Den 10. september udgav Anthropic 154 sider om, hvordan folk har misbrugt Claude. Rapporten hedder Detecting and countering misuse of AI: September 2026, dækker december 2025 til august 2026, rummer 31 sager fordelt på syv kategorier og kommer med et regneark på 209 tekniske indikatorer, som alle kan hente.
Den er blevet omtalt som et katalog over skræmmende ting, AI nu kan. Men den sætning, der betyder mest for jer, står på side 38 og siger det modsatte:
"Angrebene i sig selv er velkendte og involverer stjålne legitimationsoplysninger, upatchede edge-enheder, eksponerede tjenester, SQL injection og phishing. Ingen af operationerne i denne rapport var afhængige af en helt ny teknik, som forsvarere aldrig har set. Det er i stedet angrebenes økonomi, der har ændret sig."
Der er nyheden. Prisen på de gamle metoder er styrtdykket. Rekognoscering, værktøjsudvikling og databehandling var det arbejde, der adskilte en statsfinansieret operation fra en enkeltperson med et mål. Nu uddelegeres det til modeller, der kører parallelt og døgnet rundt.
Herunder får I rapporten oversat: hvad der står i den, hvad fagsproget betyder, hvad der faktisk er nyt, hvor rapporten selv tager forbehold, og hvad I gør ved det.
Anthropic har et trusselsefterretningshold, der overvåger, hvordan deres egne modeller bliver brugt. Finder de misbrug, lukker de kontoen, bygger detektion oven på det, de har lært, og deler indikatorer med myndigheder og branchen. Det er fjerde gang, de udgiver sådan en rapport; de tidligere kom i marts, august og november 2025.
Tre ting er værd at forstå om, hvad rapporten er og ikke er.
Anthropic ser produktionssiden, ikke resultatet. De kan se en operation, mens den bygges, men ikke hvad der sker, når indholdet eller malwaren forlader platformen. Om informationsoperationer skriver de det selv: en social medie-platform ser typisk en operation, når indholdet allerede cirkulerer, mens de ser den, mens den er under opbygning. Det er en fordel for tidlig afbrydelse og en begrænsning for at vurdere effekt.
Sagerne er ikke repræsentative. Anthropic skriver eksplicit, at de udvalgte sager ikke er typisk misbrug, men "de mest bemærkelsesværdige og nye" eksempler, de har fundet. En kurateret liste over yderpunkter, ikke et gennemsnit.
De misbrugte modeller var Haiku, Sonnet og Opus. Ingen af sagerne involverede Fable eller Mythos-klassen, på nær én destillationssag. I cyberafsnittet står der, at Mythos har safeguards, der markant reducerer dens evne til at udføre skadelige cyberopgaver. Hold fast i det, når nogen citerer rapporten som bevis for, at de nyeste modeller er de farligste.
Rapporten er skrevet i sikkerhedsbranchens sprog. Her er det oversat, så resten kan læses uden opslagsværk.
GTG står for Generative Threat Group og er Anthropics interne sagsnummer på en aktør, de har set misbruge AI. GTG-20006 er altså ikke noget, hackerne kalder sig selv.
Uplift er rapportens ord for, hvor meget mere skade en aktør kunne gøre med AI end uden. Det måles på hastighed, skala og dybde.
C2 (command and control) er den server, malware på en inficeret maskine ringer hjem til for at få ordrer og aflevere data. Et "C2-domæne" på indikatorlisten er en adresse, inficerede maskiner taler med.
ClickFix er svindlen, hvor en side beder dig løse et falsk teknisk problem ved selv at køre en kommando: "din netværksforbindelse er ustabil, tryk Windows+R og indsæt dette." Offeret installerer malwaren selv, og ingen advarsel udløses, fordi det er brugeren, der handler.
Device code phishing udnytter det rigtige login-flow. I stedet for en falsk login-side får offeret en ægte Microsoft-side og en kode, de skal indtaste. Koden hører til angriberens session, så offeret logger korrekt ind, bare på angriberens vegne. Tofaktor stopper det ikke.
