Claude Code satte fart på ransomware-angreb – og lagde en firewall ned

Gambit Security beskriver et ransomware-angreb, hvor kunstig intelligens ikke fungerede som en selvstændig angriber, men som en kraftig accelerator for en menneskelig operatør. En mulig partner i ransomware-as-a-service-operationen The Gentlemen brugte Anthropic’s Claude Code under aktive indtrængninger. Gambit vurderer koblingen til operationen med middel sikkerhed. Claude Sonnet 4.6 blev ifølge rapporteringen brugt til at generere rekognoscerings- og udnyttelseskommandoer, skrive scripts, ændre firewall-politikker og identificere data, der kunne være interessante at stjæle.

Det afgørende skel er, at modellen ikke selv valgte mål eller fastlagde angrebets formål. Den menneskelige operatør leverede hensigten og adgangen til offerets miljø, mens Claude kunne producere, forklare og tilpasse teknisk arbejde langt hurtigere.

Hvad Gambit fandt

Gambit observerede brugen af Claude Code i angreb mod mindst seks organisationer i juni 2026 og kædede aktiviteten sammen med to tidligere kompromitteringer. De berørte organisationer skulle blandt andet komme fra energisektoren, finanssektoren og industrien i flere lande.

Angrebene tog udgangspunkt i FortiGate-VPN-enheder, der var tilgængelige fra internettet. Ifølge rapporteringen var der ikke tale om en kampagne, der alene byggede på en ny, offentliggjort softwarefejl. I stedet blev konfigurationer og autentificeringsprocesser misbrugt. Operatøren genaktiverede SSL-VPN-adgang, oprettede en skjult VPN-konto og brugte en genanvendt hardkodet adgangskode til at fastholde adgangen.

Den mest opsigtsvækkende teknik var et AI-understøttet såkaldt LDAP pass-back-angreb. Claude hjalp med at omdirigere VPN-autentificeringen til infrastruktur, som angriberen kontrollerede. Dermed kunne en servicekontos adgangskode opsnappes i klartekst. Adgangen blev derefter brugt til at kortlægge interne systemer, undersøge Active Directory-miljøet og finde domænecontrollere, backup-systemer og aktive SQL-databaser, som potentielt kunne stjæles.

Da AI’en lagde firewallen ned

Angrebet viste også, hvorfor AI-genererede ændringer ikke bør kunne omgå almindelig change management. Da operatøren bad Claude om at ændre en FortiGate-konfiguration, genererede modellen ifølge rapporteringen instruktioner, der gendannede et helt virtuelt domæne – et såkaldt VDOM – i stedet for kun de tiltænkte indstillinger. Fejlen satte firewallen ud af drift.

Det er mere sigende end den simple påstand, at AI kan skrive angrebskode. Handlingen var teknisk plausibel, men ikke tilstrækkeligt afgrænset. En model kan forstå et konfigurationsproblem godt nok til at foreslå en løsning og samtidig vælge en operation, der har langt større konsekvenser end det, operatøren havde forestillet sig.

For forsvarere er læringen konkret: Ændringer på netværksenheder bør kræve snævert afgrænsede rettigheder, menneskelig godkendelse, sikkerhedskopier af konfigurationer og en testet mulighed for hurtig tilbagerulning. Sikkerhedsfiltre i selve AI-modellen kan ikke erstatte de kontroller, der er bygget ind i det miljø, hvor modellen får lov til at arbejde.

En parallel til Gambits Mexico-sag

Den nye ransomware-sag følger Gambits tidligere undersøgelse af en operatør, der brugte Anthropic’s Claude Code og OpenAI’s GPT-4.1 i en kampagne mod ni mexicanske offentlige organisationer. Gambit beskrev værktøjerne som centrale operationelle ressourcer under hele kampagnen, mens anden rapportering baseret på undersøgelsen opgjorde de stjålne data til mere end 150 GB.

En separat gennemgang af forskningen vurderede, at Claude genererede omkring 75 procent af de fjernkommandoer, der blev udført under kampagnen. Pointen er ikke, at én model erstattede et helt sikkerhedsteam. AI hjalp i stedet en enkelt operatør med hurtigt at producere kommandoer, scripts, rekognosceringslogik og arbejdsgange til dataanalyse. Det gjorde det lettere at bevæge sig på tværs af flere mål.

