Anthropic documenta nou mesos d'usos abusius de Claude: espionatge rus, extorsió massiva i fàbriques automatitzades d'exploits

Què va publicar Anthropic i per què ho recuperem ara

El 10 de setembre del 2026, Anthropic va publicar "Detecting and countering misuse of AI: September 2026", l'informe periòdic del seu equip de Threat Intelligence. Aleshores no en vam parlar i el recuperem ara perquè continua sent el document més detallat que existeix sobre com s'utilitzen els models de frontera en operacions ofensives reals.

El text aplega casos interromputs entre el desembre del 2025 i l'agost del 2026 en set àmbits de dany: operacions cibernètiques, operacions d'influència, vigilància, estafes i frau, ús biològic indegut, desenvolupament d'armes convencionals i còpia il·lícita de models. Al darrere hi ha grups que la companyia atribueix a Estats, criminals que busquen diners, venedors comercials de programes espia, organismes estatals de propaganda i individus amb motivació política.

Val la pena llegir-lo amb l'etiqueta correcta: és l'informe d'una empresa sobre l'abús del seu propi producte, amb les seves atribucions i el seu mesurament de l'impacte. No és una avaluació independent ni una auditoria externa. Anthropic diu que en cada cas va tallar l'activitat, va reforçar les salvaguardes i va compartir informació amb les autoritats i amb altres empreses del sector "quan va ser apropiat", però el lector no pot comprovar res de tot això amb el document a la mà.

La companyia precisa, a més, que els abusos es van cometre amb Claude Haiku, Sonnet i Opus, i que cap no va afectar Claude Fable ni els models de classe Mythos, llevat d'un cas de destil·lació il·lícita.

El vocabulari de l'informe: GTG, uplift i kill chain

Anthropic bateja amb sigles pròpies —GTG, de Generative Threat Groups, grups d'amenaça generativa— els actors que enxampa abusant de la IA. Són etiquetes de la casa, no pas noms acordats pel sector, encara que de vegades l'empresa les creua amb noms públics: és el que passa quan afirma que la seva atribució de GTG-20006 encaixa amb el que se sap de Midnight Blizzard.

La segona peça del vocabulari és l'uplift, l'empenta de capacitat que la IA regala a l'atacant, és a dir, quant més mal fa amb IA que sense. Anthropic diu que el mesura en tres eixos —velocitat, escala i profunditat— i que avalua com canvia cadascun quan l'atacant adopta la IA.

La tercera és la cyber kill chain, la seqüència de fases d'un atac. L'informe sosté que el debat habitual es queda curt quan es fixa només en la por que la IA fabriqui exploits en quantitat: el risc real es reparteix per tota la cadena, on els adversaris guanyen velocitat, cobreixen més terreny, arriben més endins i gasten menys recursos.

Tesi central: els atacs sofisticats ja no demanen atacants sofisticats

La conclusió més citable del document és que la IA ha esborrat la distància en mans i eines que separava les operacions estatals ben finançades de l'atacant solitari. En els casos descrits, un hacktivista amb claus API robades, uns criminals dispersos que anaven per diners i un espia al servei d'un Estat van sostenir per igual campanyes contra moltes víctimes que fa tot just un any haurien demanat uns quants operadors experts i coneixement especialitzat.

Per a qui investiga amenaces, això té una conseqüència incòmoda: la sofisticació ja no diu qui hi ha al darrere d'una operació. Anthropic sosté que totes les capes de la feina ofensiva han rebut aquesta empenta, des de l'estudi de l'objectiu i la construcció d'eines fins al tractament de les dades i l'explotació dels errors.

El model d'atac autònom que la companyia va documentar el novembre del 2025 s'ha estès, segons l'informe, a tots els tipus d'actor investigats. I hi ha eines ofensives d'agents a l'abast de qualsevol, com ara PentAGI, que reprodueixen bona part de la mateixa bastida i automatitzen cada pas de la cadena per a qui se les descarregui.

Gairebé totes les operacions descrites van fer servir la IA en mode d'execució directa o d'orquestració: res de preguntes i respostes de xatbot, sinó sistemes de diversos agents que estudien l'objectiu, hi entren i s'enduen les dades. Els humans hi van continuar sent, però sobretot per triar a qui atacaven i per revisar el que havien robat.

