Anthropic beskriver avbrutt misbruk av Claude på syv skadeområder

Anthropic publiserte den 10. september 2026 sin trusselintelligensrapport for september 2026, som beskriver hvordan deres trusselintelligens‑team identifiserte og avbrøt trusselaktører som misbrukte Claude mellom desember 2025 og august 2026 på tvers av syv skadeområder, inkludert cyberoperasjoner, påvirkningsoperasjoner, overvåkning og ulovlig modell‑destillasjon.

Rapporten, «Detecting and countering misuse of AI: september 2026», dekker aktivitet innen cyberoperasjoner, påvirkningsoperasjoner, overvåkning, svindel og bedrageri, biologisk misbruk, konvensjonell våpenutvikling og destillasjon. Misbruks­sakene involverte Claude‑modellene Haiku, Sonnet og Opus; ingen av dem involverte Claude Fable eller Mythos‑klassen, bortsett fra ett ulovlig destillasjons­tilfelle. Anthropic følger aktørene under interne Generative Threat Group‑ (GTG‑) betegnelser og måler det de kaller «uplift», den kapasitetsøkningen AI gir en operasjon i form av hastighet, omfang og dybde. Selskapet opplyser at de i hvert tilfelle avbrøt aktiviteten, brukte funnene til å styrke sine sikkerhetstiltak, og delte etterretning med myndigheter og bransjepartnere der det var hensiktsmessig, og legger til at de publiserer casestudiene fordi «vi mener vi har et ansvar for å avsløre ondsinnet misbruk av våre tjenester».

Cyberoperasjoner

Den mest omfattende cyber‑saken i rapporten, registrert som GTG-20006, omhandler en aktør som Anthropic sier stemmer overens med offentlige rapporter som knytter den til Midnight Blizzard; én operatør er en russisktalende som bruker aliaset «JackPoterz». Aktøren målrettet mer enn 20 organisasjoner, hovedsakelig innen den ukrainske regjeringen, militæret og diplomatiske organer, kompromitterte minst tre leverandører av hotell‑Wi‑Fi for å kapre DNS‑poster, overtok WhatsApp‑kontoene til minst to tidligere høytstående ukrainske tjenestemenn, og stjal over 300 000 nasjonale identitetsregistre samt kommersielle registre som dekker mer enn en halv million selskaper fra en nordafrikansk myndighets‑teknologisk autoritet. Ifølge rapporten modifiserte aktørens AI‑agenter autonomt og gjenoppbygde skadelig programvare hver gang sikkerhetsprodukter oppdaget den.

GTG-50014 omfatter operatører som mistenkes for tilknytning til kollektivet ShinyHunters, hvis rutiner for innsamling av legitimasjon masse‑lastet ned 1,8 millioner Android‑APK‑filer og skannet dem for hardkodede hemmeligheter. Anthropic rapporterte at ett kompromittert teknologileverandør eksfiltrerte mer enn en terabyte med data, inkludert millioner av betalingskortoppføringer, mens en annen tilknyttet enhet hentet data fra omtrent 200 nedstrømskunder av en kompromittert SaaS‑leverandør og dumpet mer enn 2 100 Azure AD‑token‑sett som dekket over 40 bedrifts‑leietakere i omtrent 34 timer, med AI‑agenter som utførte nesten alt arbeidet.

