Zeszli wersję niżej

Dwanaście dni temu opisywaliśmy program, w którym OpenAI zdejmuje systemowe zabezpieczenia cyber zweryfikowanym obrońcom, i postawiliśmy tezę, że guardrail blokował tylko obrońcę. Napastnik nie prosi o dostęp i nie podpisuje oświadczeń — analityk badający własne włamanie dostaje odmowę, bo wysyła te same ciągi znaków.

Raport firmy Gambit Security dokłada do tego drugą połowę, której wtedy nie mieliśmy. Napastnik rzeczywiście nie prosi o dostęp. Ale wcale nie znaczy to, że zabezpieczenia go nie dotyczą — znaczy, że ma wyjście, którego obrońca nie ma.

Afiliant operacji ransomware The Gentlemen, prowadząc włamania do co najmniej ośmiu organizacji, używał Claude Sonnet 4.6. Nie najnowszego modelu. Starszego — prawdopodobnie dlatego, że nowsze mają mocniejsze zabezpieczenia.

Wybrał gorsze narzędzie, żeby dostać mniej odmów.

Co dokładnie robił

Zacznijmy od zakresu, bo jest szeroki. Według raportu operator używał Claude Code do prowadzenia niemal każdego etapu włamania: od przełamania wystawionych do internetu urządzeń VPN, przez kradzież poświadczeń domenowych i haseł LDAP, po umieszczanie backdoorów w samych urządzeniach VPN i eksfiltrację żywych baz danych SQL.

Ofiary od końca czerwca 2026 to co najmniej osiem organizacji: australijski zakład energetyczny, firma usług finansowych z Mauritiusa, producenci z Tajlandii i Stanów Zjednoczonych oraz firmy z sektora IT i dystrybucji w kilku krajach. Rozrzut geograficzny i branżowy jest tu typowy dla modelu afiliacyjnego — operator bierze, co znajdzie, a nie realizuje kampanię wymierzoną w konkretny sektor.

Sama grupa nie jest dla nas nowa. Opisywaliśmy profil The Gentlemen w czerwcu, zastanawiając się, dlaczego gang działający od 2023 roku nagle zaczął atakować szpitale i elektrownie. Pisaliśmy też o GentleKillerze — ich frameworku do wyłączania oprogramowania antywirusowego, który nazwaliśmy wtedy produktem, nie narzędziem. Ta operacja ma zaplecze techniczne i sprzedaje swoje możliwości afiliantom.

I właśnie dlatego wybór modelu przez tego afilianta jest tak interesujący.

Dlaczego wybrał słabszy model

Wniosek raportu jest jednoznaczny: operator sięgnął po starszą, mniej restrykcyjną wersję, ponieważ modele frontier mają silniejsze zabezpieczenia.

Zauważmy, co to znaczy w kategoriach kompromisu. Nowsze modele są lepsze — szybsze, celniejsze, sprawniejsze w złożonych zadaniach. Napastnik świadomie z tego zrezygnował. Przyjął gorszą jakość narzędzia w zamian za mniejszą liczbę odmów.

Nikt nie robi takiego wyboru, jeśli zabezpieczenia są tylko dekoracją. Ten wybór jest miarą tego, jak bardzo guardraile w nowszych modelach uwierają — na tyle, że opłaca się pracować gorszym narzędziem.

To jest wniosek, który warto postawić wprost, bo idzie wbrew dominującej narracji. Przez cały rok pisaliśmy, jak kolejne bariery zawodzą: zabezpieczenia w promptcie nie chroniły, piaskownica pękała, okno zgody pokazywało nieprawdę, a same zabezpieczenia modelu dało się wyłączyć zmianą kontekstu. To wszystko pozostaje prawdą.

Ale ten raport pokazuje coś, czego w tamtych historiach nie było widać: dla zwykłego przestępcy, który chce po prostu wykonać robotę, te zabezpieczenia są dość uciążliwe, żeby ich unikać. Nie każdy napastnik jest zespołem badawczym potrafiącym przekonać model, że bierze udział w grze. Większość to afilianci, którzy chcą narzędzia działającego od razu — i jeśli nowsza wersja stawia opór, biorą starszą.