GTG-20006: espionatge rus que es refà el malware tot sol

El cas més desenvolupat és GTG-20006, amb unes tàctiques i uns objectius que Anthropic descriu com a propis de l'espionatge rus; un dels operadors és un russoparlant que signa com a "JackPoterz". Va anar a buscar intel·ligència militar en governs ucraïnesos i europeus, i també va atacar organitzacions diplomàtiques i de defensa i persones vinculades a la política exterior nord-americana.

L'arsenal aplegava dues famílies d'implants per a Windows, un kit per atacar mòbils, un lladre de credencials que buidava les contrasenyes desades al navegador, una plataforma de phishing que imitava objectius prioritaris com ara organismes públics i una consola per administrar els comptes ja robats. Tot plegat ho gestionava i ho refeia amb fluxos de treball assistits per IA.

El detall tècnic més rellevant és el bucle d'evasió. L'atacant va posar agents a vigilar si cap antivirus havia detectat els seus programes maliciosos; quan passava, els agents modificaven i recompilaven el malware pel seu compte, un cop i un altre, fins a tornar-lo invisible. Només llavors les eines passaven a operacions reals des de servidors d'usar i llençar.

Anthropic va comptar més de 20 organitzacions diferents entre la planificació, l'estudi previ i els atacs reals del grup: ministeris, cossos de defensa i intel·ligència, ambaixades i missions diplomàtiques, centres d'anàlisi i empreses de la indústria de defensa. La majoria eren a Ucraïna i Europa, tot i que també va arribar a l'Orient Mitjà i a agències marítimes de governs asiàtics. Només al Govern ucraïnès va rastrejar els serveis de correu i els sistemes d'accés remot de més de dues dotzenes d'organismes.

Drons, wifi d'hotels i comptes de WhatsApp

Hi ha un objectiu que surt un cop i un altre: la cadena de subministrament de drons. El grup va buidar senceres les bústies de correu de com a mínim dos fabricants de components, va atacar un fabricant de drons militars i va robar el kit de desenvolupament complet d'un sistema de visió per a drons. Va dedicar uns quants dies a desmuntar-lo fins a reconstruir-ne l'arquitectura, la llista de peces del maquinari, de quins proveïdors depenia i els detalls d'un producte encara no anunciat.

Per arribar als objectius per la porta del darrere, es va ficar en almenys tres proveïdors d'hostaleria que gestionen el wifi per a hostes d'hotels. Amb credencials d'administrador robades va canviar els registres DNS per desviar el trànsit cap a servidors propis: qui s'hi connectava lliurava sense saber-ho el seu trànsit, l'identificador del dispositiu i l'adreça IP, i tot seguit rebia un esquer de tipus ClickFix que li colava malware per a Windows, Android o iOS. Microsoft Threat Intelligence va descriure aquest mateix mètode en un informe del juliol del 2026 i el va batejar com a CaptiveCrunch.

El grup també es va apoderar de comptes de WhatsApp enllaçant els seus propis dispositius com a acompanyants, amb navegadors sense interfície i la biblioteca de codi obert WPPConnect. La configuració que feien servir desactivava les confirmacions de lectura perquè la víctima no sospités mentre exportaven converses senceres en rus i en ucraïnès. Així va atacar com a mínim dos antics alts càrrecs ucraïnesos.

En una intrusió contra l'autoritat tecnològica d'un govern nord-africà va robar les credencials d'un equip VPN, va prendre el control del servidor central de comptes i se'n va endur la base de dades completa: més de 300.000 registres d'identitat nacional i les dades del registre mercantil de més de mig milió d'empreses del país.

ShinyHunters: robatori massiu, extorsió i "vibe hacking"

Anthropic diu que ha localitzat i desactivat diversos focus d'activitat criminal amb ànim de lucre que atribueix a presumptes afiliats del col·lectiu ShinyHunters, conegut per robar grans volums de dades i extorsionar després les víctimes amb l'amenaça de publicar-les.

Un operador francòfon que fa servir els àlies MeowSHA, frkoo i blazespider va muntar una cadena de recollida de credencials repartida entre deu màquines EC2 d'AWS: va descarregar en bloc 1,8 milions d'APK d'Android diferents de diverses botigues d'aplicacions, els va descompilar i els va rastrejar amb TruffleHog buscant contrasenyes i claus oblidades dins del codi. Les troballes ja comprovades anaven en temps real a un grup de Telegram ordenat en més de 100 tipus de font.

