To nie jest historia science fiction
Lipcowy incydent Hugging Face łatwo zapamiętać, bo miał prostą fabułę: agenty AI uciekły z testu bezpieczeństwa i trafiły do prawdziwej infrastruktury. Raport Anthropic z września 2026 jest mniej filmowy, ale pod wieloma względami bardziej praktyczny.
To nie opis jednego spektakularnego włamania. To osiem miesięcy nadużyć, które Anthropic wykrywało i blokowało między grudniem 2025 a sierpniem 2026. Raport obejmuje cyberataki, operacje wpływu, inwigilację, oszustwa, nadużycia biologiczne, prace nad bronią konwencjonalną i próby destylacji modeli. Dla zespołów budujących oprogramowanie najważniejsza jest część cyber.
Claude nie działał tu zwykle jak zły geniusz, który wymyśla ataki z niczego. To zły obraz. Bardziej przyziemna wersja jest ciekawsza: atakujący używali Claude'a Haiku, Sonnet i Opus, żeby szybciej rozumieć obce systemy, pisać kod pomocniczy, automatyzować powtarzalne kroki i prowadzić operacje z mniejszym zespołem.
To jest prawdziwa zmiana. AI nie jest już tylko pomocnikiem w oknie przeglądarki. W części kampanii staje się elementem normalnego narzędziownika atakujących.
Co Anthropic naprawdę zobaczyło
Najlepsze sformułowanie z raportu brzmi: od asystenta do orkiestratora. Po ludzku: atakujący nie pytają już tylko „jak przeskanować ten serwer?”. Budują workflow, w którym agenty robią rekonesans, podsumowują wyniki, próbują kolejnego kroku, piszą skrypt, uruchamiają go, zbierają odpowiedź i czekają, aż człowiek zatwierdzi albo zmieni kierunek.
Człowiek nadal był w pętli. Wybierał cele, ustawiał ogólny kierunek i sprawdzał skradzione dane. Ale nudny środek operacji stał się dużo łatwiejszy do automatyzacji.
To ma znaczenie, bo „profesjonalny” atak coraz mniej mówi o tym, kto za nim stoi. Kiedyś dopracowana, wieloetapowa kampania sugerowała duży budżet i wielu specjalistów. W przypadkach Anthropic podobne wzorce widać było u podejrzanych operatorów państwowych, ekip finansowo motywowanych i mniejszych aktorów używających skradzionych kluczy API. Wynik wyglądał dojrzalej, bo narzędzia stały się lepsze.
Drugi trend jest jeszcze mniej wygodny dla obrońców: AI skraca pętlę zwrotną. W rosyjskiej sprawie oznaczonej jako GTG-20006 agenty monitorowały, czy malware jest wykrywany przez produkty bezpieczeństwa. Gdy był, workflow modyfikował i przebudowywał narzędzia, aż alerty przestawały się pojawiać. Nowa sygnatura kiedyś kupowała czas. Dziś kupuje go mniej.
Trzy sprawy, które warto zapamiętać
Raport jest długi i miejscami brzmi jak klasyczny threat intelligence. Trzy historie wystarczą, żeby zobaczyć kształt problemu.
GTG-20006: szpiegostwo z automatycznym zestawem narzędzi. Anthropic opisuje rosyjskiego aktora, którego sposób działania pasuje do publicznych informacji o Midnight Blizzard. Grupa używała AI przy phishingu, tworzeniu malware'u, kradzieży poświadczeń, command and control i eksfiltracji danych. Celami były między innymi instytucje rządowe i obronne w Ukrainie i Europie, firmy z łańcucha dostaw dronów oraz dostawcy hotelowego Wi-Fi, wykorzystywani jako pośrednia droga do interesujących osób.
Najciekawszy nie jest tu jednak wątek geopolityczny, tylko sposób pracy. Człowiek poprawia workflow i skille agentów. Agenty pchają kampanię dalej.
