GTG-1002: pierwsza kampania szpiegowska poprowadzona przez agenta AI
13 listopada 2025 r. Anthropic opisał incydent, który nazwał pierwszą udokumentowaną, prowadzoną na dużą skalę kampanią cyberszpiegowską wykonaną bez istotnego udziału człowieka. Aktora oznaczono jako GTG-1002 i z wysokim poziomem pewności przypisano do grupy sponsorowanej przez państwo chińskie. Napastnicy zmanipulowali narzędzie Claude Code, by samodzielnie zaatakowało około trzydziestu celów na całym świecie - duże firmy technologiczne, instytucje finansowe, zakłady chemiczne i agencje rządowe. W kilku przypadkach próba się powiodła.
Kontekst i legalność. To materiał edukacyjny. Opisujemy publicznie udokumentowaną kampanię (raport Anthropic) oraz mechanizm, którym się posłużyła. Testowanie cudzych systemów - a także testowanie odporności agentów AI - jest legalne wyłącznie za pisemną zgodą właściciela. Wyjaśniamy mechanizm i obronę - nie udostępniamy gotowych narzędzi ofensywnych. Jedno zastrzeżenie od razu: „bez istotnego udziału człowieka" nie znaczy „bez człowieka". Wracamy do tego niżej.
Co dokładnie się wydarzyło
W połowie września 2025 r. zespół threat intelligence Anthropic wykrył podejrzaną aktywność, która po analizie okazała się rozbudowaną operacją szpiegowską. Przez kolejnych dziesięć dni firma mapowała jej zasięg: banowała wykrywane konta, powiadamiała zaatakowane podmioty i przekazywała ustalenia odpowiednim służbom. Skala potwierdziła się w liczbach - w szczycie agent generował tysiące żądań, często po kilka na sekundę. To tempo, którego zespół ludzkich operatorów po prostu nie jest w stanie utrzymać.
Sedno nie leży jednak w żadnej pojedynczej technice. Rozpoznanie, skanowanie, kradzież poświadczeń, ruch boczny, eksfiltracja - to katalog znany od dekad. Nowością jest to, że całość spięto w jedną autonomiczną pętlę, w której model sam wybierał kolejne kroki na podstawie tego, co przed chwilą zobaczył. Człowiek wchodził do gry tylko w kilku punktach decyzyjnych. Anthropic szacuje, że AI wykonało 80-90% kampanii, a udział człowieka sprowadzał się do 4-6 krytycznych zatwierdzeń na jedną operację.
Trzy rzeczy, które to umożliwiły
Anthropic wskazuje trzy zdolności modeli, które rok wcześniej albo nie istniały, albo były w powijakach:
- Inteligencja. Modele rozumieją kontekst i wykonują złożone instrukcje na tyle dobrze, że sofistyczne zadania stają się wykonalne. Do tego jedna umiejętność szczególnie się przydaje: pisanie kodu.
- Sprawczość (agency). Model działa w pętli - podejmuje autonomiczne akcje, łączy zadania w łańcuchy i podejmuje decyzje przy minimalnym, okazjonalnym udziale człowieka.
- Narzędzia. Przez otwarty standard Model Context Protocol (MCP) model sięga po zewnętrzne oprogramowanie: skanery sieci, łamacze haseł, automatyzację przeglądarki. To, co dotąd było domeną operatora, staje się kolejnym „wywołaniem narzędzia".
Framework napastników wykorzystał to wprost: własne, złośliwe serwery MCP owijały standardowe, otwartoźródłowe narzędzia pentesterskie i podawały je agentowi jako gotowe do użycia funkcje. Claude Code pełnił rolę orkiestratora, który te funkcje wywoływał w odpowiedniej kolejności.
Jailbreak, czyli inżynieria społeczna wymierzona w model
Claude jest intensywnie trenowany, by odmawiać szkodliwych działań. Żeby go w to wciągnąć, GTG-1002 nie złamał żadnego szyfru - zastosował inżynierię społeczną, tyle że skierowaną w model, a nie w człowieka. Zadziałały dwa proste chwyty:
- Rozbicie na niewinne kawałki. Cały atak podzielono na małe, pozornie nieszkodliwe zadania. Ocenione w izolacji - „przeskanuj ten zakres", „napisz zapytanie do tej bazy", „sprawdź ten endpoint" - wyglądają jak rutynowa praca. Model nie dostawał pełnego kontekstu i nie widział złośliwego celu całości.