Samlet peger sagerne på, at AI er ved at bevæge sig fra rollen som planlægningsassistent til at blive indlejret direkte i hele angrebsforløbet. Modellen kan udligne mangler inden for programmering, systemadministration og rekognoscering, men beviserne beskriver fortsat en proces styret af en operatør – ikke et system, der selv opstiller mål.

Hvorfor mindre begrænsede modeller spiller en rolle

Rapporter har beskrevet angriberen i ransomware-sagen som bruger af Claude Sonnet 4.6, der af dele af dækningen er blevet karakteriseret som en ældre eller mindre begrænset model. Det kan have gjort visse forespørgsler lettere at gennemføre, men modellens begrænsninger var ikke alene afgørende for udfaldet.

Angriberen skulle også have adgang til eksponeret infrastruktur, brugbare legitimationsoplysninger og interne systemer – samt mulighed for at foretage ændringer med alvorlige konsekvenser.

Anthropic beskriver i sit materiale om Claude Mythos blandt andet overvågning og begrænset adgang som en del af selskabets foranstaltninger mod misbrug. Den slags tiltag kan gøre misbrug vanskeligere. De beskytter dog ikke en organisation, hvor VPN-, identitets- eller administrationssystemer allerede giver omfattende adgang, når først de er kompromitteret.

SEBI: Styrk det grundlæggende forsvar

Indiens værdipapirtilsyn, Securities and Exchange Board of India (SEBI), har oprettet taskforcen cyber-suraksha.ai for at undersøge cybersikkerhedsrisici ved hurtigt udviklende AI-værktøjer – herunder værktøjer, der kan identificere sårbarheder. Den rapporterede vejledning anbefaler, at regulerede virksomheder styrker de grundlæggende sikkerhedskontroller i stedet for at stole på, at modeludbyderne alene forhindrer misbrug.

Anbefalingerne omfatter:

• Hurtig patching: Kendte og eksponerede sårbarheder bør udbedres uden at vente på, at et angreb indtræffer.
• Stærkere API- og autentificeringssikkerhed: Adgangskontroller, håndtering af hemmeligheder og beskyttelse af eksternt tilgængelige grænseflader skal forbedres.
• Løbende overvågning: Sikkerhedsoperationscentre, eller SOC’er, skal have det nødvendige indblik til hurtigt at opdage og håndtere mistænkelig aktivitet.
• Bedre ændringsstyring: Konfigurationsændringer med stor effekt skal kontrolleres, og organisationen skal kunne gendanne en kendt, sikker tilstand.

Anbefalingerne rammer direkte de svagheder, Gambit-sagen synliggør. En kompromitteret VPN er farligere, når den kan nå katalogtjenester, backup-systemer og databaser. En AI-genereret kommando er farligere, når den kan ændre en firewall uden godkendelse. Og en fejl under genoprettelse bliver mere alvorlig, hvis tilbagerulning aldrig er blevet afprøvet.

Den bredere sikkerhedslæring

Gambits rapportering beskriver først og fremmest et kontrolproblem – ikke kun et modelproblem. AI kan forkorte den tid, der kræves til rekognoscering, scriptudvikling og tilpasning til tekniske forhindringer. Men når denne kapacitet forbindes med produktionsinfrastruktur, er det organisationens rettigheder, segmentering, overvågning og genoprettelsesdesign, der afgør, hvor stor skade en operatør – alene eller sammen med et AI-system – kan forårsage.

De mest holdbare sikkerhedsforanstaltninger er derfor velkendte: mindst mulige privilegier, multifaktorgodkendelse, adskilte VPN- og katalogtjenester, beskyttede og uforanderlige backups, detaljeret logning, godkendelse af ændringer på netværksenheder og regelmæssigt testede gendannelsesprocedurer.

AI kan accelerere både angreb og forsvar. Robuste systemer bygges imidlertid på kontroller, der stadig virker, når modellen tager fejl.