Anthropic’s Threat Intelligence team đã công bố một báo cáo chi tiết về việc các nhóm gián điệp được nhà nước bảo trợ, tội phạm mạng với động cơ tài chính và các hacker đơn lẻ đã vũ khí hóa các mô hình Claude AI để tự động hóa toàn bộ chuỗi tấn công mạng, tạo ra các khai thác zero-day và viết lại mã độc một cách linh hoạt để vượt qua các biện pháp phòng thủ bảo mật.
Chiến dịch tấn công tự động hóa nhờ AI
Các phát hiện, bao gồm hoạt động bị gián đoạn từ tháng 12 năm 2025 đến tháng 8 năm 2026, đánh dấu lần tiết lộ chi tiết nhất của công ty về tội phạm mạng được hỗ trợ bởi AI. Điểm đáng chú ý nhất của báo cáo là sự phức tạp không còn đòi hỏi một kẻ tấn công tinh vi. Anthropic nhận thấy rằng các cá nhân đơn lẻ và các băng nhóm tội phạm nhỏ đã duy trì các chiến dịch tấn công đa nạn nhân mà trước đây một năm sẽ đòi hỏi các nhóm chuyên gia và công cụ tùy chỉnh.
Các framework tác nhân tấn công có sẵn công khai như PentAGI đã tái tạo phần lớn cơ sở hạ tầng tự động hóa mà các tác nhân nhà nước tiên phong, từ đó dân chủ hóa quyền truy cập vào quy trình tình báo, khai thác và exfiltration dữ liệu mà trước đây phân biệt giữa các nhà điều hành cao cấp và nghiệp dư. Anthropic theo dõi các tác nhân này dưới các định danh nội bộ gọi là Generative Threat Groups (GTGs) và đo lường “mức tăng” – tức là cuộc tấn công trở nên nhanh hơn, rộng hơn và sâu hơn như thế nào sau khi AI tham gia vào chuỗi tấn công.
Tác động của AI đến quy trình tấn công
Các nhà điều tra kết luận rằng tác động của AI không nằm ở việc tạo ra các khai thác từ đầu, mà là nén mọi giai đoạn của một cuộc xâm nhập, từ quét, di chuyển ngang đến đánh cắp dữ liệu, vào một phần nhỏ thời gian và nhân lực so với trước đây. Điều này cho phép các cuộc tấn công mạng diễn ra với tốc độ và quy mô chưa từng có.
Các trường hợp tấn công điển hình
Trường hợp của GTG-20006
Trường hợp đáng báo động nhất của báo cáo tập trung vào GTG-20006, một tác nhân có phương thức hoạt động tương đồng với nhóm Midnight Blizzard có liên hệ với nhà nước Nga. Hoạt động dưới biệt danh “JackPoterz”, nhóm này nhắm mục tiêu vào các tổ chức chính phủ, quân sự và ngoại giao của Ukraine và Châu Âu, cùng với các nhà sản xuất máy bay không người lái và chuỗi cung ứng của họ. Họ đã sử dụng Claude để điều phối cơ sở hạ tầng lừa đảo, xây dựng mã độc và các hoạt động chỉ huy và kiểm soát gần như không có sự can thiệp của con người.
Đáng lo ngại hơn nữa là việc nhóm sử dụng AI để giám sát tỷ lệ phát hiện mã độc của chính mình. Khi các sản phẩm bảo mật gắn cờ một trong các mã độc của họ trên Windows hoặc thiết bị di động, các tác nhân do Claude điều khiển sẽ tự động sửa đổi và xây dựng lại mã, lặp lại cho đến khi nó tránh được các chữ ký hiện có trước khi triển khai lại từ các máy chủ dùng một lần. Anthropic và các nhà nghiên cứu độc lập mô tả đây là sự đảo ngược phương trình chi phí truyền thống trong phòng thủ mạng: nơi các chữ ký phát hiện mới từng buộc kẻ tấn công phải trải qua chu kỳ tái phát triển chậm và tốn kém, giờ đây AI cho phép kẻ thù “đóng vòng lặp” nhanh hơn khả năng phản ứng của người phòng thủ.
Cuộc nhắm mục tiêu của nhóm mở rộng ra ngoài việc xâm nhập mạng trực tiếp. Họ đã xâm phạm các nhà cung cấp Wi-Fi khách sạn để chiếm quyền kiểm soát bản ghi DNS và cung cấp các mánh lới quảng cáo độc hại kiểu ClickFix cho các nhà ngoại giao và quan chức đang di chuyển, một kỹ thuật mà Microsoft đã ghi nhận riêng vào tháng 7 năm 2026 dưới tên CaptiveCrunch. Họ cũng chiếm quyền kiểm soát tài khoản WhatsApp của nạn nhân thông qua tự động hóa trình duyệt không giao diện để lén lút trích xuất các cuộc trò chuyện mà không kích hoạt thông báo đã đọc, và họ đã xâm phạm một cơ quan chính phủ Bắc Phi để đánh cắp hơn 300.000 hồ sơ nhận dạng quốc gia.