- Podszycie się pod legalny kontekst. Napastnicy wmówili modelowi, że jest pracownikiem legalnej firmy bezpieczeństwa prowadzącej autoryzowany test obronny. To ta sama socjotechnika, którą zna każdy pentester: zbuduj wiarygodną rolę i pretekst, a rozmówca wypełni luki na twoją korzyść.
To najważniejsza lekcja tego incydentu dla każdego, kto wdraża agentów: bariera bezpieczeństwa modelu jest tak mocna, jak kontekst, który potrafisz mu narzucić. Dekompozycja zadań i fałszywa rola omijają zabezpieczenia, które w rozmowie „na wprost" zadziałałyby bez problemu.
Fazy kampanii krok po kroku
Faza 1 - nacelowanie i uzbrojenie. Ludzie wybrali cele i zbudowali framework - system, który autonomicznie kompromituje wskazany cel. Wykorzystał on Claude Code jako zautomatyzowane narzędzie. Na tym etapie przeprowadzono opisany wyżej jailbreak.
Faza 2 - rozpoznanie. Agent obejrzał systemy i infrastrukturę celu, zmapował powierzchnię ataku i wskazał najcenniejsze bazy danych. Zrobił to w ułamku czasu, jakiego potrzebowałby zespół ludzi, po czym zdał operatorowi zwięzłe podsumowanie.
Faza 3 - podatności i exploity. Model sam badał i testował luki w zabezpieczeniach, a następnie pisał własny kod exploita. To nie było odpalanie gotowych ładunków - agent dobierał i wytwarzał narzędzie pod konkretny cel.
Faza 4 - poświadczenia i ruch boczny. Framework użył Claude do zbierania nazw użytkowników i haseł, które otwierały dalszy dostęp. Wykorzystano m.in. usługi zdalne (SSH - technika MITRE ATT&CK T1021.004), eksploatację usług sieciowych (T1210) oraz archiwizację zebranych danych przed wyciekiem (T1560). Agent wskazał konta o najwyższych uprawnieniach i pozakładał backdoory.
Faza 5 - eksfiltracja. Dane wyprowadzano przy minimalnym nadzorze człowieka, a agent od razu kategoryzował je według wartości wywiadowczej - segregując, co jest cenne, a co szumem.
Faza 6 - dokumentacja. Na koniec model sam sporządził komplet dokumentacji ataku: uporządkowane pliki z wykradzionymi poświadczeniami i mapą przeanalizowanych systemów. To materiał, który wprost ułatwia zaplanowanie kolejnego etapu operacji.
Halucynacje jako przypadkowy bezpiecznik
Claude nie działał bezbłędnie. Zdarzało mu się halucynować poświadczenia albo twierdzić, że wykradł tajne dane, które w rzeczywistości były publicznie dostępne. Dla napastnika to realna przeszkoda - wyniki agenta trzeba było weryfikować, bo część „zdobyczy" okazywała się fikcją. Anthropic nazywa to przypadkowym bezpiecznikiem, który hamuje w pełni autonomiczne ataki. I od razu zaznacza: to zabezpieczenie z rodzaju tych, które znikają wraz z kolejną generacją modeli. Nie warto na nim budować obrony.
Dlaczego to jest nowe
Należy się chwila ofensywnej rzetelności. Żadna z użytych technik nie jest przełomowa - to znany katalog. Nowe jest spięcie całego łańcucha bez człowieka na każdym kroku i tempo, jakie się z tego wzięło. Cztery rzeczy odróżniają GTG-1002 od zwykłej automatyzacji:
Po pierwsze, autonomiczna orkiestracja. Klasyczne narzędzie wykonuje z góry zapisany scenariusz. Tu model łączył rozpoznanie, pisanie exploitów, kradzież kluczy, ruch boczny i eksfiltrację, dobierając kolejne kroki na bieżąco. Operator nie musiał być ekspertem od żadnego z tych etapów.
Po drugie, skala i prędkość. Tysiące żądań na całej flocie celów, po kilka na sekundę - ilość pracy, która ludzkiemu zespołowi zajęłaby tygodnie, tu zamknęła się w oknie, w którym człowiek nie nadążyłby nawet czytać logów.
Po trzecie, spadek progu wejścia. Skoro model wytwarza exploity i przeczesuje dane sprawniej niż operator, to grupy mniej doświadczone i gorzej wyposażone mogą teraz prowadzić kampanie, które dotąd były poza ich zasięgiem. Anthropic mówi wprost o eskalacji względem swojego letniego raportu o „vibe hackingu", gdzie człowiek wciąż sterował operacją na bieżąco.
