Штучний інтелект у кібератаках уже не обмежується написанням фішингових листів або фрагментів шкідливого коду. Anthropic заявила, що виявила пов’язану з Росією шпигунську операцію, де Claude був вбудований майже в увесь цикл атаки — від пошуку цілей і створення інфраструктури до викрадення даних, утримання доступу та автоматичного переписування шкідливого ПЗ після його виявлення. Найчастішими цілями були українські урядовці, військові, дипломати та компанії, пов’язані з виробництвом дронів.
10 вересня компанія Anthropic, розробник сімейства моделей Claude, опублікувала великий звіт про зловживання її системами у період із грудня 2025-го до серпня 2026 року. Серед десятків випадків — розроблення озброєння, стеження, пропаганда, шахрайство й кібератаки. Для України найбільш показовим став кейс групи, якій Anthropic присвоїла внутрішнє позначення GTG-20006.
Компанія не заявляє, що незалежно й остаточно довела належність GTG-20006 до конкретного підрозділу російської розвідки. Її формулювання обережніше: атрибуція операції узгоджується з публічними даними про Midnight Blizzard. Це російська група, яку інші дослідники також називають APT29, Cozy Bear, NOBELIUM або UNC2452 і яку уряди США та Великої Британії пов’язують зі Службою зовнішньої розвідки Росії.
Однак найважливішим у звіті є навіть не питання назви групи. Anthropic описує модель проведення операції, у якій людина дедалі менше виконує кожну технічну дію власноруч. Замість цього оператор визначає завдання і цілі, а система на основі ШІ виконує або координує значну частину роботи.
Це вже принципово інша модель кібератаки.
Не «хакер запитав у чатбота», а ШІ всередині конвеєра атаки
До останнього часу використання генеративного ШІ у кіберопераціях часто описували приблизно однаково: зловмисник просить мовну модель написати скрипт, перекласти фішинговий лист, пояснити вразливість або виправити код.
У випадку GTG-20006 Anthropic побачила іншу архітектуру.
За даними компанії, група створила спеціальні AI-керовані робочі процеси, які охоплювали розроблення інструментів, придбання й налаштування серверної інфраструктури, фішинг, закріплення у системах жертви, роботу з командними серверами та виведення викрадених даних. Людина здебільшого визначала цілі, контролювала результати та коригувала навички Claude Code, коли автоматизований процес потрібно було змінити.
Anthropic називає цю тенденцію переходом «від помічника до оркестратора».
Саме слово «автономний», однак, потребує обережності. Це не означає, що Claude самостійно вирішував атакувати українське міністерство чи обирав політичні цілі Росії. Ключові рішення залишалися за людьми.
Але після постановки завдання дедалі більше проміжної роботи можна було передати машині.
Для кібероперацій це критична зміна. Значна частина роботи хакерської групи складається не з одного геніального злому, а із сотень повторюваних операцій: вивчення цілей, перевірки сервісів, налаштування доменів, модифікації інструментів, аналізу отриманих даних, відновлення доступу та контролю десятків скомпрометованих систем.
ШІ дозволяє автоматизувати саме цю «операційну працю».
Українські держструктури стали головною групою цілей
Україна у цій кампанії не була випадковою або другорядною ціллю.
Anthropic стверджує, що найчастіше GTG-20006 цікавили співробітники українського уряду, військові та дипломати. Група сканувала поштові системи й сервіси віддаленого доступу понад двох десятків українських урядових організацій. Загалом у плануванні, розвідці або реальних операціях Anthropic виявила понад 20 різних організацій-цілей в Україні, Європі та інших регіонах.
Окремим пріоритетом стала українська дронова промисловість.
За інформацією Anthropic, атакувальники масово експортували поштові скриньки щонайменше двох виробників комплектуючих для безпілотників, атакували виробника військових дронів і викрали повний набір засобів розроблення — SDK — системи машинного зору для БПЛА.
Після цього група кілька днів аналізувала викрадений продукт. Її цікавили архітектура системи, апаратні компоненти, залежності від постачальників та інформація про ще не анонсований продукт. Особливий інтерес, за оцінкою Anthropic, становили системи керування військовими дронами та прошивки, пов’язані з комп’ютерним зором і ШІ.