DNS-kapring betyder, at angriberen ændrer, hvilken IP-adresse et domænenavn peger på, så trafik havner hos dem i stedet for hos den rigtige server. I rapportens hotelsag skete det hos leverandører af gæstewifi.
Webshell er et lille script på jeres webserver, der lader angriberen sende kommandoer gennem hjemmesiden. En bagdør, der ligner en almindelig fil. I én sag lå den gemt blandt skrifttypefilerne.
IOC (indicator of compromise) er et konkret spor: et domæne, en IP-adresse, et filnavn, et hash. Noget I kan søge efter i jeres logs.
Vibe hacking er arbejdsformen, hvor operatøren giver AI'en et overordnet mål og lader modellen selv undersøge miljøet, skrive scripts, køre dem og gentage, til opgaven er løst. Operatøren forstår ofte ikke målsystemet i detaljer og behøver det ikke.
Breakout Scale er Brookings Institutions skala fra 1 til 6 for, hvor langt en informationsoperation reelt nåede. Kategori 1 er indhold, der bliver inde i ét lukket miljø på én platform; kategori 6 er den øverste ende af offentlig eksponering. Den måler spredning, ikke indsats.
Cyberafsnittet har én overskrift: sofistikerede angreb kræver ikke længere sofistikerede angribere. Anthropic formulerer det som, at sofistikeringsniveau er holdt op med at være et brugbart signal om, hvem der står bag en operation. Fem sager bærer den pointe.
En russisktalende operatør under aliasset "JackPoterz" kørte spionage mod militære efterretningsmål i Ukraine og Europa plus diplomatiske og forsvarsrelaterede organisationer med tilknytning til amerikansk udenrigspolitik. Anthropics attribution stemmer med offentlig rapportering, der knytter aktøren til Midnight Blizzard.
Over 20 organisationer indgik i planlægning, rekognoscering eller live-operationer: ministerier, forsvars- og efterretningsorganer, ambassader, tænketanke, forsvarsindustri. Tyngdepunktet var Ukraine, og et gennemgående tema var droneteknologi og dens underleverandører. Aktøren hentede postkasser ud hos mindst to producenter af dronekomponenter og stjal et komplet udviklingskit til et dronekamerasystem, som de brugte dage på at reverse-engineere ned til styklister, leverandørafhængigheder og et uannonceret produkt.
For at nå mål indirekte kompromitterede de mindst tre leverandører af hotel-gæstewifi og ændrede DNS-opslag, så gæsternes trafik gik gennem deres egne servere. Derfra blev ClickFix-lokkemad serveret og malware leveret til Windows, Android og iOS. Microsoft Threat Intelligence beskrev metoden i juli 2026 under navnet CaptiveCrunch. Hos en nordafrikansk statslig it-myndighed fik de fat i hele legitimationsdatabasen: over 300.000 nationale identitetsposter og registerdata for mere end en halv million virksomheder.
Vigtigst for forsvarere er dog noget helt fjerde. Aktøren satte AI-agenter til at overvåge, om deres egen malware blev opdaget af sikkerhedsprodukter. Blev et værktøj flagget, ændrede og genbyggede agenterne det selv, indtil det igen var usynligt, hvorefter det blev lagt op på engangsservere og brugt videre.
Rapporten kalder konsekvensen en omvending af omkostningerne. Før kunne en forsvarer bremse en angriber ved at udgive en ny detektion. Nu kan en kapabel modstander lukke den løkke hurtigere, end forsvarere kan udvikle og udrulle nye signaturer. Det gør ikke statiske detektioner værdiløse. Det forkorter deres holdbarhed.
Flere klynger af økonomisk motiverede kriminelle, som Anthropic vurderer er affilierede med ShinyHunters-kollektivet. Én fransktalende operatør kørte en pipeline på ti AWS-maskiner, der hentede 1,8 millioner Android-apps ned, pakkede dem ud og scannede dem for hardkodede hemmeligheder. Fund blev sendt i realtid til en Telegram-gruppe organiseret i over 100 kildetyper. En parallel pipeline høstede GitHub-tokens.
