ИИ перестал помогать хакерам. Теперь он работает вместо них

10 сентября Anthropic выложила отчёт на 154 страницах о том, как её моделями пытались пользоваться не по назначению. Внутри десятки операций, которые компания нашла и остановила с декабря 2025 по август 2026. Семь направлений вреда: кибератаки, информационные операции, слежка, мошенничество, биология, обычное оружие и нелегальное копирование моделей.

Я прочитал отчёт целиком. Это самый честный документ об ИИ, который я видел в этом году, и одновременно самый неприятный. Потому что главная новость в нём не про то, что ИИ помогает злоумышленникам. Она про то, что ИИ теперь делает работу за них.

Сдвиг, из-за которого стоит читать весь отчёт#

Раньше картина была простая: человек спрашивает у модели, как написать вредоносный код, модель отказывается или отвечает, человек идёт работать руками. Сейчас иначе. В большинстве описанных операций ИИ не советует, а исполняет. Многоагентные системы сами ведут разведку, сами находят вход, сами вытаскивают данные. Человек остаётся только на двух вещах: выбрать жертву и забрать добычу.

Anthropic формулирует это как переход от помощника к оркестратору. Схему, которую компания впервые описала в ноябре 2025 года, к сентябрю освоили все категории атакующих: и государственные службы, и криминал, и одиночки. Помогли публичные фреймворки вроде PentAGI, которые повторяют ту же обвязку для любого, кто их скачал.

Русская кампания, которая переписывает свой вирус на ходу#

Группа под кодом GTG-20006, которую Anthropic связывает с Midnight Blizzard, построила рабочий цикл, где ИИ следит за реакцией антивирусов и автоматически перебирает и пересобирает инструментарий, когда его начинают блокировать.

Это ломает экономику защиты. Двадцать лет оборона работала так: защитники находят вредоносный код, пишут на него сигнатуру, атакующий тратит недели на переделку. Теперь переделка занимает часы и стоит копейки. Издержки переехали на сторону защитников.

Цели: больше 20 организаций, в основном министерства, оборонные ведомства, дипломатические миссии и подрядчики в Украине и Европе. Особый интерес у них был к дронам. Атакующие выгрузили почту минимум двух производителей комплектующих и украли целиком проприетарный комплект разработки для системы машинного зрения дрона. А в технологическом ведомстве одной североафриканской страны, зайдя через украденный доступ к VPN, они забрали базу целиком: больше 300 тысяч записей национальных удостоверений личности и коммерческий реестр более чем полумиллиона компаний.

Криминал догнал государства#

Самый впечатляющий по масштабу кейс GTG-50014 связан с партнёрами группировки ShinyHunters. Вот что они сделали с помощью агентов:

• скачали 1,8 млн разных Android-приложений, разобрали их и просканировали на забытые в коде пароли и ключи;
• взломав одного поставщика ПО, добрались до данных примерно 200 его клиентов;
• за 34 часа выгрузили больше 2100 наборов токенов Azure AD из более чем 40 корпоративных аккаунтов, причём почти всю работу сделали агенты;
• в авиакомпании получили доступ к системам с десятками миллионов записей о пассажирах;
• в энергетической компании заявили, что могут дистанционно менять силу тока у домашних зарядок для электромобилей.

Обратите внимание на последний пункт. Это уже не про утечку данных, а про физический мир в чужих руках.

Студенты, агенты и дюжина уязвимостей в месяц#

Кейс GTG-10007 я перечитал дважды. Операцию вели китайскоязычные люди, предположительно из Чанши в провинции Хунань. Двое опознаны как студенты бакалавриата местного университета, факультет компьютерной и коммуникационной инженерии. Один успел постажироваться в охранной компании Sangfor и проходил интервью в QiAnXin.

Они собрали то, что Anthropic называет фабрикой эксплойтов: конвейер, где агенты круглосуточно разбирают прошивки сетевого оборудования и ищут дыры, работая параллельными потоками и сохраняя память проекта между сессиями. Один такой конвейер выдал больше десяти вероятных уязвимостей нулевого дня за один месяц.

Группа, в которой работали студенты. Один месяц. Больше дюжины вероятных уязвимостей. Десять лет назад это была бы работа целого государственного управления.

Один человек против политической Европы#

Весной 2026 года один франкоязычный активист взял в цель европейские партии, медиа, аналитические центры и их подрядчиков. Он написал на Rust сканер, который искал в публичных контейнерах забытые ключи доступа, и научился гонять свой трафик через украденные ключи, чтобы выглядеть как их законный владелец.

Его личный инструмент назывался fafsearch: собственный поисковик по утечкам с конвейером загрузки, нормализацией номеров документов и телефонов и ранжированием. Он залил туда десятки миллионов строк, включая медицинские идентификаторы и данные из взломов судебной системы, и выложил результат в виде анонимных сервисов в даркнете. Из одной платформы для управления политической кампанией он выгрузил около 140 тысяч записей, где были указаны политические взгляды людей.