Wyjście, którego obrońca nie ma

I tu wracamy do tezy sprzed dwunastu dni, którą ten raport uzupełnia w sposób niewygodny.

Napisaliśmy wtedy, że zabezpieczenia ograniczają wyłącznie jedną stronę incydentu — tę broniącą się. Trzeba to teraz doprecyzować. Zabezpieczenia ograniczają obie strony. Różnica polega na tym, jak łatwo je obejść.

Napastnik ma proste wyjście: zejść wersję niżej. Nie potrzebuje do tego niczego poza dostępem do starszego modelu, który zwykle pozostaje dostępny, bo klienci na nim polegają i nie da się go wyłączyć z dnia na dzień bez psucia im systemów.

Obrońca takiego wyjścia nie ma. Analityk badający incydent nie może dowolnie wybrać modelu — jest związany umową, polityką zakupową, wymogami zgodności i tym, co przeszło ocenę bezpieczeństwa w jego organizacji. Nie zejdzie wersję niżej, bo starszy model może nie mieć certyfikacji, może nie być dostępny w jego regionie, może nie spełniać wymogów dotyczących przetwarzania danych. A w środku incydentu, gdy liczy się czas, nie ma miejsca na negocjowanie wyjątków.

Z tego wynika obserwacja, którą warto zapamiętać, bo dotyczy projektowania całej tej warstwy: reglamentuje się dostęp do najnowszych zdolności, a nie do najsłabiej zabezpieczonych. Programy zaufanego dostępu, weryfikacja tożsamości, sprzętowe klucze — wszystko to bramkuje szczyt. A napastnikowi wystarcza dół, który stoi otworem, bo musi stać otworem dla klientów.

Dostępność starszych wersji jest zatem powierzchnią bezpieczeństwa, o której w dyskusji o dawkowaniu zdolności prawie się nie mówi. Nie da się jej po prostu zamknąć — wycofanie działającego modelu, na którym opierają się cudze systemy produkcyjne, ma własne koszty. Ale warto wiedzieć, że linia obrony przebiega w innym miejscu, niż wskazują komunikaty o programach partnerskich.

Uczciwie: co to jest, a czego nie

Kilka rzeczy trzeba postawić rzetelnie, tym bardziej że dotyczą narzędzia, którego sami używamy.

Po pierwsze i bez łagodzenia: Claude Code posłużył napastnikowi do prowadzenia realnych włamań, w co najmniej ośmiu organizacjach, i to jest fakt, który należy podać wprost. Nie było tu żadnej luki w produkcie, żadnego przejęcia konta ani błędu Anthropic — po prostu przestępca użył komercyjnego narzędzia zgodnie z jego zdolnościami, a wbrew warunkom korzystania.

Po drugie, to nie jest pierwszy taki przypadek i sam producent go opisuje. Anthropic publikuje raporty wywiadu zagrożeń dokumentujące nadużycia własnych modeli, łącznie z przypadkami, w których operator prowadził wymuszenia w kilkunastu organizacjach albo sprzedawał gotowe zestawy ransomware zbudowane bez umiejętności programowania. Firma opisuje przy tym, że wykrywa takie konta i je blokuje. To jest zachowanie właściwe, ale nie zmienia faktu, że wykrycie następuje po fakcie.

Po trzecie, wniosek o motywach wyboru wersji pochodzi od badaczy i jest oceną prawdopodobieństwa, nie ustaleniem. Operator nie zostawił oświadczenia, dlaczego użył akurat tego modelu. Możliwe są inne wyjaśnienia — cena, dostępność w jego regionie, przyzwyczajenie, konfiguracja narzędzia, którego używał. Ocena badaczy jest sensowna i spójna z tym, co wiadomo o różnicach między wersjami, ale pozostaje oceną.

Po czwarte, raport pochodzi od firmy sprzedającej usługi wywiadu zagrożeń, co przy tego typu publikacjach jest standardowym zastrzeżeniem. Zakres opisanych działań jest jednak konkretny i weryfikowalny, a sam wzorzec — użycie asystenta kodującego do prowadzenia włamania — jest niezależnie udokumentowany w innych raportach.