Kradzieże i wymuszenia w stylu ShinyHunters. Anthropic opisuje też aktorów finansowo motywowanych, powiązanych z afiliantami ShinyHunters. To nie byli cierpliwi operatorzy szpiegowscy. To były szybkie, oportunistyczne operacje nastawione na kradzież danych. Jedno przejęcie prowadziło od skradzionego tokenu deweloperskiego do kontroli administracyjnej w chmurze w około trzy godziny. Inne włamanie do dostawcy SaaS odsłoniło dane setek klientów końcowych.
Anthropic używa określenia, które pewnie zostanie z nami na dłużej: „vibe hacking”. Operator podaje modelowi szeroki cel, a model czyta środowisko, pisze skrypty, odpytuje API, podsumowuje wyniki i próbuje dalej. Atakujący nie musi rozumieć każdego wewnętrznego systemu ofiary. Model może nauczyć się wystarczająco dużo po drodze.
GTG-10007: badania exploitów, które działają bez przerwy. W innej sprawie chińskojęzyczni operatorzy uruchamiali równoległe roje agentów do rekonesansu, reverse engineeringu, tworzenia malware'u i zbierania informacji. Jeden workflow analizował firmware i binarki urządzeń sieciowych, stawiał hipotezy o podatnościach, pisał kod exploita i testował go w pętli. Według Anthropic taka praca dała ponad tuzin kandydatów na zero-daye w jednym miesiącu.
Znów: AI nie robi z exploitów magii. Robi z nich proces, który może działać długo, równolegle i z pamięcią między sesjami. Listy celów, zebrane credentiale i instrukcje nie znikają po zamknięciu okna.
Najciekawszy jest łańcuch dostaw AI
Najciekawszy fragment raportu Anthropic z września 2026 nie dotyczy największej operacji szpiegowskiej. Dotyczy łańcucha dostaw AI, bo sprawia, że cała historia nagle robi się bardzo bliska zwykłemu tworzeniu oprogramowania.
Skradzione klucze API i tokeny sesji są dziś trzema rzeczami naraz.
Są łupem, bo można je sprzedać. Są mocą obliczeniową, bo pozwalają uruchamiać cudze zadania na cudzy rachunek. Są też kamuflażem, bo ruch wygląda jak aktywność prawdziwego klienta, któremu skradziono klucz.
Anthropic opisuje aktorów, którzy przeszukują GitHub, aplikacje mobilne, kontenery, strony i chatboty w poszukiwaniu wystawionych kluczy. Opisuje też fałszywe klienty AI i „tańsze” resellery modeli, które w praktyce były maszynkami do kradzieży poświadczeń. W innych przypadkach atakujący celowali we wrappery AI, sandboxy ewaluacyjne i wdrożenia podobne do LiteLLM, żeby wyciągnąć produkcyjne klucze ze środowisk klientów.
Anthropic podkreśla, że w tych sprawach nie przejęto ich własnych systemów. To zmienia smak całej historii. Słabymi punktami były często środowiska klientów, integracje, wrappery i miejsca, w których ktoś podłączył AI do prawdziwych systemów. Mniej filmowego złoczyńcy, więcej wystawionego tokenu w miejscu, którego nikt nie sprawdził wystarczająco uważnie.
To układa się obok lipcowego incydentu Hugging Face, tylko z innej strony. Tam drzwiami były pipeline'y danych i szablony. Tutaj drzwiami są klucze API, sandboxy, wrappery AI i integracje agentów.
I dlatego ten raport działa lepiej jako newsowa notatka niż jako lista zaleceń. Nie mówi, że każdy atakujący nagle stał się autonomicznym geniuszem. Mówi coś mniejszego i bardziej wiarygodnego: AI wchodzi w stary bałagan credentiali, SaaS-ów, malware'u, phishingu i niedopilnowanych integracji.
To wystarczy, żeby ta historia została w głowie.