Теперь крадут не данные, а доступ к ИИ#

Появился новый вид добычи. Ключи от ИИ-сервисов ценны сразу трижды: их можно перепродать, на них можно бесплатно считать свои атаки и за ними можно спрятать себя от следствия.

Группа GTG-50020, которая раньше жила на взломах отелей и финтеха (26 гигабайт данных из одной жертвы, требования выкупа от 1,5 до 2,5 млн долларов), переключилась на саму индустрию ИИ. Она внедрила вредоносные инструкции в автоматическую тестовую песочницу одного поставщика и заставила её отдать боевые ключи сразу нескольких провайдеров.

Другая группа, GTG-50021, торговала дешёвым доступом к Claude. Доступ оказался не дешёвым и не к Claude: трафик тихо уводили на другую модель, а заодно ставили клиентам сборщик паролей и перепродавали их учётки дальше.

Практический вывод простой. Ключи к ИИ и интеграции агентов надо охранять как боевые пароли к продакшену, потому что атакующие относятся к ним именно так. Скидка, которая требует пустить ваш трафик через неизвестного посредника, стоит дороже, чем экономия.

Фабрика новостей на 70 сайтов#

В разделе про информационные операции девять случаев. Самый показательный вёл не государственный орган, а французское рекламное агентство LKM Company. Сеть выглядела как независимые местные редакции: около 70 сайтов с новостями, 70 привязанных аккаунтов в X и больше 250 аккаунтов для комментариев. За время работы она выпустила минимум 8913 статей примерно на 20 языках. Политическую позицию сеть меняла в зависимости от того, кто в этот момент платил.

Рядом стоит стамбульская компания BBS Bilisim Teknolojileri, которая продавала платформу для влияния на выборы в Малайзии. Тысяча фальшивых аккаунтов, фейковое издание Malaysia Pulse и разметка избирателей округ за округом на основе загруженных данных переписи. В своей же документации авторы описывали это как экосистему политических операций военного уровня в реальном времени.

А в Бангладеш всю сеть тянул один человек из района Гайбандха, который крутил 29 аккаунтов и запускал самописный скрипт для генерации фальшивых новостей на бенгальском.

25 миллионов SIM-карт в одной стране#

Раздел про слежку читается тяжелее всего. Один консультант из Бамако, работавший на госбезопасность Мали, использовал Claude как весь инженерный отдел и построил систему Lakana 360, которая следит примерно за 25 миллионами SIM-карт у всех трёх операторов страны. Систему специально спроектировали так, чтобы обходить требование малийского закона о судебном решении: она выдавала дело на любой номер, не требуя от сотрудников спецслужбы правовых оснований.

Дальше по списку: иранская структура, которая, по собственным заявлениям, за год профилировала 6388 граждан и прогнала через анализ 155 216 твитов; китайские органы, которые собирали досье на католических кардиналов, руководство Пресвитерианской церкви Тайваня, тибетских буддистов и последователей Фалуньгун; муниципальная киберполиция с программой мониторинга настроений и студент полицейской академии, который сдал десять частных лиц как объекты внимания.

Рой дронов, которому не нужен человек#

Шесть кейсов про обычное оружие: три в Китае, два в России, один в Йемене.

Россияне строили полный стек для роя дронов-камикадзе: общую память роя, отказоустойчивую логику координации, маленькую модель на борту для выбора поведения, терминальное наведение по камере и команду на подрыв. Среди классов целей был человек, а команда на подрыв могла уходить без участия оператора. Проект назывался DronDoc или Serafim.

В северном Йемене группа вела три программы сразу: управляемая ракета на бытовом телефонном процессоре в роли полётного компьютера, баллистическая ракета с заявленной целью по дальности выше 2000 км и набор R2000, включая вариант с гиперзвуковым планирующим блоком. Claude Code у них работал вместо инженеров-программистов и писал софт управления и навигации.

Китайские кейсы скромнее по драматизму, но не по смыслу: спецификация системы управления огнём против торпед и техническое предложение на 200 с лишним страниц, комплект из 16 модулей радиоэлектронной борьбы, доведённый до 12-й версии, и разведывательные справки по оружию направленной энергии для закрытого распространения.

Биология, где никто не говорит правду до конца#

Пять случаев, и Anthropic сознательно не называет ни институты, ни страны, ни конкретные патогены. Логика такая: это работающие учёные, компания не утверждает, что они хотели вреда, а публикация имён может им навредить.

Внутри при этом вещи, от которых холодно: работа по повышению опасности вируса чикунгуньи в рамках государственного гранта, планирование экспериментов по адаптации птичьего гриппа к млекопитающим, заявка на грант по обходу иммунитета для ортопоксвируса, написанная за час, атлас пептидов яда с генеративной оптимизацией и вычислительная переделка токсинов для национальной программы, где исследователь просил модель специально размывать в отчётах, о каких именно агентах речь.

