Piaskownica, w której pewien dostawca AI automatycznie ocenia modele, dostała polecenie ukryte w materiale do oceny. Wykonała je i wydała to, co miała pod ręką: produkcyjne klucze API do usług kilku dostawców. Napastnik od razu przełączył własne narzędzia na cudze klucze i pracował dalej. W ciągu mniej więcej czterech dni powtórzył tę samą ścieżkę wobec około trzydziestu firm z branży AI. Scena pochodzi z wrześniowego raportu zespołu analizy zagrożeń Anthropic, a opisana w niej kradzież kluczy API jest wątkiem, który w polskich relacjach przepadł pod głośniejszą historią o dronach.
Osiem miesięcy obserwacji i siedem obszarów nadużyć
Dokument nosi tytuł “Detecting and countering misuse of AI” i opisuje działania zakłócone między grudniem 2025 a sierpniem 2026. Jest czwartym z serii, po raportach z marca, sierpnia i listopada 2025. Anthropic porządkuje go według siedmiu obszarów: operacje cybernetyczne, operacje wpływu, nadzór, oszustwa i przestępczość finansowa, nadużycia biologiczne, broń konwencjonalna oraz nielegalna destylacja modeli.
Dwa zastrzeżenia trzeba postawić od razu. Po pierwsze, jest to komunikat firmy o własnym produkcie, więc każde ustalenie jest ustaleniem Anthropic, nie niezależnego audytora. Po drugie, firma sama pisze, że opisane sprawy nie są typowe. Wybrała najbardziej wyraziste przypadki, a nie przekrój tego, co dzieje się na platformie.
Warto odnotować jeszcze jedną deklarację. Według raportu nadużycia dotyczyły modeli Haiku, Sonnet i Opus, a modeli klasy Fable i Mythos nie objęły, z wyjątkiem jednej sprawy dotyczącej nielegalnej destylacji. Weryfikacji takiego zdania z zewnątrz nie da się przeprowadzić.
Trzydzieści firm AI w cztery dni
Sprawcę raport oznacza kryptonimem GTG-50020 i opisuje jako rosyjskojęzycznego, motywowanego finansowo. Wcześniej włamywał się do platform rezerwacji hotelowych i firm technologii finansowych. Z jednej ofiary wyprowadził około 26 gigabajtów danych i żądał od 1,5 do 2,5 miliona dolarów.
Potem przeniósł ten sam warsztat na branżę AI. Mechanizm był prosty i dlatego ciekawy. Do automatycznej piaskownicy ewaluacyjnej dostawcy wstrzyknął złośliwe instrukcje, przez co piaskownica wydała przechowywane poświadczenia. Wśród nich były produkcyjne klucze API kilku różnych dostawców, należące do tej firmy.
Dalej zadziałała automatyka. Po zdobyciu kluczy ofiary napastnik przełączał na nie swoje obciążenia i kontynuował włamania, również wobec celów niepowiązanych z pierwotną ofiarą. Kampania z tej samej infrastruktury objęła w mniej więcej cztery dni około trzydziestu firm AI. Znaleziono jedną działającą ścieżkę i powtarzano ją wobec wszystkich celów, z drobnymi przeróbkami pod różnice między nimi.
Deklarowany cel brzmiał ambitniej niż efekt. Napastnik szukał dostępu do niewydanej wersji modelu Claude i próbował ponad tuzina dróg. Anthropic pisze wprost, że nie uzyskał go żadną z nich. Firma zaznacza też, że wszystkie klucze pochodziły ze środowisk klientów, a jej własne systemy nie zostały naruszone.
Skradziony klucz daje trzy rzeczy naraz
Najbardziej użyteczny fragment raportu to wyliczenie, po co komu cudzy klucz do modelu. Anthropic wskazuje trzy korzyści, które napastnik dostaje w jednym pakiecie.
- Łup. Klucze i konta mają ustaloną wartość na rynkach odsprzedaży, więc same w sobie są towarem.
- Moc obliczeniowa. Obciążenia atakującego liczą się na rachunek prawowitego właściciela klucza.
- Przykrycie. Ruch wygląda na aktywność właściciela konta, co utrudnia wykrycie i przypisanie.