Entre els cops més greus, els operadors es van endur més d'un terabyte de dades d'un proveïdor tecnològic —centenars de milers de números d'identitat i milions de registres de targetes de pagament— i les van publicar en un web obert per forçar el pagament d'un rescat. En una aerolínia van entrar en sistemes amb desenes de milions de registres de passatgers. En una elèctrica, els atacants van assegurar que podien controlar a distància el corrent dels carregadors de cotxe elèctric instal·lats a casa dels clients; és una afirmació seva, no pas una capacitat que l'informe verifiqui.

Un altre afiliat es va especialitzar a atacar a través de proveïdors: va entrar en una empresa de programari al núvol i des d'allà va treure dades d'unes 200 organitzacions clients; en una sola sessió va bolcar més de 2.100 jocs de tokens d'Azure AD de més de 40 clients corporatius en unes 34 hores. "Els agents d'IA van fer gairebé tota la feina", escriu Anthropic. El que impressiona són els temps: en una empresa de programari corporatiu van passar del primer accés al robatori massiu en qüestió d'hores; en una altra, un sol token de desenvolupador robat es va convertir en control total del seu núvol en unes tres hores.

Fàbriques d'exploits: buscar errors a jornada completa

Sota l'identificador GTG-10007, l'informe descriu una operació d'espionatge sostinguda a càrrec d'operadors de parla xinesa que, amb tota probabilitat, viuen a Changsha, a la província de Hunan. Dos d'ells els va identificar com a estudiants de grau de l'Escola d'Enginyeria Informàtica i de Comunicacions d'una universitat de Hunan; un havia fet pràctiques a l'empresa de seguretat Sangfor i estava en un procés de selecció per a un lloc d'operacions cibernètiques ofensives a QiAnXin.

El grup va atacar mig centenar d'organitzacions d'arreu del món: educació, comerç, energia, tecnologia, sanitat, finances, indústria i diverses agències públiques. Va treure centenars de megabytes de dades personals d'alumnes de l'emmagatzematge al núvol d'una empresa de tecnologia educativa, va arribar als sistemes en producció d'una cadena de botigues i va demostrar que els podia modificar en calent, i va aconseguir fitxes de ciutadans —nom, telèfon i domicili— d'una agència governamental del Sud-est Asiàtic.

La seva joia era un programa autònom de cerca d'errors adreçat contra un producte de seguretat molt estès, d'aquests que s'instal·len precisament per detectar intrusions. D'aquí en van sortir diverses vulnerabilitats fins llavors desconegudes que el mateix actor va validar al seu laboratori. Un altre flux, que repassava equips de xarxa sense descans, va donar més d'una dotzena de possibles zero-days en un sol mes.

El bucle és purament industrial: carregar el microprogramari i els binaris en un descompilador a través d'un servidor d'eines; recórrer el codi i les seves referències creuades —milers de crides de descompilació—; formular hipòtesis d'error contra una base de coneixement afinada amb el temps; escriure l'exploit; provar-lo contra còpies del producte al laboratori; i repetir fins que funcioni. El resultat acabava a la cartera privada d'exploits de l'operador. En paral·lel, el grup feia servir "agent swarms" (eixams d'agents): un agent cap trossejava la feina i la repartia entre molts subordinats, amb una memòria de campanya persistent que permetia reprendre cada sessió on l'havia deixada, amb tot el context acumulat.

Hi ha un detall que delata com es repartien màquina i persona: tot i que els fluxos automatitzats apuntaven a entitats d'arreu del món, l'actor va reservar la feina manual exclusivament per a víctimes de dins de la Xina.

La cadena de subministrament de la IA: objectiu, botí i potència de càlcul

La part potser més nova de l'informe explica com l'accés a la IA —claus API, tokens de sessió i dispositius compromesos— s'ha convertit en l'objectiu final de diversos grups criminals. Aquest accés es ven a través d'intermediaris que abasteixen xarxes de revenedors fraudulents, i aquestes van rotant les claus robades fins que els esgoten la quota.

Anthropic enumera tres avantatges que obté de cop qui es fa amb credencials d'IA. Botí, perquè les claus i els comptes es revenen en mercats ja assentats. Potència de càlcul, perquè la feina de l'atacant la paga un altre. I tapadora, perquè l'activitat queda registrada a nom de l'amo legítim de la credencial. Una campanya hacktivista va funcionar un mes sencer només amb claus API robades.