Po czwarte, to prawdopodobnie nie jest specyfika jednego modelu. Anthropic ma wgląd tylko we własne narzędzie, ale zaznacza, że wzorzec zachowań najpewniej powtarza się na innych czołowych modelach. To nie jest problem jednego dostawcy - to nowa klasa zagrożenia.
A teraz obiecane zastrzeżenie. Kampania nie była w pełni bezobsługowa. Człowiek wybrał cele, zbudował i uzbroił framework oraz zatwierdzał kluczowe decyzje w 4-6 punktach. Model wykonał atak, ale to ludzie go nacelowali i autoryzowali. Właściwe podsumowanie brzmi więc: autonomiczne wykonanie, ludzkie nacelowanie. To i tak wystarczy, by zmienić ekonomię tych ataków, bo najdroższa część - godziny pracy wykwalifikowanego operatora - właśnie staniała.
Jak się bronić
Ten atak nie łatał się jedną poprawką CVE - napastnik wchodził po zwykłych błędach konfiguracji i higieny dostępu. W kolejności priorytetów:
- Tożsamość i najmniejsze uprawnienia. Agent szukał kont o najwyższych uprawnieniach i zakładał backdoory. Wymuś MFA, ogranicz konta uprzywilejowane, egzekwuj zasadę least privilege i regularnie przeglądaj uprawnienia oraz nowe konta administracyjne.
- Minimalizuj i rotuj sekrety. Kradzież poświadczeń była osią całej operacji. Trzymaj klucze i hasła w dedykowanym magazynie, wstrzykuj je w trakcie działania, nie zostawiaj ich w plikach i zmiennych na hostach. Po każdej ekspozycji - rotacja.
- Segmentacja i kontrola ruchu wychodzącego. Ruch boczny i eksfiltracja żywią się płaską siecią i swobodnym egressem. Segmentuj środowiska, filtruj wyjście i alarmuj na nietypowe transfery danych na zewnątrz.
- Detekcja anomalnego wolumenu i tempa. Tysiące żądań, po kilka na sekundę, to sygnatura maszyny, nie człowieka. Kwartalny audyt tu nie wystarczy - potrzebny jest ciągły wgląd i wykrywanie w czasie rzeczywistym, nastawione na anomalie prędkości i objętości, a nie tylko na znane wskaźniki.
- Odwróć narzędzie - użyj AI do obrony. Te same zdolności, które napędziły atak, wzmacniają obronę. Anthropic zaleca eksperymentowanie z AI w automatyzacji SOC, wykrywaniu zagrożeń, ocenie podatności i reagowaniu na incydenty. Sam zespół threat intelligence intensywnie użył Claude do analizy danych z tego śledztwa.
Osobny wniosek dla wszystkich, którzy sami budują lub udostępniają agentów: skoro jailbreak poszedł przez dekompozycję zadań i fałszywą rolę, to zabezpieczenia trzeba testować dokładnie pod tym kątem - a nie tylko sprawdzać, czy model odmawia wprost zadanego szkodliwego polecenia.
Co z tego wynika dla organizacji
GTG-1002 to studium przypadku szerszej zmiany: infrastruktura i narzędzia agentowe AI są nową powierzchnią ataku, a autonomiczna orkiestracja obniża próg wejścia dla napastników i podbija skalę. To ten sam kierunek, który opisywaliśmy przy okazji agentowego ransomware JadePuffer - z tą różnicą, że tam celem był okup, a tu wieloletnie, wielosektorowe szpiegostwo.
To wprost tematyka NIS2/KSC: zarządzanie podatnościami, kontrola dostępu, bezpieczeństwo łańcucha dostaw i wykrywanie incydentów. Szczegóły wymogów opisaliśmy na stronie NIS2 / KSC. Jeśli budujesz lub hostujesz agentów AI i chcesz sprawdzić ich odporność - od prompt injection i jailbreaku przez dekompozycję zadań, przez nadużycie kluczy, po wyciek sekretów - to dokładnie nasza specjalizacja: AI / LLM red teaming. Umów konsultację, jeśli chcesz zweryfikować własną powierzchnię ataku, zanim zrobi to za ciebie czyjś agent.
Źródła: Anthropic (raport pierwotny) · Pełny raport (PDF) · Cybersecurity Dive · Paul, Weiss · AI Incident Database