Anthropic прямо сравнивает это с советским Биопрепаратом, где тысячи исследователей работали, не зная конечной цели программы.

4700 людей, которых не существует#

Мошеннический кейс один, зато показательный. Китайская студия собрала больше 20 приложений для знакомств и наполнила их ИИ-персонажами, рекламируя сервис как полностью человеческий. За две недели апреля 2026 года 4700 разных персонажей поговорили минимум с 25 тысячами людей и отправили около 2,36 млн сообщений.

В ленте свайпов 75% профилей были моделью, 25% живыми людьми, которых студия набирала как подработку. Живые нужны были для проверок: видеозвонок, подписка в соцсети, всё то, что модель не умеет. Приложения умели прятаться от проверки в магазинах: интерфейс менялся только на время ревью, а имена классов в двадцати версиях специально различались, чтобы магазины не связали их между собой.

И одна деталь, которая объясняет, почему это работает. В части разговоров модель сама в своих рассуждениях понимала, что человеку плохо, включая случаи, когда люди рассказывали о тяжёлой болезни. Роль она при этом не бросала.

Семь китайских лабораторий, которые копировали Claude#

Последний раздел самый жёсткий по фактам. С февраля Anthropic обнаружила и остановила кампании по нелегальной дистилляции со стороны семи лабораторий из Китая. Дистилляция это законный метод обучения, когда ответы сильной модели используют для тренировки слабой. Нелегальной её делают промышленный масштаб, сокрытие и мошенничество с аккаунтами.

• Alibaba провела крупнейшую атаку, которую Anthropic когда-либо измеряла: пик почти 3 млн обменов в сутки с более чем 3500 фальшивых аккаунтов, всего больше 151 млн обменов с мая по июль. Собранные цепочки рассуждений пошли в обучение моделей Qwen 3.5, 3.6 и 3.7. Claude там же помогал строить внутреннюю инфраструктуру и среды для обучения с подкреплением.
• Moonshot тихо пересылала запросы своих клиентов в Claude и показывала им ответы Claude как ответы Kimi. За десять дней почти 300 тысяч запросов через сеть из 5380 фальшивых аккаунтов.
• DeepSeek делала то же самое: больше 12,1 млн обменов за 14 дней в июле.
• Zhipu (за пределами Китая известна как Z.ai) выкачивала рассуждения для своих моделей GLM. Показательная деталь: после того как защита Fable сломала им атаку, сотрудники переключились на Opus 4.6 и на модель другой американской лаборатории, потому что решили, что там защита слабее.
• Xiaomi прогоняла через Claude диалоги и сессии кодинга из своих моделей MiMo, больше 400 тысяч обменов за 20 дней.
• SenseTime покупала транскрипты чужих разговоров с Claude у сторонних поставщиков данных, а MiniMax построила прокси-сервис через компанию-прослойку, которая не раскрывает связь с материнской фирмой и продаёт доступ только к моделям Anthropic и OpenAI.

И вот часть, которая касается лично вас. DeepSeek, Xiaomi и Moonshot заливали в Claude переписку своих собственных пользователей. В этих диалогах были имена, адреса электронной почты, корпоративные данные и живые ключи доступа сотен людей минимум на дюжине языков. Многие из них попали туда через сторонние сервисы-маршрутизаторы, которыми пользуются в США и Европе. То есть человек писал в один сервис, а его данные уезжали в другую страну и в третью компанию, и он об этом не знал.

Что с этим делать#

Отчёт удобно читать как остросюжетное чтиво, но у него есть практическая часть. Вот что я забрал для себя.

Ключи к ИИ теперь боевые пароли. Их надо ротировать, ограничивать по правам и мониторить так же, как доступ к базе с деньгами.

Покупать доступ только напрямую. Любой посредник с подозрительной скидкой это либо кража учёток, либо продажа ваших диалогов на сторону.

Сигнатурная защита умерла. Если атакующий пересобирает инструмент быстрее, чем вы выпускаете правило, защита строится на поведении, а не на отпечатках.

Интеграции агентов это тоже поверхность атаки. Песочницы, прокси, обёртки и внутренние инструменты с доступом к вашим системам ломают ровно так же, как ломают веб-приложения.

Данные, которые вы отдаёте в чужую модель, живут своей жизнью. Особенно если вы ходите в неё через роутер или дешёвого посредника.

Итог#

Anthropic остановила все описанные операции, забанила аккаунты и перестроила защиту. Это хорошо. Но сам документ читается как первая глава, а не как отчёт о закрытом инциденте.

Раньше сложность атаки говорила, кто за ней стоит. Государство тянуло одно, одиночка другое. Теперь это правило не работает: студент, активист и спецслужба пользуются одинаковой обвязкой и получают сравнимый результат. А значит, планировать защиту надо не от того, кто вас может захотеть взломать, а от того, что теперь может сделать любой мотивированный человек с подпиской и ноутбуком.

Раньше защитники навязывали атакующим издержки. Теперь издержки навязывают нам, и делает это не человек, а расписание задач.