Цей епізод показує, чому кібершпигунство проти України давно виходить за межі державних мереж.
Інформація про сенсори, камери, електроніку, алгоритми розпізнавання, програмне забезпечення та постачальників може мати безпосередню військову цінність. Водночас невелика приватна компанія часто захищена слабше, ніж велике міністерство.
Тому ланцюг постачання стає способом дістатися до технології обхідним шляхом.
Як працював AI-конвеєр
Першою ланкою була розвідка.
За даними Anthropic, ШІ використовувався для визначення типів поштових систем і сервісів віддаленого доступу потенційної жертви, збору відкритої інформації та формування списків людей для подальшого фішингу.
Далі автоматизація переходила до інфраструктури.
AI-керовані процеси допомагали досліджувати й реєструвати домени, налаштовувати сервери для розсилання фішингових повідомлень, запускати самі кампанії та стежити за каналами управління після успішного проникнення.
Однією з основних технік був device-code phishing — зловживання легітимним механізмом авторизації хмарних сервісів. Людину підштовхують виконати дію через справжню сторінку входу, але в результаті вона фактично авторизує сесію атакувальника.
Техніка не нова. Новим стає її включення у масштабований автоматизований процес.
Anthropic повідомляє, що ШІ не лише допомагав створити інфраструктуру для таких операцій, але й виконував частину дій усередині скомпрометованих середовищ — збирав облікові дані, запускав команди та допомагав переміщуватися мережею під контролем оператора.
Атака могла початися навіть із Wi-Fi у готелі
Одна з найбільш незвичайних частин операції стосувалася готельних мереж.
Щоб дістатися до потрібних людей непрямим шляхом, атакувальники, за даними Anthropic, скомпрометували щонайменше трьох постачальників послуг для готельних Wi-Fi-мереж.
Отримавши адміністративний доступ, вони могли змінювати DNS-записи та спрямовувати частину трафіку через свою інфраструктуру. Потенційними жертвами ставали люди, які просто під’єднувалися до відповідних мереж.
Особливий інтерес становили пов’язані з Україною урядовці та представники дронових компаній.
Цей фрагмент розслідування Anthropic збігається з окремими висновками Microsoft.
31 липня Microsoft Threat Intelligence опублікувала звіт про кампанію CaptiveCrunch. Компанія віднесла її до Storm-2945 — підгрупи Midnight Blizzard — і повідомила про компрометацію готельних та інших публічних мереж із captive portal, маніпуляцію трафіком, фальшиві сторінки входу та доставлення шкідливого програмного забезпечення.
Microsoft також зазначила, що спостерігала використання ШІ для підтримки значної частини цієї діяльності, і подякувала Anthropic серед партнерів, які допомагали у розслідуванні.
Це важливо для оцінки доказів: принаймні частина описаної Anthropic інфраструктури й тактик спостерігалася незалежно іншою великою компанією з кібербезпеки.
WhatsApp теж став джерелом розвідданих
Ще один напрям — особисті месенджери.
Anthropic повідомляє, що група створила систему для захоплення WhatsApp-акаунтів, використовуючи автоматизовані браузери та механізм під’єднання додаткового пристрою до облікового запису.
Після отримання доступу система могла приховувати позначки прочитання та масово експортувати російсько- й україномовні розмови так, щоб жертва не одразу помітила сторонню активність.
За даними компанії, таким способом атакувальники цілилися щонайменше у двох колишніх високопосадовців України.
У цьому епізоді особливо добре видно різницю між традиційною атакою та автоматизованою системою.
Цінність полягає не лише в самому отриманні доступу до месенджера. Після компрометації можуть з’явитися тисячі повідомлень, контактів і вкладень, які потрібно переглянути, класифікувати й зіставити.
Для людини це значні витрати часу.
Для мовної моделі масове структурування текстових даних — природне завдання.
Саме тому ШІ посилює не тільки фазу злому, але й розвідувальну цінність уже викраденої інформації.
Сотні гігабайтів даних і автоматичне утримання доступу
Anthropic стверджує, що AI-системи допомагали групі вилучати та організовувати сотні гігабайтів викрадених даних. У деяких випадках інформацію отримували через масовий експорт скомпрометованих поштових скриньок.