Trường hợp của nhóm ShinyHunters
Một cụm trường hợp lớn thứ hai liên quan đến các nhà điều hành bị nghi ngờ có liên kết với tập thể tống tiền ShinyHunters, những người đã sử dụng Claude để mở rộng quy mô các cuộc tấn công cơ hội, số lượng lớn thay vì các hoạt động gián điệp được nhắm mục tiêu hẹp. Một nhà điều hành nói tiếng Pháp đã vận hành một đường ống thu thập thông tin đăng nhập phân tán trên mười máy chủ đám mây, giải mã khoảng 1,8 triệu gói ứng dụng Android để săn lùng các bí mật được mã hóa cứng, sau đó cung cấp cho một cửa hàng tội phạm bán dữ liệu thẻ thanh toán bị đánh cắp cùng với bản đồ định vị nạn nhân.
Các nhà điều tra của Anthropic đã ghi nhận một mô hình mà họ gọi là “vibe hacking”, trong đó một nhà điều hành cấp cho Claude quyền truy cập đối tượng rộng rãi vào hệ thống này, lấy bộ dữ liệu đó và cho phép mô hình tự đánh giá môi trường, viết tập lệnh khai thác và lặp lại mà không cần con người hiểu đầy đủ các chi tiết kỹ thuật của mục tiêu. Trong một vụ xâm phạm chuỗi cung ứng của nhà cung cấp dịch vụ phần mềm dưới dạng dịch vụ (SaaS), kẻ tấn công đã sử dụng một lỗ hổng cross-site scripting ban đầu và chuyển đổi token được hỗ trợ bởi AI để chuyển sang hơn 200 tổ chức khách hàng hạ nguồn trong khoảng 34 giờ, làm lộ ra hơn 2.100 bộ token Azure AD trên 40 tenant doanh nghiệp.
Một số tác nhân tương tự đã coi cơ sở hạ tầng AI vừa là mục tiêu vừa là nguồn tài nguyên, đánh cắp khóa API từ các nhà cung cấp phần mềm doanh nghiệp bị xâm phạm và tái sử dụng sức mạnh tính toán bị đánh cắp đó để thực hiện các cuộc tấn công thứ cấp vào các nạn nhân không liên quan, bao gồm một chuỗi bán lẻ của Pháp và một nền tảng nhận dạng Web3. Anthropic nhấn mạnh rằng hệ thống của họ không bị xâm phạm trong các trường hợp này; các thông tin xác thực bị đánh cắp thuộc về môi trường của khách hàng.
Các trường hợp khác
Ngoài các trường hợp của Nga và ShinyHunters, báo cáo còn ghi nhận GTG-10007, được mô tả ở nơi khác là một “nhà máy khai thác” có liên hệ với Trung Quốc, đã chạy các nhóm tác nhân song song để thực hiện tình báo và phát hiện hơn một chục lỗ hổng zero-day tiềm năng trong một tháng duy nhất. Các cụm được tiết lộ khác bao gồm một chiến dịch hacktivist nhắm mục tiêu vào các thực thể chính trị Châu Âu và một nền tảng giám sát liên kết với chính phủ Mali, được cho là do một nhà tư vấn độc lập duy nhất xây dựng để giám sát khoảng 25 triệu thẻ SIM, vượt qua các yêu cầu lệnh tòa án hợp pháp.
Anthropic cho biết không có việc lạm dụng nào được tiết lộ liên quan đến các lớp mô hình Fable hoặc Mythos bị hạn chế hơn của họ, vốn có các biện pháp bảo vệ bổ sung chống lại việc jailbreak, ngoại trừ một trường hợp hẹp liên quan đến nỗ lực chưng cất mô hình bất hợp pháp. Báo cáo này được công bố cùng lúc với các tiết lộ riêng biệt rằng Anthropic đã tạm dừng và sau đó tiếp tục thử nghiệm red-team bên ngoài sau khi các mô hình Claude được phát hiện tự động tương tác với các hệ thống máy tính thực trong quá trình đánh giá, và sau khi một sự cố hack thứ tư chưa được tiết lộ liên quan đến một phiên bản Claude ban đầu được đưa ra ánh sáng.
Khuyến nghị bảo mật
Các nhóm bảo mật được khuyên nên coi các cuộc tấn công do AI điều khiển là một khả năng cơ bản thay vì một rủi ro trong tương lai, vì báo cáo cho thấy các tác nhân đơn lẻ, hacker và dịch vụ nhà nước hiện nay chia sẻ gần như cùng một bộ công cụ tự động hóa. Anthropic cho biết họ đã cấm các tài khoản liên quan, tăng cường các biện pháp phát hiện lạm dụng và chia sẻ các chỉ số thỏa hiệp (IOC) cùng với thông tin tình báo với cơ quan thực thi pháp luật và các đối tác trong ngành đối với các trường hợp đã được tiết lộ.
Ý nghĩa rộng lớn hơn, các nhà nghiên cứu cho biết, là các nhà cung cấp AI và các đơn vị phòng thủ doanh nghiệp hiện đang đối mặt với một cuộc chạy đua vũ trang, nơi kỹ thuật phát hiện phải vượt qua không chỉ những kẻ tấn công là con người mà còn cả các tác nhân tự động có khả năng tái kỹ thuật phương thức hoạt động của chính họ trong thời gian thực.
Tìm hiểu 7 Giai đoạn Triển khai SOC AI theo Chỉ số Đo lường – Tải xuống Sổ tay Triển khai SOC AI Miễn phí 2026 [AI SOC Deployment Playbook].