Her bliver det konkret for almindelige virksomheder. Det stjålne var ikke eksotisk. Det var API-nøgler og adgangstokens, udviklere havde efterladt i mobilapps, kodelagre, containerbilleder, klientkode og metadata-endpoints.
Resultaterne: over en terabyte data fra én teknologileverandør, inklusive hundredtusindvis af nationale id-numre og millioner af betalingskortposter. Hos et flyselskab adgang til systemer med titusinder af millioner passagerposter. Hos et energiselskab hævdede operatørerne at kunne fjernstyre ladestrømmen på elbilladere i kundernes hjem.
En anden affilieret specialiserede sig i forsyningskæden. Efter indbrud hos en SaaS-leverandør brugte de fodfæstet til at hente data hos omkring 200 af leverandørens kunder og dumpede et session-lager med over 2.100 Azure AD-tokensæt fordelt på mere end 40 virksomhedstenants. Det tog cirka 34 timer, og Anthropics vurdering er, at AI-agenter udførte næsten alt arbejdet. Samme aktør indkasserede i øvrigt legitime bug bounty-udbetalinger på 2.000 og 5.000 dollar fra to af de virksomheder, de samtidig afpressede.
Tempoet: ét indbrud gik fra første adgang til bulk-datatyveri på timer, et andet fra ét stjålet udviklertoken til fuld administrativ kontrol over kundens cloud-miljø på cirka tre timer.
Kinesisktalende operatører, sandsynligvis i Changsha i Hunan-provinsen. To af dem blev identificeret som bachelorstuderende; den ene havde haft praktik hos sikkerhedsfirmaet Sangfor og var til jobsamtale hos QiAnXin til en offensiv cyberrolle. De ramte omkring 50 organisationer på tværs af uddannelse, detail, energi, teknologi, sundhed, finans, produktion og statslige myndigheder globalt. Et edtech-firma mistede hundredvis af megabyte elevdata; en sydøstasiatisk myndighed mistede borgerposter med navne, telefonnumre og adresser.
Sårbarhedsforskningen adskiller sagen fra de øvrige. De satte en autonom løkke op mod firmware fra netværks- og sikkerhedsudstyr: indlæs binæren i en decompiler, lad en agent gennemgå den, formuler hypoteser mod en videnbase, agenten selv vedligeholdt, skriv exploit-kode, test mod en labkopi, gentag til det virker. Én arbejdsgang mod netværksudstyr gav mere end et dusin mulige zero day-fund på en enkelt måned.
Ved siden af kørte en rekognosceringsløkke mod internet-eksponerede systemer og en flåde på tretten stående indsamlingsagenter, der på skema hentede indhold fra blandt andet offentligt tilgængelige amerikanske militær- og myndighedssider. Mållister, høstede legitimationsoplysninger og stående instrukser blev gemt på tværs af sessioner, så arbejdet kunne genoptages midt i en kampagne.
I foråret 2026 brugte en enkelt fransktalende aktør Claude mod europæiske politiske partier, medier, tænketanke og deres SaaS-leverandører. Hele kampagnen kørte på stjålne API-nøgler, fundet med en selvbygget Rust-scanner, der ledte i offentlige containere og roterede nøglerne gennem et lokalt proxylag, så trafikken blandede sig med den retmæssige ejers.
Signaturteknikken var en tidligere udokumenteret race condition i WordPress' geninstallationsflow, der kunne oprette en administratorkonto uden gyldige legitimationsoplysninger. Claude hjalp med at udvikle og fejlfinde exploitet i samme session, inklusive et testmiljø, og den virkede mod mindst fire sider.