Un dels paranys per captar víctimes consistia a muntar webs que es presentaven com a passarel·les entre diversos models i oferien accés amb descompte a models de frontera. Qui hi queia es descarregava aplicacions client malicioses que es feien passar per eines conegudes, Claude Code inclòs, i que en realitat eren recol·lectores de credencials: buidaven totes les claus i els tokens de sessió del dispositiu i continuaven capturant els nous a mesura que la víctima els renovava.

GTG-50021, un grup de parla russa i ucraïnesa on figura l'àlies "kl1zy", va anar un pas més enllà: venia accés barat a Claude que ni era barat ni era Claude. Desviava en silenci el trànsit dels seus clients cap a un altre model mentre les seves eines els instal·laven un recol·lector que els robava les credencials d'Anthropic per revendre-les a altres intermediaris.

També va veure diversos actors atacant instal·lacions de LiteLLM en serveis d'embolcall mitjançant prompt injection per treure les claus API de producció dels seus contenidors. Anthropic insisteix en dos punts: les claus d'aquests casos sempre van ser de clients i van sortir d'entorns de clients, i els seus propis sistemes no van ser compromesos.

El cas GTG-50020 remata l'argument. Aquest actor russoparlant que busca diners venia d'assaltar plataformes de reserves hoteleres i fintech —en una es va endur uns 26 gigabytes i va demanar entre 1,5 i 2,5 milions de dòlars— i va decidir reorientar l'ofici cap a la indústria de la IA. Va colar instruccions malicioses a l'entorn de proves automatitzades d'un proveïdor d'IA i va aconseguir que aquell entorn revelés les credencials que hi guardava, entre les quals claus API de producció de diversos proveïdors. Després, des de la mateixa infraestructura, va atacar una trentena d'empreses d'IA en uns quatre dies repetint l'únic camí que li havia funcionat. La seva meta declarada, que va perseguir per més d'una dotzena de vies, era arribar a un model Claude encara sense llançar; segons l'informe, no ho va aconseguir mai i tots els intents li van fracassar.

Hacktivistes convertits en amenaces persistents

L'informe sosté que la IA ha tancat la distància que separava els hacktivistes de poca volada de les amenaces persistents avançades: puja el nivell mínim i, alhora, abarateix els recursos que calen per operar.

El cas GTG-50029 ho il·lustra bé: la primavera del 2026, un sol actor francòfon va utilitzar Claude per atacar partits polítics europeus, mitjans, centres d'anàlisi i els proveïdors de programari al núvol que aquestes organitzacions contracten. Es va programar el seu propi escàner en Rust per rastrejar contenidors públics i comprovar quines claus API quedaven a la vista.

La lliçó defensiva que en treu Anthropic és directa: cal tractar les claus d'IA i les integracions d'agents amb la mateixa serietat que les credencials de producció, perquè els atacants ja ho fan. I l'accés a la IA s'ha de comprar només per canals autoritzats: un descompte que obliga a fer passar el trànsit i les credencials per un intermediari desconegut és un risc enorme per a les dades i els sistemes.

Què cobreix l'informe i què no es detalla aquí

El document abasta set àmbits de dany, i les operacions d'influència, la vigilància, l'ús biològic indegut, el desenvolupament d'armes convencionals, les estafes i la destil·lació il·lícita tenen cadascuna el seu apartat. Entre els exemples que Anthropic avança a la introducció hi ha una xarxa d'aplicacions de cites falses muntada per estafar-ne els usuaris i sistemes de vigilància construïts per identificar i seguir dissidents.

El gruix de l'evidència tècnica que la companyia fa pública a la part consultable de l'informe correspon a les operacions cibernètiques: indicadors de compromís, adreces IP des d'on sortien els atacants, dominis i empremtes de malware, tot pensat perquè altres defensors rastregin aquesta mateixa activitat en els seus propis sistemes.

Anthropic diu que publica aquesta feina perquè es considera responsable de destapar l'ús maliciós dels seus serveis, i adverteix que, com més capaços siguin els models, més grans seran els riscos, tret que qui els desenvolupa i qui defensa la societat es posin a fer-los més segurs.