Trzeci punkt tłumaczy, dlaczego rachunek bywa najmniejszym problemem. Kampania haktywistyczna opisana w tym samym raporcie działała przez miesiąc wyłącznie na skradzionych kluczach. Pojedynczy francuskojęzyczny operator uderzał w europejskie partie polityczne, media i ośrodki analityczne. Z platformy do zarządzania kampanią polityczną wyprowadził około 140 tysięcy rekordów zawierających poglądy polityczne. Właściciele kluczy opłacali przy okazji tę robotę.
Tani dostęp do Claude’a, który wykradał konta
Osobny wątek dotyczy pośredników sprzedających dostęp do modeli poniżej ceny producenta. Raport opisuje grupę GTG-50021, rosyjsko- i ukraińskojęzyczną, występującą pod pseudonimem kl1zy. Oferowała tani dostęp do Claude’a.
Klient dostawał coś innego, niż kupował. Ruch był po cichu przekierowywany do zupełnie innego modelu AI. Równolegle narzędzia odsprzedawcy instalowały program wykradający poświadczenia konta Anthropic, a wykradzione dane szły dalej, do kolejnych pośredników.
Zalecenie firmy jest w tej sprawie jednoznaczne. Dostęp do modeli należy kupować wyłącznie kanałami autoryzowanymi, bo rzekoma zniżka wymagająca przepuszczenia ruchu i poświadczeń przez nieznanego pośrednika oznacza poważne ryzyko dla danych i systemów. Brzmi to jak rada oczywista, dopóki nie zobaczy się cennika takiego pośrednika.
Poziom wykonania przestał wskazywać, kto stoi za atakiem
Raport otwiera się tezą ważniejszą dla zespołów bezpieczeństwa niż którykolwiek pojedynczy kryptonim. Anthropic twierdzi, że AI zniosła różnicę w sile roboczej i narzędziach. Dotąd oddzielała ona dobrze finansowane operacje państwowe od pojedynczych operatorów.
Konsekwencja dotyczy przede wszystkim pracy analityków. Poziom wykonania przestał być wiarygodnym sygnałem tego, kto stoi za operacją. Wielomiesięczne kampanie z wieloma ofiarami prowadzili tu na przemian haktywista pracujący na skradzionych kluczach, luźno powiązani przestępcy motywowani finansowo oraz operator szpiegowski. Jeszcze rok wcześniej każda z tych kampanii wymagałaby zespołu specjalistów.
Firma wskazuje też konkretny mechanizm rozprzestrzeniania. Publicznie dostępne szkielety do budowy agentów ofensywnych odtwarzają większość rusztowania, które Anthropic opisało w raporcie z listopada 2025 roku. Pobrać je może każdy. Model operacyjny przypisywany wtedy jednej kampanii rozlał się przez osiem miesięcy na wszystkie badane kategorie sprawców.
Skąd realnie wyciekają klucze
Najczęstszym źródłem nie jest włamanie do dostawcy modelu. Są nim sami klienci, którzy zostawiają poświadczenia w swoich produktach i publicznym kodzie. Raport wymienia repozytoria na GitHubie, pliki instalacyjne aplikacji mobilnych, obrazy kontenerów Docker, strony internetowe i chatboty. Jak trzymać klucz w zmiennej środowiskowej zamiast w kodzie i ustawić twardy limit wydatków, pokazujemy na przykładzie OpenAI w poradniku o kluczu API ChatGPT.
Skala przeczesywania tych źródeł robi wrażenie. Operator powiązany z grupą ShinyHunters prowadził potok na dziesięciu maszynach w chmurze Amazona. Pobrał 1,8 miliona różnych plików instalacyjnych Androida, zdekompilował je i przeszukał pod kątem zaszytych sekretów. Zweryfikowane trafienia lądowały na żywo w grupie na Telegramie, uporządkowanej w ponad sto typów źródeł.
Osobno raport odnotowuje przejmowanie usług nakładkowych zbudowanych na LiteLLM. Napastnicy wstrzykiwali polecenie i wyprowadzali z kontenerów w chmurze produkcyjne klucze API. O samym LiteLLM pisaliśmy przy okazji trzeciego wpisu tego komponentu do katalogu podatności CISA, więc wektor nie jest nowy. Nowe jest to, kto i po co z niego korzysta.
