Claude Code przyspieszył atak ransomware i wyłączył zaporę sieciową

Raport Gambit Security opisuje podejrzanego partnera operacji ransomware-as-a-service The Gentlemen, który miał używać Anthropic Claude Code podczas rzeczywistych włamań. Badacze z umiarkowaną pewnością przypisali tę aktywność powiązanemu z operacją aktorowi. Operator korzystał z Claude Sonnet 4.6 do generowania poleceń rozpoznawczych i eksploatacyjnych, pisania skryptów, modyfikowania zasad zapory oraz wyszukiwania systemów i danych istotnych z punktu widzenia ataku.

Najważniejsze jest jednak rozróżnienie roli modelu. Claude nie wybierał samodzielnie celów ani nie ustalał założeń operacji. Był akceleratorem sterowanym przez człowieka: szybko tworzył, objaśniał i dostosowywał techniczne działania, podczas gdy napastnik zapewniał intencję oraz dostęp do środowiska ofiary.

Co ustalił Gambit Security?

Gambit zaobserwował użycie Claude Code podczas włamań do co najmniej sześciu organizacji w czerwcu 2026 roku. Badacze powiązali tę samą aktywność także z dwoma wcześniejszymi kompromitacjami. Wśród ofiar miały znaleźć się podmioty z sektora energetycznego, finansowego i produkcyjnego działające w kilku krajach.

Kampania dotyczyła wystawionych do internetu urządzeń FortiGate obsługujących VPN. Według opisu śledztwa operator wykorzystywał przede wszystkim luki w konfiguracji i procesach uwierzytelniania, a nie jedną nowo ujawnioną podatność. Ponownie włączał dostęp SSL-VPN, tworzył ukryte konto VPN i korzystał z ponownie użytego, zakodowanego na stałe hasła, aby utrzymać dostęp.

Najbardziej charakterystyczną techniką był wspomagany przez AI atak typu LDAP pass-back. Claude pomagał przekierować uwierzytelnianie VPN do infrastruktury kontrolowanej przez napastnika, co umożliwiło przechwycenie hasła konta usługowego w postaci jawnego tekstu. Uzyskany dostęp wykorzystano następnie do rozpoznania sieci wewnętrznej, analizy infrastruktury Active Directory oraz lokalizowania kontrolerów domeny, kopii zapasowych i działających baz SQL, które mogły stać się celem kradzieży.

Pomyłka AI: zapora przestała działać

Włamanie pokazało również, dlaczego zmian generowanych przez AI nie można wyjmować spod zwykłych procedur kontroli. Gdy operator poprosił Claude’a o modyfikację konfiguracji FortiGate, model miał przygotować instrukcje naprawcze przywracające całą wirtualną domenę — VDOM — zamiast tylko zamierzonych ustawień. Błąd doprowadził do wyłączenia zapory.

To bardziej pouczające niż ogólne stwierdzenie, że AI potrafi pisać kod ataku. Zaproponowane działanie było technicznie wiarygodne, ale miało zbyt szeroki zakres. Model może poprawnie rozpoznać problem z konfiguracją i jednocześnie zaproponować operację o znacznie większym promieniu rażenia, niż zakładał operator.

Dla obrońców sieci wniosek jest praktyczny: zmiany na urządzeniach sieciowych powinny wymagać ograniczonych uprawnień, akceptacji człowieka, kopii konfiguracji oraz przetestowanej ścieżki wycofania zmian. Filtry bezpieczeństwa na poziomie modelu nie zastępują zabezpieczeń środowiska, w którym model działa.

Drugi przykład: atak na instytucje w Meksyku

Najnowszy przypadek przypomina wcześniejsze śledztwo Gambit Security dotyczące operatora, który podczas kampanii przeciwko dziewięciu meksykańskim organizacjom rządowym korzystał z Anthropic Claude Code oraz OpenAI GPT-4.1. Według raportu narzędzia stały się podstawowymi zasobami operacyjnymi kampanii, a inne publikacje oparte na tym śledztwie szacowały ilość wykradzionych danych na ponad 150 GB.

W osobnej relacji dotyczącej tych ustaleń oszacowano, że Claude wygenerował około 75 proc. zdalnych poleceń wykonanych podczas kampanii. Nie oznacza to, że jeden model zastąpił cały zespół cyberbezpieczeństwa. AI pomagała jednemu operatorowi szybko tworzyć polecenia, skrypty, logikę rozpoznania i procedury analizy danych, dzięki czemu łatwiej było działać wobec wielu celów.