Паралельно автоматизувалося утримання доступу.
Атакувальники використовували ШІ для реєстрації контрольованих ними пристроїв у хмарному середовищі організації. Anthropic також бачила заплановані завдання, які без постійного втручання людини поновлювали викрадені токени доступу й продовжували збирати інформацію з хмарних сховищ.
Для захисників це принципова проблема.
Злам одного пароля ще не означає завершення атаки після зміни цього пароля. Якщо нападник устиг зареєструвати довірений пристрій, отримати токени чи закріпитися в хмарному середовищі, доступ може зберігатися іншими шляхами.
У випадку агентної системи перевіряти й підтримувати такі канали може вже не людина, а програмний процес.
Найнебезпечніше — шкідливе програмне забезпечення, яке переписує себе після виявлення
Найбільш показова частина операції стосується протистояння між атакувальником та антивірусними системами.
Традиційно після виявлення нового шкідливого ПЗ виробник засобів захисту створює правило або сигнатуру, що дозволяє блокувати аналогічні зразки. Для атакувальника це означає необхідність витратити час на модифікацію інструмента.
GTG-20006, за даними Anthropic, спробувала автоматизувати цей цикл.
AI-агенти контролювали, чи виявляють захисні продукти розгорнуті інструменти групи. Якщо певний компонент починав детектуватися, система могла ініціювати його модифікацію, повторне збирання та перевірку.
Процес повторювався, доки нова версія не проходила перевірки непоміченою.
Фактично атакувальники намагалися замкнути цикл зворотного зв’язку:
захист виявив шкідливе ПЗ — ШІ це побачив — код було змінено — нову версію перевірили — інструмент знову пішов в операцію.
Раніше швидкість цього циклу значною мірою визначалася кількістю та кваліфікацією операторів. Тепер частину процесу можна передати агенту.
Саме тут ШІ найбільше змінює економіку кіберпротистояння.
Головна зміна — не новий вид злому, а його економіка
У звіті Anthropic є важливе застереження: більшість використаних технік самі по собі не революційні.
Фішинг існував давно. Крадіжка облікових даних — також. Вразливі сервери, компрометація хмарних акаунтів, шкідливі програми, DNS hijacking та викрадення даних не з’явилися разом із генеративним ШІ.
Змінилася вартість їх застосування.
Роботи, для яких раніше могла знадобитися команда фахівців, дедалі частіше виконуються паралельно AI-системами: розвідка, аналіз конфігурацій, написання та модифікація інструментів, оброблення даних, тестування, підтримка доступу.
Anthropic зазначає, що в досліджених нею кампаніях окремі оператори могли паралельно працювати з десятками жертв, а в деяких інших кейсах із цього ж звіту проникнення займали лише кілька годин.
Це не обов’язково робить кожну атаку руйнівнішою.
Але робить атаку дешевшою.
А якщо вартість однієї операції падає, економічно доцільно атакувати більше цілей.
Організація, яка раніше була надто маленькою або нецікавою для роботи групи кваліфікованих операторів, може стати цілком виправданою ціллю автоматизованої кампанії.
Для України це особливо небезпечно через велику кількість невеликих оборонних компаній, волонтерських структур, постачальників технологій та людей, які мають доступ до військово значущої інформації.
Чому говорити про повністю автономних «AI-хакерів» поки зарано
Звіт Anthropic не означає, що Росія вже передала ведення кібероперацій незалежним штучним агентам.
Компанія сама наголошує: навіть у найбільш автоматизованих кампаніях люди залишають за собою рішення, які вважають найважливішими.
Оператори визначають цілі, аналізують результати й вирішують, що робити з отриманими даними.
У випадку GTG-20006 людина також контролювала окремі етапи проникнення. Тому коректніше говорити не про «ШІ, який сам атакував Україну», а про кібероперацію з високим рівнем AI-оркестрації.
Є й друге обмеження.
Основне джерело інформації — сама Anthropic. Компанія має унікальну телеметрію про використання власної платформи, але публікує лише частину доказів.
