Zu den konkreten Erfolgen der Spionagegruppe zählt Anthropic den Abfluss von Postfächern bei zwei Herstellern von Drohnenkomponenten sowie den Diebstahl eines vollständigen proprietären Software Development Kits für ein Drohnen-Bildverarbeitungssystem. Der Angreifer verbrachte mehrere Tage damit, dessen Architektur, die Hardware-Stückliste und die Zulieferabhängigkeiten rückzuentwickeln.
Daneben kompromittierte die Gruppe mindestens drei Dienstleister der Hotellerie, die Gäste-WLAN betreiben. Mit gestohlenen Administratorzugängen leiteten die Angreifer den Datenverkehr der Gäste per DNS-Hijacking um. Microsoft hatte diese Auslieferungsmethode zuvor unter dem Namen CaptiveCrunch dokumentiert und Midnight Blizzard zugeordnet.
Derselbe Akteur übernahm laut Anthropic zudem WhatsApp-Konten von Opfern, indem er sie über Headless-Browser als gekoppelte Zweitgeräte einband. Lesebestätigungen wurden dabei unterdrückt, um Gespräche unbemerkt zu exportieren. Mindestens zwei ehemalige hochrangige ukrainische Regierungsvertreter waren auf diesem Weg Ziel der Angriffe.
Anthropic erklärte, die Aktivitäten gestoppt, die gewonnenen Erkenntnisse zur Verschärfung der eigenen KI-Schutzmechanismen genutzt und – wo angebracht – Informationen mit Behörden und Branchenpartnern geteilt zu haben.
Der zweite Schwerpunkt des Berichts betrifft Angriffe auf die KI-Anbieter selbst. Eine als GTG-50021 geführte Gruppe betrieb demnach einen betrügerischen Claude-Wiederverkaufsdienst: Zahlende Kunden wurden unbemerkt an ein anderes Modell weitergeleitet, während eine mitgelieferte Client-Anwendung deren Anthropic-Zugangsdaten zum Weiterverkauf abgriff.
Deutlich direkter ging die finanziell motivierte, russischsprachige Gruppe GTG-50020 vor, die zuvor Hotelbuchungs- und Fintech-Plattformen angegriffen hatte. Sie setzte laut Anthropic Prompt Injection gegen die automatisierte Bewertungs-Sandbox eines KI-Anbieters ein und brachte diese dazu, produktive API-Schlüssel mehrerer Anbieter herauszugeben. Mit den erbeuteten Schlüsseln führte der Akteur seine Angriffe fort und startete zudem über mehrere Tage hinweg eine Kampagne gegen rund 30 KI-Unternehmen.
Das erklärte Ziel dieser Kampagne war nach Darstellung von Anthropic der Zugriff auf ein noch unveröffentlichtes Claude-Modell; der Angreifer verfolgte dazu mehr als ein Dutzend Ansätze. Keiner der Versuche war erfolgreich.
Gestohlene KI-Zugangsdaten sind für Angreifer aus drei Gründen attraktiv, so Anthropic: wegen ihres Wiederverkaufswerts, wegen der kostenlosen Rechenleistung für eigene Operationen und als Tarnung, da die dabei entstehende Aktivität dem rechtmäßigen Schlüsselinhaber zugerechnet wird. Organisationen sollten API-Schlüssel für KI-Dienste und Agenten-Integrationen daher mit derselben Sorgfalt behandeln wie produktive Zugangsdaten.
Die Befunde zu Cyberoperationen sind Teil eines umfassenderen Berichts, der sieben Kategorien von Missbrauch abdeckt, die Anthropic unterbunden hat – darunter Einflussoperationen, Überwachung sowie Missbrauch im Zusammenhang mit biologischen und konventionellen Waffen. Letzteres verknüpft das Unternehmen mit einer separaten Untersuchung seines Frontier Red Team zu den Fähigkeiten von KI-Modellen bei nachrichtendienstlicher Zielauswahl und konventioneller Waffenentwicklung.