Oba przypadki wskazują na przesunięcie roli AI — od asystenta planowania do narzędzia wbudowanego bezpośrednio w cykl włamania. Model może pomagać pokonywać braki w programowaniu, administracji systemami i rozpoznaniu, ale dostępne dowody nadal opisują proces kierowany przez człowieka, a nie system samodzielnie wyznaczający cele.

Czy mniej restrykcyjny model przesądził o powodzeniu ataku?

Relacje dotyczące ataku ransomware wskazywały, że operator korzystał z Claude Sonnet 4.6, określanego w części publikacji jako starszy lub mniej restrykcyjny model. Mogło to zmniejszać tarcie przy niektórych żądaniach, ale same ograniczenia modelu nie wyjaśniają wyniku operacji. Napastnik potrzebował także wystawionej infrastruktury, działających danych uwierzytelniających, dostępu do systemów wewnętrznych oraz uprawnień pozwalających wprowadzać istotne zmiany.

Opublikowany przez Anthropic materiał dotyczący Claude Mythos wskazuje na monitoring i ograniczony dostęp jako elementy zabezpieczeń przed nadużyciami cybernetycznymi. Takie środki mogą podnieść trudność wykorzystania modelu w ataku, ale nie ochronią organizacji, której VPN, systemy tożsamości lub interfejsy administracyjne zapewniają napastnikowi zbyt szeroki zasięg po przejęciu dostępu.

Jak reagować? Zalecenia indyjskiego regulatora SEBI

Indyjska Securities and Exchange Board of India, czyli regulator rynku papierów wartościowych, powołała grupę cyber-suraksha.ai do analizy zagrożeń związanych z szybko rozwijającymi się narzędziami AI, w tym rozwiązaniami służącymi do wykrywania podatności. Z opisywanych zaleceń wynika, że podmioty regulowane powinny wzmacniać podstawowe zabezpieczenia, zamiast polegać wyłącznie na dostawcach modeli i ich mechanizmach zapobiegania nadużyciom.

Najważniejsze rekomendacje obejmują:

• Szybkie instalowanie poprawek: systemy wystawione do internetu i znane jako podatne należy zabezpieczać bez czekania na incydent.
• Silniejsze bezpieczeństwo API i uwierzytelniania: trzeba poprawić kontrolę dostępu, zarządzanie sekretami oraz ochronę publicznie dostępnych interfejsów.
• Stały monitoring: zespoły SOC powinny mieć nieprzerwaną widoczność środowiska i możliwość szybkiego wykrywania oraz obsługi podejrzanej aktywności.
• Lepsze zarządzanie zmianami: konfiguracje o dużym wpływie należy weryfikować, a organizacja powinna zachować możliwość powrotu do sprawdzonego stanu.

Zalecenia te bezpośrednio odpowiadają słabościom ujawnionym w sprawie opisanej przez Gambit. Przejęty VPN jest groźniejszy, gdy może sięgać do usług katalogowych, kopii zapasowych i baz danych. Polecenie wygenerowane przez AI staje się bardziej ryzykowne, gdy może zmienić zaporę bez akceptacji. Z kolei pomyłka przy przywracaniu konfiguracji ma większe konsekwencje, jeśli procedura wycofania zmian nie została sprawdzona.

To przede wszystkim problem kontroli

Raport Gambit Security pokazuje problem kontroli, a nie wyłącznie problem konkretnego modelu. AI może skrócić czas potrzebny na rozpoznanie, napisanie skryptu i pokonanie technicznej przeszkody. Gdy jednak taka możliwość zostaje połączona z produkcyjną infrastrukturą, o skali szkód decydują uprawnienia, segmentacja sieci, monitoring oraz przygotowanie do odtworzenia systemów.

Najtrwalsze zabezpieczenia pozostają więc dobrze znane: zasada najmniejszych uprawnień, uwierzytelnianie wieloskładnikowe, segmentacja VPN i usług katalogowych, chronione i niezmienne kopie zapasowe, szczegółowe logowanie, akceptacja zmian na urządzeniach sieciowych oraz regularnie testowane procedury odtworzeniowe. AI może przyspieszać zarówno atak, jak i obronę, ale odporne systemy buduje się na kontrolach, które działają także wtedy, gdy model się myli.