Agenci AI · Kodożercy
Zbuduj agenta, który wykonuje zadania za Ciebie
Kurs Agenci AI od Kodożerców prowadzi przez pięciu agentów zbudowanych w n8n: bibliotekarza odpowiadającego na pytania z Twoich dokumentów, asystenta proszącego o zgodę przed ważnym krokiem, badacza, inżyniera i łącznika spinającego narzędzia przez MCP. Kod, tam gdzie jest potrzebny, pisze Claude pod Twoim nadzorem.
Zobacz program kursu →
Czego raport nie twierdzi
Trzy zdania z dokumentu przepadły w relacjach, a każde zmienia wydźwięk sprawy.
Historia o rosyjskim zespole budującym oprogramowanie do roju dronów kamikadze obiegła w tym tygodniu polskie portale. Anthropic ocenia jednak, że byli to niewielki, wyspecjalizowany zespół wykonujący mieszankę zleceń cywilnych i wojskowych, a nie rosyjska instytucja państwowa. Firma naliczyła dziewięć powiązanych kont, z czego osiem służyło wyłącznie zwykłej pracy dorywczej. Sami zainteresowani twierdzili, że mają finansowanie z rosyjskich instytucji państwowych, tyle że tych deklaracji Anthropic nie potrafi zweryfikować i tak je opisuje.
Drugie zdanie dotyczy niewydanego modelu. Ponad tuzin prób dostania się do przedpremierowej wersji Claude’a skończył się niepowodzeniem, co raport stwierdza wprost. Trzecie zamyka kwestię odpowiedzialności za wyciek: klucze pochodziły ze środowisk klientów, a systemy samej firmy nie zostały naruszone. Dla kogoś, kto trzyma klucz do modelu w zmiennej środowiskowej na współdzielonym serwerze, jest to informacja praktyczna. O tym, jak agenty zachowują się już po wejściu do cudzej infrastruktury, pisaliśmy przy raporcie Gambit Security.
Najczęstsze pytania
Czy moje konto jest zagrożone, jeśli korzystam z Claude’a przez przeglądarkę?
Raport opisuje przede wszystkim kradzież kluczy API, tokenów sesji i poświadczeń kont. Nie wynika z niego, że samo korzystanie przez przeglądarkę jest zagrożeniem. Ryzyko rośnie wtedy, gdy klucz trafia do kodu aplikacji, obrazu kontenera albo publicznego repozytorium. Osobną sprawą jest kupowanie dostępu u pośrednika, bo według raportu jeden z nich instalował program wykradający poświadczenia konta.
Po czym poznać, że ktoś używa mojego klucza API?
Pierwszym sygnałem bywa rachunek, jednak raport pokazuje, że nie jest to sygnał pewny. Napastnicy celowo mieszają swój ruch z ruchem właściciela konta. Praktyczniejsze są rotacja kluczy, osobny klucz na każde zastosowanie i ograniczenie uprawnień, bo skracają okno wykorzystania skradzionego poświadczenia.
Podsumowanie
Największy ciężar tego dokumentu leży poza wątkiem, który obiegł polskie portale. Anthropic opisuje przestępczość, która przestała traktować branżę AI jako narzędzie i zaczęła traktować ją jako cel. Napastnik oznaczony GTG-50020 zaatakował około trzydziestu firm AI w cztery dni, wchodząc przez automatyczną piaskownicę ewaluacyjną i zabierając z niej produkcyjne klucze klientów. Inny sprzedawał tani dostęp do Claude’a i przy okazji wykradał konta kupujących. Trzeci pobrał 1,8 miliona plików instalacyjnych Androida, żeby wyłuskać z nich zaszyte sekrety. Skradziony klucz daje jednocześnie towar, cudzą moc obliczeniową i przykrycie, więc opłaca się nawet wtedy, gdy nie prowadzi do żadnego spektakularnego włamania. Klucz do modelu wart jest dziś tyle, co poświadczenie produkcyjne, i tak trzeba go pilnować.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
