Anthropic opisało przypadki nadużyć Claude’a wykryte i zakłócone od grudnia 2025 do sierpnia 2026 r. Raport obejmuje siedem obszarów od cyberoperacji i inwigilacji po oszustwa, broń oraz nielegalną destylację modeli i pokazuje przejście od rozmowy z chatbotem do agentów wykonujących wieloetapową pracę. Nie dowodzi jednak skali zjawiska w całym internecie ani pełnej autonomii napastników.
Anthropic widzi zachowanie kont w swoich usługach, blokuje je i na tej podstawie rekonstruuje działania. Ma dzięki temu wyjątkowy wgląd w przygotowanie operacji, ale ograniczoną widoczność po opuszczeniu Claude’a. Autorzy sami zaznaczają, że wybrali najbardziej znaczące i nowe przypadki, a nie typowy przekrój nadużyć.
Siedem obszarów, jedno wspólne zjawisko
Wrześniowy raport Anthropic, opublikowany 10 września 2026 r., obejmuje cyberoperacje, operacje wpływu, inwigilację, oszustwa i wyłudzenia, nadużycia biologiczne, rozwój broni konwencjonalnej oraz nielegalną destylację. W działaniach pojawiały się modele Claude Haiku, Sonnet i Opus. Według firmy przypadki nie dotyczyły Claude Fable ani klasy Mythos, poza jednym przypadkiem destylacji.
| Obszar | Opisana rola AI | Najważniejsze ograniczenie dowodu |
|---|---|---|
| Cyberoperacje | rekonesans, rozwój narzędzi, eksploatacja i przetwarzanie danych | telemetria dostawcy bez pełnego mianownika |
| Operacje wpływu | produkcja treści, person i infrastruktury kampanii | duża produkcja nie oznacza dużego zasięgu |
| Inwigilacja | profilowanie, analiza sieci i budowa oprogramowania | część operacji wykryto przed użyciem wobec realnych celów |
| Oszustwa | tworzenie aplikacji oraz prowadzenie rozmów przez persony AI | znana aktywność w Claude nie ujawnia pełnych strat finansowych |
| Biologia i broń | wsparcie badań, dokumentacji, symulacji i kodu | zamiar, dojrzałość i skuteczność są nierówne |
| Destylacja | masowe pozyskiwanie odpowiedzi modelu nauczyciela | atrybucja i skala pochodzą od strony poszkodowanej |
Wspólnym mianownikiem nie jest nowa klasa technik. Jest nim obniżenie kosztu pracy: tworzenia kodu, analizy wielu rekordów, tłumaczenia, powtarzania prób i koordynowania zadań. To dokładnie ten mechanizm, który brytyjskie National Cyber Security Centre wskazuje jako bliskoterminowe ryzyko. NCSC ocenia, że AI będzie głównie wzmacniać istniejące taktyki i zwiększać ich skalę, a nie nagle tworzyć całkiem nowe wektory ataku.
Od asystenta do orkiestratora
Najmocniejszy wniosek raportu dotyczy sposobu użycia modeli. W jednych przypadkach Claude działał konwersacyjnie, pomagając pisać kod lub materiały. W innych wykonywał polecenia na systemach, ale człowiek zatwierdzał cele. Na końcu spektrum znalazły się wieloagentowe przepływy prowadzące rekonesans, eksploatację i kradzież danych przez wiele godzin lub dni.
Anthropic twierdzi, że większość opisanych cyberoperacji była wspierana przez bezpośrednie wykonanie albo orkiestrację AI. Jednocześnie raport podkreśla, że ludzie zachowali decyzje najważniejsze dla celu operacji: wybierali ofiary, decydowali o monetyzacji i przeglądali rezultaty. Autonomia techniczna nie jest więc równoznaczna z samodzielnym zamiarem.
To rozróżnienie ma znaczenie także dla legalnych agentów. Mechanizmy opisane w kontekście bezpieczeństwa Claude Code dostęp do narzędzi, plików i środowiska mogą zwiększać produktywność programisty, ale w rękach napastnika przyspieszają ten sam ciąg pracy. Ryzyko zależy nie tylko od modelu, lecz także od uprawnień, automatyzacji i możliwości działania równoległego.
Co pokazują konkretne przypadki
W cyberoperacjach Anthropic opisuje włamania realizowane w dwie lub trzy godziny oraz wielu poszkodowanych obsługiwanych równolegle przez pojedynczych operatorów. To mocna obserwacja o ekonomii ataku, ale nadal dane firmy, bez opublikowanego zbioru kontrolnego. Nie wiemy, ile porównywalnych prób się nie powiodło ani jak długo te same zadania zajęłyby tym samym ludziom bez Claude’a.
