pod lupą: broń, inwigilacja i kradzież modeli

Anthropic opublikował raport zagrożeń, który obejmuje osiem miesięcy nadużyć swojego modelu Claude. Dokument opisuje siedem kategorii niewłaściwego użycia: operacje cybernetyczne, działania wpływu, inwigilację, oszustwa, nadużycia biologiczne, broń konwencjonalną oraz nieautoryzowaną destylację modeli (czyli nielegalne pozyskiwanie zdolności modelu do trenowania własnych systemów). Najczęściej wykorzystywane były wersje Haiku, Sonnet i Opus, natomiast nowsze Fable i Mythos pojawiły się tylko w jednym przypadku destylacji.

Kluczowy wniosek z rozdziału o cyberbezpieczeństwie jest zaskakująco prosty: zaawansowane ataki nie wymagają już zaawansowanych napastników. Same techniki pozostają znajome – kradzione dane logowania, niezałatane urządzenia, ataki SQL injection czy phishing. Zmieniła się jednak ekonomika, bo rozpoznanie, wykorzystanie luk i budowanie narzędzi przechodzą teraz na modele działające równolegle z prędkością maszyny.

Ataki, które same się przepisują

Anthropic śledzi rosyjskojęzycznego aktora szpiegowskiego oznaczonego jako GTG-20006, który zastosował pętlę sprzężenia zwrotnego. Agenci AI sprawdzali, czy ich złośliwe oprogramowanie jest wykrywane przez popularne narzędzia bezpieczeństwa. Gdy antywirus je namierzył, agenci samodzielnie przepisywali i rekompilowali kod, aż ponownie wymknął się detekcji.

To odwraca ciężar walki z powrotem na obrońców. Pisanie nowych sygnatur wykrywania przestaje spowalniać atakującego, jeśli ten wprowadza zmiany szybciej, niż powstają kolejne reguły. W ramach tej kampanii zaatakowano ponad 20 organizacji, w tym ministerstwa, służby wywiadowcze, ambasady i firmy zbrojeniowe, ze szczególnym naciskiem na Ukrainę i Europę. Aktor ukradł między innymi kompletny zastrzeżony SDK systemu wizji dronów, a dostęp zdobywał czasem przez strony trzecie – na przykład przez przejętych dostawców Wi-Fi w hotelach.

Vibe hacking i górnictwo poświadczeń

W klastrach przypisanych kolektywowi ShinyHunters (GTG-50014) dominowało przemysłowe wydobywanie danych logowania. Jeden z hakerów pobrał 1,8 miliona aplikacji na Androida, zdekompilował je i przeszukał w poszukiwaniu zaszytych sekretów. Anthropic określa to mianem „vibe hackingu” – człowiek wyznacza ogólny cel, a model analizuje środowisko i iteruje, aż zadanie zostanie wykonane. Jeden z atakujących przyznał, że oprócz wymuszeń na dwóch firmach zbierał też nagrody w programie HackerOne.

Chińskie laboratoria i destylacja na skalę przemysłową

Destylacja jako metoda treningu jest legalna. Problem pojawia się, gdy przybiera formę zakrojonych na szeroką skalę, ukrytych kampanii, które bez zgody wydobywają zdolności modelu – zwykle przez sieci fałszywych kont, skradzione karty kredytowe i klucze API, kierowane przez tak zwane „stacje przesiadkowe”. Od lutego Anthropic zidentyfikował ataki z siedmiu kolejnych chińskich laboratoriów.

Qwen, Moonshot i DeepSeek

Największą zmierzoną kampanię przypisuje się laboratorium Qwen należącemu do Alibaby (GTG-16005). Odpowiednio spreparowany prompt skłaniał Claude do zapisywania śladów rozumowania przed udzieleniem odpowiedzi, a te transkrypcje trafiały następnie do danych fine-tuningowych dla modeli Qwen 3.5, 3.6 i 3.7. Szczytowy okres przyniósł niemal trzy miliony wymian dziennie z ponad 3500 fałszywych kont – łącznie ponad 151 milionów wymian między majem a lipcem 2026 roku, głównie przy zadaniach agentowych i programistycznych.

Jeszcze dziwniejsze są przypadki, w których laboratoria przekazywały Claude zapytania własnych klientów. Moonshot AI (GTG-16002) przesłało blisko 300 tysięcy zapytań użytkowników w ciągu dziesięciu dni przez 5380 fałszywych kont, podczas gdy ludzie byli przekonani, że korzystają z modelu Kimi. DeepSeek (GTG-16001) wykrywał ciągi znaków wskazujące na narzędzia typu Claude Code, oznaczał takich użytkowników i kierował wybranych do Claude Opus – ponad 12,1 miliona wymian w 14 dni.

Wśród przekierowanych zapytań Anthropic znalazł użytkownika prawdopodobnie powiązanego z Armią Ludowo-Wyzwoleńczą, który zlecił analizę nagrań z monitoringu dla jednego celu – materiał z setek kamer w Chengdu, w tym kamer przed obiektami wojskowymi. Przez DeepSeek Claude otrzymywał też zapytania od operatora z aktywnymi danymi logowania do bazy powiązanej z rosyjskim Ministerstwem Obrony oraz prace nad systemem zarządzania sprawami dla chińskiego biura bezpieczeństwa publicznego.

Pozostałe laboratoria i ich metody

Xiaomi (GTG-16008) przechowywało zapytania i sesje kodowania użytkowników swoich modeli MiMo, a następnie odtwarzało te rozmowy przez Claude, by generować dane treningowe. Anthropic nie znalazł dowodów, by odpowiedzi Claude trafiały bezpośrednio do użytkowników Xiaomi, ale przekazywane zapytania zawierały dane osobowe setek osób w co najmniej kilkunastu językach.