Tre ytterligere saker viser bredden i den beskrevne aktiviteten. GTG-10007, kinesisktalende operatører sannsynligvis basert i Changsha, Hunan, hvor to av dem ble identifisert som bachelorstudenter, målrettet omtrent femti organisasjoner og drev et autonomt sårbarhetsforskningsprogram der én arbeidsflyt som itererte på nettverksapparater ga mer enn et dusin mulige zero‑day‑funnet i løpet av én måned. GTG-50020, en russisktalende økonomisk motivert aktør, eksfiltrerte omtrent 26 gigabyte fra ett offer, krevde 1,5–2,5 millioner dollar i løsepenger, og angrep deretter omtrent tretti AI‑selskaper i omtrent fire dager med mål om å få tilgang til en forhåndsutgitt Claude‑modell; Anthropic opplyser at alle forsøkte veier mislyktes og deres egne systemer aldri ble kompromittert. GTG-50029, en enkelt fransktalende hacktivist, utnyttet en tidligere udokumentert WordPress‑re‑installasjons‑raserkondisjon mot minst fire nettsteder, oppnådde intern tilgang til minst 14 av 42 sporede mål, eksfiltrerte omtrent 140 000 poster inkludert brukernes politiske meninger fra en kampanjeplattform, og bygde en doxxing‑plattform kalt fafsearch lastet med titalls millioner rader.

Påvirknings‑ og overvåkningsoperasjoner

Ni påvirkningsoperasjons‑saker i rapporten hadde opphav i Russland, Iran, Tyrkia, Gulfregionen, Sør‑Asia, Afrika og Europa, med rekkevidde målt på Brookings Institutions Breakout‑skala. I GTG-04001 produserte en russisktalende aktør i Bangui daglig innhold for Radio Lengo Songo (98,9 FM), en stasjon Anthropic knyttet til Politology, Africa Corps/Wagner‑påvirkningsgrenen som de vurderer kom under kontroll av Russlands utenriksetterretjeneste sent på 2023; aktøren produserte forfalskede dokumenter fra Den sentralafrikanske republikk og arbeidskontrakter som påla lojalitet til landets president samt til Russland og dens styrker. Anthropic vurderte operasjonen som kategori fire på skalaen. I GTG-54002 sporet etterforskere omtrent 70 fabrikerte nyhetsnettsteder, 70 tilsvarende X‑kontoer og mer enn 250 uautentiske kommentarkontoer til LKM Company, et franskt digitalt reklamebyrå; nettverket publiserte minst 8 913 artikler på omkring 20 språk, hvorav 318 fokuserte på Den demokratiske republikken Kongo.

Andre operasjoner var bygget rundt valg og statlig media. GTG-84005, en kommersiell valgmanipuleringsplattform rettet mot Malaysia som Anthropic knyttet til det Istanbul‑baserte BBS Bilisim Teknolojileri, håndterte omtrent 1 000 falske X‑kontoer på tvers av alle 222 malaysiske parlamentskretser og laget fabrikerte dossier mot en opposisjonspolitiker. GTG-24015 involverte fire kontoer som brukte Claude som et redaksjonelt skrivebord som leverte innhold til russisk statlig media, inkludert Sputnik Moldova, RIA Novosti, Sputnik en Español, Sputnik Africa og RT English; en tidligere sjefredaktør for Sputnik Moldova forsterket fabrikerte påstander om president Maia Sandu i forkant av Moldovas parlamentsvalg 28. september 2025. GTG-84002, en operasjon mot Muslim Brotherhood som Anthropic med høy sikkerhet knyttet til UAE‑regjerings‑offiserer, drev omtrent 300 uautentiske kontoer, skrev ghost‑testimonier for den 62. sesjonen av FN‑sikkerhetsrådet for menneskerettigheter, profilerte 18 medlemmer av Europaparlamentet, og samlet mot‑dossier om FN‑spesialrapportører.