Назви конкретних українських потерпілих переважно не розкриваються. Не оприлюднена й повна технічна база, на якій GTG-20006 зіставлено з Midnight Blizzard.
Тому формулювання «операція російської СЗР» було б сильнішим, ніж дозволяють опубліковані Anthropic дані.
Натомість є суттєвий контекст: описані тактики частково збігаються з кампанією CaptiveCrunch, яку Microsoft окремо відносить до підгрупи Midnight Blizzard. А сам Midnight Blizzard американські та британські органи протягом років пов’язують із російською СЗР.
Reuters повідомило, що російське посольство у Вашингтоні не відповіло на запит про коментар щодо висновків Anthropic.
Для України змінюється сама логіка кіберзахисту
Головний наслідок цієї історії для українських організацій полягає не в необхідності знайти ще одну конкретну шкідливу програму.
Статичної моделі «побачили шкідливе ПЗ — створили сигнатуру — заблокували» стає недостатньо, якщо атакувальник здатен автоматично перебудовувати інструмент після кожного детектування.
Захист дедалі більше має спиратися на поведінку, ідентичності та контекст.
Незвичне додавання нового пристрою до корпоративного акаунта, масове читання пошти, аномальне поновлення токенів, нетиповий експорт даних або доступ до хмарного сховища з нового середовища можуть бути важливішими сигналами, ніж назва конкретного виконуваного файла.
Особливо важливо це для оборонних компаній.
Звіт Anthropic показує, що російський інтерес спрямований не лише на готову зброю, а й на архітектуру продуктів, прошивки, комп’ютерний зір, списки комплектуючих і постачальників.
У сучасній війні викрадений SDK або документація до системи машинного зору можуть мати не меншу розвідувальну цінність, ніж традиційні військові документи.
Окремий ризик створює мобільність чиновників, дипломатів, військових і менеджерів оборонних підприємств. Компрометація готельної Wi-Fi-інфраструктури показує, що периметр організації давно не закінчується дверима її офісу.
Починається гонка швидкості між AI-атакою та AI-захистом
Сама Anthropic заявляє, що заблокувала виявлені акаунти й операції, передала інформацію відповідним партнерам і використала отримані дані для посилення власних механізмів безпеки.
Але блокування доступу до одного сервісу не усуває клас загрози.
Публічні агентні фреймворки вже дозволяють під’єднувати різні моделі, автоматизувати роботу з інструментами та виконувати довгі послідовності завдань. Anthropic вважає, що підходи, які спочатку використовували добре забезпечені державні групи, швидко поширюються серед злочинців, хактивістів та окремих операторів.
Тому майбутнє кіберпротистояння дедалі менше нагадуватиме дуель двох людей перед моніторами.
З одного боку працюватимуть системи, які безперервно досліджують інфраструктуру, модифікують код, аналізують отримані дані та підтримують доступ.
З іншого — системи захисту, які повинні так само швидко виявляти аномалії, зіставляти сигнали з різних джерел і автоматично блокувати підозрілу активність.
Перевагу матиме не обов’язково сторона з найбільш «розумною» моделлю.
Вирішальною може стати здатність правильно вбудувати модель у весь операційний цикл.
Від автоматизації окремих завдань — до автоматизації самої операції
Саме тому кейс GTG-20006 важливий ширше за чергову історію про російських хакерів.
Він демонструє перехід від використання генеративного ШІ для окремих допоміжних операцій до моделі, де ШІ стає частиною інфраструктури кібератаки.
Людина досі визначає противника.
Людина обирає, чиї дані потрібно отримати.
Людина вирішує, як їх використати.
Але між цими рішеннями виникає дедалі довший ланцюг роботи, який можна виконувати машинно — одночасно проти багатьох цілей і практично без пауз.
Для російської кібершпигунської машини це означає можливість масштабувати операції без пропорційного збільшення кількості висококваліфікованих спеціалістів.
Для України — необхідність захищатися вже не лише від конкретних хакерських груп та їхнього шкідливого ПЗ, а від автоматизованих систем атак, здатних адаптуватися під час самої операції.
І саме ця зміна, а не факт використання конкретного чатбота, є головною новиною звіту Anthropic.