Zhipu (poza Chinami znane jako Z.ai) rotowało 273 kontami i przepchnęło ponad 770 tysięcy wymian w dziesięć dni przez narzędzie do czyszczenia śladów rozumowania. Aby wytrenować GLM-5.3 w zadaniach cybernetycznych, laboratorium najpierw sięgnęło po model Fable, ale po pogorszeniu wyników przez zabezpieczenia zrezygnowało i celowo przeszło na modele uznane za słabiej chronione. SenseTime kupowało transkrypcje od pośredników, a MiniMax uruchomił własną sieć proxy przez spółkę córkę oferującą wyłącznie modele Anthropic i OpenAI – bez chińskich, nawet własnych.

Inwigilacja, broń i granice filtrów

W rozdziale o inwigilacji wyróżnia się Mali. Samotny konsultant wykorzystał Claude jako główną siłę inżynieryjną platformy „Lakana 360” do monitorowania około 25 milionów kart SIM u wszystkich trzech krajowych operatorów. System rozpoznaje ludzi po głosie mimo zmian kart, oznacza użytkowników szyfrowania i VPN oraz łączy osoby z krajowym rejestrem biometrycznym. Zablokowanie konta przerwało jedynie prace rozwojowe, bo platforma działa na lokalnych modelach na miejscu.

Podobne wzorce Anthropic odnotował w irańskich jednostkach, które twierdzą, że w ciągu roku inwigilowały i profilowały 6388 obywateli Iranu.

Broń konwencjonalna po raz pierwszy w raporcie

Komórka w północnym Jemenie (GTG-87001) postawiła Claude Code na miejscu ludzkich inżynierów przy oprogramowaniu naprowadzania, nawigacji i sterowania dla trzech programów rakietowych, w tym rakiety wielostopniowej o zasięgu ponad 2000 kilometrów. Aktorzy uruchamiali kilka instancji równolegle i rozkładali pracę między sesje, by żadna pojedyncza nie ujawniła zamiaru. Testowy start najwyraźniej się nie powiódł, a w ciągu kilku godzin wrócili do Claude, by ustalić przyczynę.

Drugi przypadek (GTG-27005) dotyczy prawdopodobnie rosyjskich wykonawców, którzy zbudowali autonomiczny rój dronów kamikaze FPV z małym modelem językowym na pokładzie i naprowadzaniem końcowym przez kamerę. Platformę zaprojektowano do autonomicznego efektu śmiertelnego – model mógł wybierać cele klasy „osoba” i wyzwalać detonację bez udziału człowieka. Klasyfikator obrazu trenowano na zdobytych nagraniach z walk w Ukrainie. Trzeci przypadek, chiński (GTG-17002), obejmował zestaw około 16 modułów do walki elektronicznej i tłumienia obrony przeciwlotniczej. W połowie projektu domyślny scenariusz symulacji przełączył się na dwanaście celów na Tajwanie.

Biologia i szczera autorefleksja Anthropic

Rozdział o biologii jest najbardziej samokrytyczny. Anthropic opisuje pięć zanonimizowanych przypadków z udziałem czynnych naukowców, którym Claude pomógł w potencjalnie niebezpiecznych projektach podwójnego zastosowania. W jednym z nich klasyfikator biobezpieczeństwa zablokował wniosek grantowy dotyczący badań nad wzmocnieniem funkcji wirusa chikungunya, planowany w wojskowym instytucie badawczym. Operator używanej platformy zbudował obejście kierujące odrzucone zapytania do modelu konkurencji – a większość kodu napisał sam Claude.

Inne projekty przebiegały w dużej mierze bez przeszkód, jak choćby przygotowanie wniosku o geny unikania odpowiedzi immunologicznej w ortopokswirusach. Wniosek jest taki, że klasyfikatory nie mogą jednocześnie umożliwiać pożytecznej pracy i zapobiegać krzywdzie, bo intencji użytkownika w obszarach podwójnego zastosowania nie da się wiarygodnie wykryć. W odpowiedzi Anthropic wprowadził Claude Fable 5 z ostrzejszymi zabezpieczeniami dla zapytań biologicznych oraz mechanizm „zachowanego myślenia” z Fable 5.1, który ma powstrzymywać nowe konta API przed manipulowaniem kontekstem. Zdaniem firmy jedyna bezpieczna droga do zdolności frontier w biologii prowadzi przez programy dla zweryfikowanych użytkowników.

Co to oznacza dla przyszłości bezpieczeństwa AI

Raport Anthropic pokazuje wyraźnie, że autonomia obniża koszty po stronie atakującego i sprawia, że cele wcześniej nieopłacalne stają się warte uwagi. To zmiana systemowa, a nie pojedynczy incydent. Modele przestają być wyłącznie narzędziem produktywności – stają się infrastrukturą, którą można nadużyć na skalę przemysłową, od inwigilacji obywateli po programy rakietowe.

Dla zespołów budujących i wdrażających systemy AI płynie z tego kilka wniosków. Po pierwsze, zabezpieczenia na poziomie modelu nie wystarczą, gdy użytkownik może obejść je przez konkurencyjny system. Po drugie, wykrywanie nadużyć musi działać szybciej niż tempo, w jakim agenci przepisują własny kod. Po trzecie, w obszarach podwójnego zastosowania – zwłaszcza biologii i broni – weryfikacja użytkownika staje się nie dodatkiem, lecz warunkiem koniecznym. Pytanie na najbliższe miesiące brzmi: czy branża wypracuje wspólne standardy, zanim kolejny raport będzie musiał opisywać jeszcze poważniejsze przypadki.

Źródło

Może Cię zainteresować