Overvåknings­sakene inkluderer GTG-50027, der en enkelt sannsynlig konsulent basert i Bamako brukte Claude som hoved‑ingeniørressurs for Lakana 360, en nasjonal overvåkningsplattform bygget for Malis statlige etterretningstjeneste ANSE for å overvåke omtrent 25 millioner SIM‑kort på tvers av alle tre nasjonale mobiloperatører; Anthropic opplyser at kravet om dommer ble fjernet fra plattformens dossier‑generasjonskomponent på operatørens forespørsel. GTG-14010 omfatter en PRC‑regjerings‑tilknyttet aktør som brukte Claude til å spore, profilere og forsøke å rekruttere uigurer i Syria, og tilbød betaling for rapportering om væpnede grupper mens Claude oversatte svar i sanntid og spilte rollen som ekspert for å kvalitetssikre bedraget. I GTG-14020 og GTG-14021 produserte Kina‑baserte aktører som Anthropic knyttet til PRC‑religiøse saker og kommunale offentlige og statlige sikkerhetsaktiviteter, malbaserte dossier om katolske kardinaler, det presbyterianske kirken i Taiwan, tibetanske buddhister og Falun Gong, og én aktør omgikk en avvisning for å innhente undertrykkelses‑veiledning som navnga 10 private borgere for «kontroll» sammen med pre‑operasjonell informasjon om utenlandske protester. GTG-34007 omfatter to tilknyttede iranske enheter som opererte 16 Claude‑kontoer og hevdet å ha overvåket og profilert 6 388 iranere i løpet av ett år, gjennomførte sosial‑nettverksanalyse av 155 216 tweeter som navnga 39 opposisjonskontoer, og distribuerte en ondsinnet Firefox‑utvidelse for masse‑innhenting av identiteter, som matet et delt saks‑håndteringssystem kalt Arman.

Våpenutvikling og biologisk misbruk

Rapporten beskriver seks konvensjonelle våpensaker: tre i Kina, to i Russland og én i Jemen. I GTG-87001 brukte en celle i nord‑Jemen Claude Code i stedet for menneskelige programvare‑ingeniører for å utvikle styrings‑, navigasjons‑ og kontrollprogramvare for en styrt rakett, et flertrinns ballistisk missil med et oppgitt rekkeviddemål over 2 000 km, og et variantsett som inkluderte et hypersonisk glidefartøy; Anthropic opplyser at cellen test‑fyrte en styrt rakett og felttesten ser ut til å ha mislyktes. GTG-27005 omfatter sannsynligvis frilans‑baserte russiske aktører som brukte Claude Code til å bygge en autonom FPV‑kamikazedronesverm der den innebygde modellen kunne velge mål, inkludert en «person»-klasse, og utstede detonasjons‑kommandoer uten menneskelig innblanding, ved å trene en visuell klassifikator på innsamlet ukrainsk kamp‑opptak. I GTG-17002 bygde en Kina‑basert aktør et omtrent 16‑moduls elektronisk krig‑ og luftforsvar‑undertrykksystem og endret midt i prosjektet simuleringens standardscenario til 12 mål i Taiwan, inkludert et kommandobunker, en tidlig‑varsling‑radarstasjon og Patriot‑ og Tien Kung‑batterier; Anthropic vurderer at aktøren var knyttet til PRC‑forskningsinstitusjoner, inkludert PLA Academy of Military Sciences.

Fem casestudier om biologisk misbruk følger. I mai 2026 blokkerte Anthropics klassifikator for biologisk sikkerhet en forespørsel om å hjelpe til med å skrive en tilskudds­søknad for chikungunya gain‑of‑function‑forskning ment for et militært forskningsinstitutt, kanalisert gjennom en unnvikelsesplattform som senere la til en fallback som sendte avviste forespørsler til en konkurrentmodell. En forsker i en region uten støtte brukte uker på å planlegge eksperimenter for å tilpasse fugleinfluensa til pattedyr, men Anthropic opplyser at deres klassifikatorer begrenset utvekslingene til Claude Sonnet 4 og Haiku 4.5, deres svakeste modellklasse. I en tredje sak, en videreselger som betjente mer enn et dusin uavhengige kunder, kjørte én brukers oppgave fullstendig på Opus 5 og utarbeidet en immun‑unnvikelses‑tilskudds­søknad for et ortopoxvirus fra start til slutt på omtrent én time. To ytterligere saker involverte gift‑ og toksin‑omdesign‑programmer med statlig støtte. Anthropic sa at en gjennomgang av 30 dagers aktivitet knyttet til motstridende statlige institusjoner avdekket omtrent 35 ulike forskningsinnsatser, de fleste vanlige sivile vitenskaper, men noen med bemerkelsesverdig dobbeltbrukspotensial.