Aktøren byggede også "fafsearch", en doxing-platform med søgemaskine, ingestionspipelines og krydsreferencer mellem lækkede datasæt. Den blev fyldt med titusinder af millioner rækker, herunder nationale sundhedsidentifikatorer og materiale fra brud på retssystemet, og udgivet som anonyme dark web-tjenester, hvor folk med tilknytning til den målrettede politiske bevægelse kunne slås op ved navn. Anthropic kalder det et af de klareste eksempler, de har set, på AI-assisteret softwareudvikling anvendt direkte på et masseangreb mod privatliv. Bygget af én person.
Regnskabet: 42 sporede mål, intern adgang til mindst 14, 12 til 26 GB udtrukket: donorlister, medlemsdatabaser, en postkasse med 15.000 beskeder, ansøgningsdata om studerende inklusive mindreårige, og data fra en betalingsudbyder.
Det her er sandsynligvis den vigtigste trend i cyberafsnittet, og den, der rammer flest almindelige virksomheder.
GTG-50021 var en russisk- og ukrainsktalende gruppe, der kørte en falsk Claude-forhandler. Kunderne troede, de købte billig Claude-adgang. Trafikken blev i virkeligheden sendt videre til en helt anden model, mens forhandlerens software installerede en credential harvester, der stjal kundernes Anthropic-legitimationsoplysninger og solgte dem videre til andre proxy-forhandlere. Beslægtede aktører distribuerede malware forklædt som populære AI-værktøjer, herunder falske versioner af Claude Code.
GTG-50020 havde historisk brudt ind hos hotelbookings- og fintech-platforme og rettede så den samme fremgangsmåde mod AI-branchen. Ved at injicere instruktioner i en AI-leverandørs automatiserede evalueringssandkasse fik de sandkassen til at udlevere de produktionsnøgler, den havde adgang til, fra flere udbydere. Nøglerne blev straks brugt til videre angreb. En opfølgende kampagne fra samme infrastruktur ramte omkring tredive AI-virksomheder på cirka fire dage. Målet, forfulgt ad mere end et dusin veje, var adgang til en Claude-model før udgivelse. Det lykkedes aldrig.
Rapporten er præcis på et punkt, der er værd at gentage: alle nøgler i sagerne var kundernes, stjålet fra kundernes egne miljøer. Anthropics systemer blev ikke kompromitteret.
Hvorfor er stjålne AI-nøgler så attraktive? Rapporten svarer med tre ord. Loot: nøglerne har videresalgsværdi på etablerede markeder. Compute: angriberens arbejdsbelastninger kører på offerets regning. Cover: aktiviteten tilskrives den retmæssige ejer.
Derfor formulerer rapporten en anbefaling, der er usædvanligt direkte for et dokument af den type: organisationer bør behandle AI-nøgler og agent-integrationer med samme alvor som produktionslegitimationsoplysninger, fordi angriberne gør præcis det. Det hænger sammen med det, vi tidligere har skrevet om OWASP's rammeværk for agentsikkerhed og om en kapret npm-pakke, der gik målrettet efter MCP-nøgler.
Vi bygger selv MCP-integrationer, der forbinder kunders værktøjer med Claude, og det er den del af rapporten, vi kender bedst fra praksis. Når en integration først er sat op, holder folk op med at tænke på den. Nøglen ligger et sted i en konfiguration, den har typisk bredere adgang end opgaven kræver, og den bliver sjældent rullet. Det er præcis den tilstand, ShinyHunters-affilierede levede af at finde. Den billigste øvelse, I kan lave efter at have læst det her, er at skrive ned, hvilke AI-nøgler I har i drift, hvem der oprettede dem, og hvad de reelt har adgang til. De fleste bliver overraskede over, hvor lang den liste er.
Ni sager med oprindelse i Rusland, Iran, Tyrkiet, Golfen, Sydasien, Afrika og Europa, rettet mod publikum på seks kontinenter. Aktørerne spænder fra regeringer og statsmedier til private firmaer, der sælger påvirkning til betalende kunder.
Det mest slående mønster handler om apparatet omkring indholdet, ikke om indholdet selv. Claude blev sat til at producere doktrinmanualer, personasystemer, måldatabaser, ansættelseskontrakter og scoringsrubrikker. Arbejde, der ellers kræver en bemandet programorganisation.