W operacjach wpływu jedna sieć miała opublikować co najmniej 8913 artykułów w około 20 językach na około 70 fałszywych stronach. Raport dodaje jednak ważny szczegół: większość treści uzyskała niewielkie widoczne zaangażowanie. AI pomogła więc zwielokrotnić produkcję, lecz nie dowiodła skuteczności perswazji.
W obszarze inwigilacji modele służyły do klasyfikowania postów, tworzenia profili i budowania narzędzi. Anthropic zestawia jeden przypadek komercyjnej platformy S2T z wcześniejszym śledztwem Forbidden Stories. Jednocześnie firma pisze, że nie znalazła dowodów na późniejsze wykorzystanie analizowanego łańcucha wobec realnych celów przed zablokowaniem konta.
W oszustwach szczególnie wymowna jest sieć ponad 20 aplikacji randkowych. W ciągu dwóch tygodni Anthropic wykryło ponad 4700 person AI rozmawiających z co najmniej 25 tys. osób. Model pomagał zarówno tworzyć oprogramowanie, jak i skalować samą interakcję. Liczby opisują zasięg rozmów, nie potwierdzone straty finansowe.
Sekcja o broni konwencjonalnej zawiera sześć przypadków. W jednym z nich komórka z Jemenu używała Claude’a do prac nad oprogramowaniem systemów naprowadzania. Anthropic nie ma dowodu na wdrożenie sprawnego urządzenia, a opisany test rakiety miał zakończyć się niepowodzeniem. W sekcji biologicznej przedstawiono pięć przypadków, ale autorzy mocno akcentują trudność odróżnienia legalnej pracy badawczej od przygotowania do szkodliwego użycia.
Jak czytać atrybucję i słowo „zakłócone”
Raport używa wewnętrznych oznaczeń Generative Threat Group i przypisuje działania aktorom państwowym, grupom finansowym, dostawcom inwigilacji oraz osobom politycznie motywowanym. Poziom pewności nie jest jednak wszędzie jednakowy. W części przypadków firma pisze o niskiej lub wysokiej pewności, w innych wprost stwierdza, że nie może potwierdzić deklaracji operatorów.
„Zakłócenie” oznacza przede wszystkim zablokowanie kont powiązanych z operacją, wzmocnienie zabezpieczeń i gdy uznano to za właściwe przekazanie danych władzom albo partnerom branżowym. To realna interwencja na platformie Anthropic, ale nie zawsze dowód zakończenia całej kampanii. Część narzędzi mogła już działać poza Claude’em, a operator mógł przenieść się do innej usługi lub modelu lokalnego.
Największy brak: mianownik i grupa porównawcza
Anthropic definiuje wzrost zdolności, czyli „uplift”, przez szybkość, skalę i głębokość działań. Taka rama pomaga opisać zmianę, ale case studies nie pokazują odsetka nadużyć w całym ruchu Claude’a, wszystkich prób ataku ani całego rynku modeli. Selekcja najbardziej nowych przypadków dodatkowo wzmacnia obraz skrajnych zastosowań.
NIST AI 800-1 proponuje rozbić ryzyko cybernetyczne na trzy efekty: automatyzację większej liczby działań przy tych samych zasobach, wzrost skuteczności oraz zwiększenie dostępności możliwości dla mniej doświadczonych osób. Ocena powinna porównywać model z realnymi narzędziami, uwzględniać umiejętności operatora i badać reakcję systemów obronnych.
Podobny kierunek wskazuje praca o mierzeniu harmful capability uplift: właściwe pytanie brzmi nie „czy model wygenerował szkodliwą treść?”, lecz „o ile zwiększył zdolność człowieka do wyrządzenia szkody ponad to, co umożliwiały dostępne narzędzia?”. Raport Anthropic dostarcza materiału obserwacyjnego, ale nie odpowiada na to pytanie w kontrolowany sposób.
Możliwość, autonomia i realny wpływ to trzy różne rzeczy
Model może umieć napisać fragment szkodliwego kodu, lecz nie musi samodzielnie zbudować niezawodnego łańcucha ataku. Agent może przez kilka godzin wykonywać zaplanowane kroki, ale nadal zależeć od człowieka przy wyborze celu, zdobyciu dostępu i ocenie wartości danych. Kampania może wreszcie produkować tysiące treści bez osiągnięcia mierzalnego wpływu na odbiorców.