Svindel og ulovlig destillasjon

I delen om svindel og bedrageri dekker GTG-15001 et Kina‑basert app‑studio som brukte Claude til å drive et nettverk av mer enn 20 dating‑apper hvor AI‑personas, totalt over 4 700, samtalte med minst 25 000 unike individer i løpet av et to‑ukers vindu i april 2026, og utvekslet omtrent 2,36 millioner meldinger. Studioet blandet ekte gig‑arbeidere inn i samme match‑feed med et forhold på omtrent tre til én AI‑persona per ekte person, og personene fikk beskjed om aldri å avsløre at de var automatiserte.

Anthropic opplyser at siden februar 2026 har de avbrutt destillasjons‑angrep fra syv Kina‑baserte laboratorier, alle rettet mot deres generelt tilgjengelige modeller. I GTG-16005 tilskrev Anthropic Alibaba den største destillasjonskampanjen de har målt: kjede‑av‑tanke‑destillasjon av Opus 4.6 og 4.7 som nådde nesten 3 millioner utvekslinger per dag fra mer enn 3 500 svindel‑kontoer, med over 151 millioner utvekslinger observert mellom mai og juli 2026, og de innsamlede transkripsjonene ble brukt til å trene Qwen 3.5, 3.6 og 3.7. I GTG-16002 videresendte Moonshot AI stille kundebegjæringer til Claude i stedet for sine Kimi‑modeller, og overførte nesten 300 000 forespørsler over ti dager gjennom 5 380 svindel‑kontoer, og benyttet et kryss‑sesjons‑replay‑angrep på Claudes tenkesignaturer for å trekke ut resonnerings‑spor, med over 23 millioner utvekslinger observert mellom mai og juli 2026. I GTG-16001 brukte DeepSeek samme replay‑teknikk og videresendte brukernes forespørsler til Claude Opus uten deres kunnskap, og logget over 12,1 millioner utvekslinger i 14 dager i juli 2026; Anthropic rapporterte at den videresendte trafikken avslørte sensitivt materiale, inkludert levende påloggingsinformasjon for en russisk regjerings‑database og et PRC‑politi‑saks‑håndteringssystem.

De resterende navngitte kampanjene inkluderer Zhipu, som gjennomførte 770 609 utvekslinger via en kjede‑av‑tanke‑renser i løpet av ti dager og målrettet cyberkapasiteter foran sin GLM 5.3‑utgivelse, samt Xiaomi, som rutet mer enn 400 000 forespørsler gjennom mer enn 1 500 kontoer. Anthropic rapporterte også at SenseTimes destillasjons‑pipeline inkluderte Claude‑transkripsjoner kjøpt fra tredjeparts dataleverandører, og at MiniMax bygde et proxy‑nettverk gjennom et skall‑selskap som kun tilbød Anthropic‑ og OpenAI‑modeller.

Anthropic beskriver lagdelte mottiltak mot ulovlig destillasjon: metadata‑basert attribusjon av proxy‑tjenestenettverk, ekstraksjons‑klassifikatorer styrket i forbindelse med lanseringen av Fable 5, oppsummerte intern resonnering for å gjøre stjålne transkripsjoner mindre nyttige for trening, bevarte tenkning introdusert med Fable 5.1 som hindrer nye API‑kontoer fra å endre system‑prompten, verktøyene eller meldingene som går foran Claudes resonnering i fler‑runders‑samtaler, samt krav om identitetsverifisering for kontoer som viser tegn på potensiell misbruk, hvor kontoer som mislykkes i verifiseringen blir utestengt. Selskapet sier at det de lærer mens de etterforsker og avbryter destillasjons‑angrep vil fortsette å informere de sikkerhetstiltakene de bygger.