Den Centralafrikanske Republik (GTG-04001) er den eneste sag i afsnittet med reel rækkevidde og scorer kategori 4. En russisktalende aktør i Bangui leverede produktionsrygraden til en operation koordineret med Radio Lengo Songo (98,9 FM), RT, Sputnik Afrique, TASS og Det Russiske Hus i Bangui. Aktøren instruerede eksplicit Claude i at indlejre pro-russiske og anti-franske talepunkter i historierne og i at fjerne de formateringsvaner, der får tekst til at ligne AI-output. Anthropic knytter aktøren til Politology, Africa Corps/Wagners påvirkningsgren, vurderet under russisk efterretningstjeneste SVR's kontrol siden slutningen af 2023.
Den mærkeligste detalje i hele rapporten ligger i den sag: netværket brugte Claude til HR. Modellen genererede ansættelseskontrakter med krav om loyalitet over for CAR's præsident og over for "Rusland og dets kontingent", plus jobbeskrivelser, scoringsrubrikker og en tre-advarsler-procedure for afskedigelse. Medarbejdernes artikler blev scoret mod kriterierne, og Claude blev bedt om at anbefale, hvem der skulle beholdes, og hvem der skulle fyres. Da modellen påpegede den politiske vægtning, omdøbte aktøren kriterierne i neutrale termer og beholdt scoringen.
LKM Company (GTG-54002), et fransk digitalt reklamebureau, kørte et kommercielt påvirkningsnetværk: cirka 70 fabrikerede nyhedssider, 70 matchende X-konti og over 250 uægte kommentarkonti, med mindst 8.913 artikler på omkring 20 sprog. Netværket havde ingen fast ideologi og skiftede politisk standpunkt afhængigt af, hvem der betalte. Anthropic fandt tre tilbagevendende greb: at omskrive den samme kildehistorie i modsatte ideologiske retninger til forskellige publikum, at tilføje en politisk vinkel til historier, der ikke havde en, og at flytte historier over landegrænser uden deres oprindelige kontekst.
Malaysia (GTG-84005) var en kommerciel valgmanipulationsplatform, markedsført som defensivt cyberefterretningsværktøj og knyttet til Istanbul-baserede BBS Bilisim Teknolojileri: cirka 1.000 falske X-konti med opvarmningslogik, vælgerprofilering på tværs af alle 222 malaysiske valgkredse baseret på rigtige folketællings- og valgdata, et falsk nyhedsmedie ved navn "Malaysia Pulse" og fabrikerede dossierer mod en oppositionspolitiker. Dashboardet havde en parameter for, hvor mange kunstige visninger et mål skulle have, og Anthropic så en anmodning om en million visninger på den siddende premierministers konto.
Russiske statsmedier (GTG-24015) er sagen med den bredeste dokumenterede distribution, fordi indholdet gik ud gennem etablerede kanaler. En tidligere chefredaktør på Sputnik Moldova brugte Claude til at lave moldoviske og rumænske nyheder om til russisksprogede artikler, der endte på Sputnik Moldovas Telegram og på RIA Novosti og blev gentaget på tværs af udgivere, så de fremstod uafhængigt bekræftede. En medarbejder hos et russisk statsmedie producerede bannere, billedtekster, speaks og overskrifter til direkte udsendelse ud fra russiske nyhedsbureauer, SVR og forsvarsministeriet, og i mindst ét bekræftet tilfælde nåede det på russisk tv.
De øvrige fem sager dækker iranske statsinstitutioner, der byggede doktrin og personasystemer til det, de selv kaldte "kognitiv krigsførelse"; et MEK/NCRI-tilknyttet netværk, der klonede en rigtig aktivists Telegram-konto ved at lade Claude læse cirka 8.400 af hans opslag og derefter føre live-samtaler med hans kontakter som ham; en enkelt aktør i Bangladesh, der roterede 29 Claude-konti og kørte et script kaldet fake_news_3.py i faste batches; en kenyansk astroturfing-kampagne, hvor samme skabelon blev brugt både til politiske budskaber og til markedsføring af detailbrands; og en UAE-styret operation, der ghostwrote vidneudsagn til FN's Menneskerettighedsråd og byggede modrapporter på FN's særlige rapportører.