Te trzy poziomy trzeba raportować osobno. Opis różnic między modelami Claude 5 pomaga zrozumieć, że nazwa rodziny nie jest jeszcze informacją o konkretnym wariancie, zabezpieczeniach i sposobie wdrożenia. W raporcie używano kilku klas Claude’a oraz zewnętrznych frameworków agentowych, więc rezultat jest własnością całego systemu człowiek–model–narzędzia, nie pojedynczej odpowiedzi czatu.
Dla czytelnika ważna jest też dotkliwość skutku. Większa autonomia może przyspieszyć przeciętną kampanię, lecz nie czyni jej automatycznie bardziej szkodliwą niż ręcznie kierowana operacja przeciw ważnemu celowi. Sam raport Anthropic podkreśla, że autonomia i szkoda leżą na osobnych osiach.
Co z raportu wynika dla obrony
Najbardziej praktyczny sygnał dotyczy przepustowości. Jeśli rekonesans, analiza danych i modyfikowanie narzędzi można uruchamiać równolegle, zespoły bezpieczeństwa muszą skrócić czas od ujawnienia podatności do aktualizacji. NCSC spodziewa się, że AI będzie szczególnie zwiększać tempo wykorzystywania znanych luk oraz prac nad exploitami.
Dostawcy modeli powinni łączyć klasyfikatory treści z obserwacją zachowania kont, wykrywaniem nietypowej skali, ochroną kluczy API i współpracą między platformami. Same odmowy w pojedynczej rozmowie nie wystarczą, gdy operator rozdziela pracę na wiele kont i sesji. Anthropic opisuje takie wzmacnianie zabezpieczeń, a wcześniejszy tekst AIOAI.pl pokazuje, jak firma podchodzi do jailbreaków w Claude Fable 5.
Dla organizacji korzystających z agentów ważne są najmniejsze potrzebne uprawnienia, odseparowane środowiska, zatwierdzanie wrażliwych działań, limity kosztów i tempa oraz dzienniki pozwalające połączyć decyzję człowieka z wykonaniem modelu. Trzeba wykrywać nie tylko pojedyncze groźne polecenie, ale wzorzec: serię legalnie brzmiących kroków składających się w szkodliwy proces.
Raport nie uzasadnia tezy, że AI samodzielnie wybiera cele i prowadzi wszystkie zaawansowane ataki. Pokazuje coś bardziej przyziemnego i prawdopodobnie ważniejszego: modele przejmują coraz większą część pracy operacyjnej, obniżając koszt skali i powtarzalności. To wystarczający powód do wzmocnienia obrony.
Częste pytania
Jakie nadużycia Claude’a zostały opisane przez Anthropic?
Raport Anthropic opisuje siedem obszarów nadużyć Claude’a, w tym cyberoperacje, inwigilację, oszustwa, broń oraz nielegalną destylację modeli. Każdy z tych obszarów pokazuje, jak AI może wspierać działania przestępcze, ale nie dowodzi pełnej autonomii napastników.
Dlaczego AI zwiększa ryzyko cyberoperacji?
AI obniża koszty pracy związanej z tworzeniem kodu, analizą danych i koordynowaniem zadań, co czyni cyberoperacje bardziej dostępnymi. National Cyber Security Centre zauważa, że AI wzmacnia istniejące taktyki, zwiększając ich skalę, a nie tworząc nowe wektory ataku.
Kiedy AI działa jako orkiestrator w cyberoperacjach?
AI działa jako orkiestrator, gdy wykonuje polecenia na systemach, a człowiek zatwierdza cele, lub w przypadku wieloagentowych przepływów, gdzie prowadzi rekonesans i kradzież danych. Raport podkreśla, że decyzje kluczowe dla celu operacji pozostają w rękach ludzi.
Które modele AI były używane w nadużyciach opisanych przez Anthropic?
W nadużyciach opisanych przez Anthropic wykorzystywano modele Claude Haiku, Sonnet i Opus, podczas gdy Claude Fable i klasa Mythos nie były zaangażowane, z wyjątkiem jednego przypadku destylacji.
Jakie są ograniczenia dowodów przedstawionych w raporcie Anthropic?
Raport nie dostarcza pełnego obrazu skali nadużyć w całym internecie ani nie ujawnia, ile prób ataku się nie powiodło. Ograniczenia te wynikają z selekcji najbardziej znaczących przypadków oraz braku porównawczych danych.
