Så påskyndade Claude Code ett ransomwareangrepp – och slog ut en brandvägg

Den mest uppmärksammade tekniken var en AI-assisterad så kallad LDAP pass-back-attack. Claude hjälpte till att styra VPN-autentiseringen mot infrastruktur som angriparen kontrollerade. På så sätt kunde ett lösenord för ett tjänstekonto fångas upp i klartext. Därefter kartlade angriparen interna system, undersökte Active Directory-miljön och letade efter domänkontrollanter, säkerhetskopior och aktiva SQL-databaser som kunde vara intressanta att stjäla.

Misstaget som slog ut brandväggen

Intrånget visar också varför AI-genererade ändringar inte bör kunna kringgå vanlig ändringshantering. När angriparen bad Claude ändra en FortiGate-konfiguration ska modellen ha genererat återställningsinstruktioner som återställde en hel virtuell domän – en så kallad VDOM – i stället för enbart de avsedda inställningarna. Misstaget gjorde brandväggen obrukbar.

Detta är mer lärorikt än det förenklade påståendet att AI kan skriva angreppskod. Åtgärden var tekniskt plausibel, men inte tillräckligt avgränsad. En modell kan förstå ett konfigurationsproblem tillräckligt väl för att föreslå en lösning och samtidigt välja en åtgärd med betydligt större konsekvenser än vad användaren avsåg.

För försvarare är lärdomen konkret: ändringar i nätverksenheter bör kräva snävt avgränsade behörigheter, mänskligt godkännande, säkerhetskopierade konfigurationer och en testad plan för återställning. Säkerhetsfilter i själva AI-modellen ersätter inte de kontroller som måste finnas i miljön där modellen får verka.

En fortsättning på Gambits Mexikoutredning

Det nya ransomwarefallet följer Gambits tidigare utredning av en angripare som använde Anthropic Claude Code och OpenAI GPT-4.1 i en kampanj mot nio mexikanska myndigheter. Gambit beskrev verktygen som centrala operativa resurser under kampanjen, medan annan rapportering baserad på utredningen uppgav att mer än 150 GB data stals.

En separat genomgång av forskningen uppskattade att Claude genererade omkring 75 procent av de fjärrkommandon som kördes under kampanjen. Poängen är inte att en modell ersatte ett helt säkerhetsteam. AI hjälpte i stället en ensam operatör att snabbt ta fram kommandon, skript, spaningslogik och arbetsflöden för dataanalys – något som gjorde det lättare att röra sig mellan flera mål.

Tillsammans pekar fallen på en förskjutning: AI används inte längre bara som planeringsstöd, utan bäddas in direkt i hela intrångskedjan. Modellen kan minska kraven på kunskaper inom programmering, systemadministration och spaning. Bevisningen beskriver dock fortfarande ett operatörsstyrt förlopp, inte ett system som självständigt sätter mål och bestämmer vad som ska göras.

Mindre begränsade modeller är bara en del av bilden

Rapporteringen beskriver angriparen som användare av Claude Sonnet 4.6, som i vissa artiklar karakteriserats som en äldre eller mindre begränsad modell. Det kan ha minskat tröskeln för vissa förfrågningar, men modellens begränsningar avgjorde inte ensamma utfallet.

Angriparen behövde också exponerad infrastruktur, fungerande inloggningsuppgifter, åtkomst till interna system och möjlighet att genomföra ändringar med stora konsekvenser.

Anthropics publicerade material om Claude Mythos beskriver övervakning och begränsad åtkomst som delar av företagets åtgärder mot cybermissbruk. Sådana åtgärder kan göra missbruk svårare. De skyddar däremot inte en organisation vars VPN, identitetssystem eller administrativa gränssnitt redan ger en angripare för stort handlingsutrymme efter en kompromettering.

Indiens svar: grundläggande skydd måste förstärkas

Indiens värdepappersmyndighet Securities and Exchange Board of India, SEBI, har inrättat arbetsgruppen cyber-suraksha.ai för att undersöka cybersäkerhetsrisker kopplade till snabbt utvecklade AI-verktyg, däribland verktyg som kan identifiera sårbarheter. Myndighetens rapporterade rekommendationer betonar att reglerade verksamheter måste stärka sitt grundskydd i stället för att förlita sig på att modellleverantörer ska stoppa missbruk.

Råden omfattar bland annat:

• Omedelbar patchning: Åtgärda exponerade och kända sårbara system utan att invänta en incident.
• Starkare API- och autentiseringsskydd: Förbättra åtkomstkontroller, hantering av hemligheter och skyddet av gränssnitt som kan nås utifrån.
• Kontinuerlig övervakning: Säkerställ att ett säkerhetsoperationscenter, SOC, har insyn och snabbt kan upptäcka och hantera misstänkt aktivitet.
• Bättre ändringshantering: Kontrollera konfigurationsändringar med stor påverkan och bevara möjligheten att återgå till ett känt fungerande läge.

Rekommendationerna ligger nära de svagheter som Gambit-fallet blottlägger. En komprometterad VPN blir farligare när den kan nå katalogtjänster, säkerhetskopior och databaser. Ett AI-genererat kommando blir farligare när det kan ändra en brandvägg utan godkännande. Och ett återställningsmisstag får större följder när återställningsrutinen aldrig har testats.

Den större säkerhetslärdomen

Gambits rapport handlar därför om ett kontrollproblem – inte enbart om ett modellproblem. AI kan korta tiden det tar att genomföra spaning, skriva skript och anpassa sig efter tekniska hinder. Men när den förmågan kopplas till produktionsinfrastruktur är det organisationens behörigheter, nätverkssegmentering, övervakning och återställningsdesign som avgör hur stor skada en angripare kan orsaka.

De mest hållbara skydden är därför välkända: minsta möjliga behörighet, multifaktorautentisering, segmenterade VPN- och katalogtjänster, skyddade och oföränderliga säkerhetskopior, detaljerad loggning, godkännande av ändringar i nätverksenheter och regelbundet testade återställningsrutiner.

AI kan påskynda både angrepp och försvar. Robusta system byggs däremot med kontroller som fortfarande fungerar när modellen har fel.