Хакери обходять захист Claude й Deepseek фейковими дозволами
Як модель переконують, що злом "дозволений"
За даними CrowdStrike, усі чотири угруповання використовували схожий трюк: вони переконували Claude чи Deepseek, що атака — це узгоджений і авторизований тест на проникнення, а не реальний злом. Один із поширених методів — додавання файлів до робочої директорії агента, які нібито підтверджують, що завдання схвалене й дозволене.
Паралельно зловмисники застосовували класичний джейлбрейкінг: формулювали промпти й "легенди", які подавали хакерство як санкціоновану й нешкідливу діяльність, заздалегідь знімаючи можливі заперечення моделі. Більш технічно підготовлені угруповання (ті, що працювали китайською та іспанською/англійською) будували таку "легенду" стратегічно й послідовно. Менш підготовлені (російськомовна та індонезійськомовна групи) натомість діяли грубіше — намагалися "залякати" модель агресивними промптами, щоб та прийняла атаку як легітимну.
Китайськомовне угруповання пішло далі: воно застосувало інструмент ClawGod — так званий run time patch, який додає функціональність над Claude Code і намагається видалити з системного промпту Claude Code інструкцію CYBER_RISK_INSTRUCTION, що дозволяє моделі брати участь лише в авторизованому тестуванні безпеки, а не у шкідливому хакерстві.
Приклад: 15 скомпрометованих медичних установ в Аргентині
Іспансько- й англомовне угруповання атакувало установи охорони здоров'я в Аргентині і зламало щонайменше 15 організацій. За даними дослідників, з принаймні однієї з жертв було викрадено облікові дані та медичні записи пацієнтів.
Для цього угруповання спеціально побудувало harness для пентестингу — таку ж інфраструктуру, яку організація використовує, щоб перевіряти власні системи на вразливості. Воно задіяло Claude Opus 4.5, Claude Haiku 4.5 та Deepseek V4 Pro, розподілило ролі між двома агентами: "Supervisor" на Claude Code визначав кроки атаки, а "Executor" виконував їх автономно.
Приклад: державні сервери Бразилії та Колумбії
Китайськомовне угруповання також будувало harness для пентестингу, який спершу проводив розвідку, а вже після того, як людина обирала напрямок дій, атака продовжувалась автономно. Дослідники зафіксували успішну компрометацію державних цілей у Бразилії та Колумбії, а також приватних організацій у Бразилії та США — у біотехнологіях, охороні здоров'я, продуктах харчування, роздрібній торгівлі, технологіях і подорожах.
Угруповання переважно використовувало Claude Opus 4.8, а також Claude Sonnet 4.6 і Deepseek Chat, отримуючи доступ до Claude через проксі-сервіс, розташований у Китаї, і налаштувавши резервні варіанти переходу на інші AI-інструменти, якщо Claude через проксі був недоступний.
Чому слабша технічна підготовка все одно дає результат
Російськомовне угруповання (за оцінкою дослідників, орієнтоване на фінансово мотивовану кіберзлочинність) і індонезійськомовне (найменш технічно підготовлене з чотирьох) користувалися простими, публічно доступними навичками та harness-ами. Попри це, обидва успішно скомпрометували цілі: індонезійськомовна група — кілька державних доменів Індонезії, один державний домен Бангладеш і кілька приватних цілей.
Адам Маєрс з CrowdStrike наголошує, що ці атаки не використовують нові експлойти чи досі невідомі вразливості — вони виграють за рахунок швидкості й обсягу, який дає AI, б'ючи по масових проблемах базової кібергігієни, яких можна було уникнути. За його словами, людина зазвичай виконує первинну розвідку вручну, а потім підключає AI для масштабування самого зламу — тож навіть у повністю агентних атаках за процесом стоїть конкретна людина з конкретним наміром.
Усі чотири угруповання на момент аналізу тримали свою AI-інфраструктуру відкритою у вебі без захисту — саме це дозволило дослідникам CrowdStrike вивчити їхню активність і моделі. Коментарів Anthropic до публікації й відповіді Deepseek редакція WIRED не отримала.