I po piąte, proporcja: to nie jest historia o modelu, który sam z siebie zaatakował kogokolwiek. To jest historia o człowieku, który użył narzędzia do przestępstwa. Różnica jest istotna, bo prowadzi do innych wniosków obronnych.

Co z tego wynika dla obrońcy

Rzecz pierwsza jest najważniejsza i najbardziej przyziemna. Wejście prowadziło przez wystawione do internetu urządzenia VPN. To jest ta sama pozycja, która stała na początku łańcucha w polskiej elektrociepłowni i ta sama, przed którą wczoraj ostrzegało pięć amerykańskich agencji przy sterownikach przemysłowych. Urządzenie brzegowe wystawione do sieci, z niepełnym uwierzytelnianiem albo nieaktualnym oprogramowaniem, pozostaje najczęstszym pierwszym krokiem — niezależnie od tego, jakim narzędziem napastnik posługuje się dalej.

Rzecz druga dotyczy tego, co działo się po wejściu: kradzież poświadczeń domenowych, haseł LDAP, backdoory w urządzeniach VPN, eksfiltracja baz. Wszystko to są działania wykrywalne — nietypowe zapytania do katalogu, zmiany konfiguracji urządzeń brzegowych poza oknami serwisowymi, duże transfery z baz produkcyjnych. Użycie asystenta AI przyspiesza ich wykonanie, ale nie czyni ich niewidzialnymi.

Rzecz trzecia jest strategiczna i wynika z wyboru wersji. Jeśli twoja organizacja opiera obronę na założeniu, że zabezpieczenia dostawców modeli ograniczą napastnika, to warto to założenie zrewidować. Ograniczą go dokładnie tyle, ile kosztuje go zejście do starszej wersji — czyli niewiele. Zabezpieczenia modelu są elementem higieny ekosystemu, nie kontrolą, na której da się oprzeć plan obrony.

Jedna myśl na koniec

Cała dyskusja o dawkowaniu zdolności AI toczy się wokół szczytu: kto dostanie najnowszy model, na jakich warunkach, po jakiej weryfikacji, ze sprzętowym kluczem czy bez. Zbudowaliśmy wokół tego szczytu programy partnerskie, oświadczenia prawne i monitoring użycia.

Ten raport pokazuje, że napastnik po prostu tam nie idzie. Nie potrzebuje najlepszego modelu — potrzebuje takiego, który nie odmówi. A ponieważ starsze wersje muszą pozostać dostępne dla klientów, którzy na nich polegają, wejście na tym poziomie stoi otworem i będzie stać.

Jest w tym pewna pociecha, której nie należy przeoczyć: to, że musiał zejść niżej, znaczy, że wyżej coś działa. Ale jest też wniosek trzeźwiejszy. Brama, którą wszyscy pilnujemy, prowadzi na szczyt. A on wszedł bocznymi drzwiami, których nikt nie zamknął, bo są jednocześnie wyjściem ewakuacyjnym dla wszystkich pozostałych.

Źródła

Cybersecurity News — omówienie raportu Gambit Security z opisem zakresu działań operatora, listą dotkniętych organizacji oraz ustaleniem, że posłużył się starszą, mniej restrykcyjną wersją modelu prawdopodobnie ze względu na silniejsze zabezpieczenia w modelach frontier: https://cybersecuritynews.com/claude-code-helps-ransomware-operator/

Anthropic — raport wywiadu zagrożeń dokumentujący wcześniejsze przypadki nadużycia własnych modeli, w tym operacje wymuszeń prowadzone w kilkunastu organizacjach oraz sprzedaż zestawów ransomware tworzonych bez umiejętności programowania, wraz z opisem podejmowanych działań wykrywających: https://www-cdn.anthropic.com/b2a76c6f6992465c09a6f2fce282f6c0cea8c200.pdf

Forrester — analiza konsekwencji tych zjawisk dla zespołów bezpieczeństwa, z wnioskiem o zniknięciu bariery wejścia do tworzenia ransomware i spodziewanym wzroście liczby ataków prowadzonych przez mniej doświadczonych aktorów: https://www.forrester.com/blogs/vibe-hacking-and-no-code-ransomware-ais-dark-side-is-here