De fleste af operationerne nåede aldrig et rigtigt publikum. Anthropic siger det rent ud: fordi de sidder på produktionsstadiet, opdager de ofte en operation, mens den stadig bygges, og det meste af indholdet fik ingen eller næsten ingen ægte engagement. Kenya-sagen scorer kategori 1 og nåede ikke ud til et eneste rigtigt menneske. Malaysia og LKM scorer kategori 2.
Den største reelle rækkevidde opstod, hvor statsmedier stod for distributionen: FM-radio, satellit og tv. Rækkevidden kommer altså fra distributionsapparatet. AI'en gør bare produktionen billigere.
Syv sager fra Kina, Iran, Vestafrika og det kommercielle marked for overvågning-til-leje. Tre mønstre går igen.
Det første er, at AI erstatter en ingeniørafdeling. Mali-sagen (GTG-50027) er det tydeligste eksempel og samtidig rapportens mest ubehagelige. En enkelt Claude-abonnent, sandsynligvis en konsulent i Bamako, brugte Claude som primær ingeniørarbejdskraft på "Lakana 360", en national overvågningsplatform til Malis statslige efterretningstjeneste ANSE. Platformen dækker omkring 25 millioner SIM-kort på alle tre nationale mobiloperatører: opkaldsdata, sms og opsamling af taletrafik. Den kan identificere personer på stemme på tværs af SIM-kort, flage brugere af VPN og kryptering, udlede skjulte møder og matche personer mod det nationale biometriske folkeregister.
Detaljen, der gør den slem: kravet om en retskendelse blev fjernet, på operatørens anmodning, fra den komponent, der genererer et efterretningsdossier på et vilkårligt telefonnummer. Kontrollen blev sat til slået fra som standard, med ubegrænset opbevaring.
Og her er den ærlighed, man sjældent ser i den slags rapporter. Platformen kører lokalt på Malis egne servere med lokale modeller. Anthropic bandlyste kontoen, men skriver selv, at håndhævelsen afbrød aktørens design- og udviklingsarbejde, ikke driften af det, der allerede var udrullet. Et forbud på en konto stopper ikke et produkt, der er afleveret.
Det andet mønster er, at AI også udpeger målene og ikke kun bygger værktøjerne. En iransk enhed lod Claude analysere hundredtusindvis af opslag på sociale medier og udvalgte 39 oppositionskonti til overvågning. Aktører i Kina fik Claude til at score indhold efter politisk følsomhed og flage mulige mål for det, de kalder "kontrol". I den mest modne sag brugte en PRC-tilknyttet aktør uden arabiskkundskaber Claude til at køre en flerdages rekrutteringsoperation mod uighurske mål i Syrien: modellen skrev henvendelserne i den rigtige dialekt, oversatte svarene i realtid, spillede ekspertkonsulent for at kvalitetssikre bedraget og formaterede resultatet til videregivelse.
Det tredje mønster er, at AI bygges ind i statens bureaukrati. Et kinesisk statssikkerhedsbureau lavede en intern manual i, hvordan man bruger AI i overvågningsarbejde, inklusive den præcise prompt-formel, modellen skulle have for at spille efterretningsanalytiker i statens tjeneste, og distribuerede den til resten af bureauet. Målene er næsten overalt de samme grupper, regimerne historisk har forfulgt: prodemokratiske personer i Hongkong, tibetanske og Falun Gong-miljøer, uighurske aktivister, iranske minoriteter og oppositionelle i udlandet, katolske kardinaler i Asien. I én sag bad aktøren om præ-operationelle stedoplysninger på lovlige demonstrationer i udlandet: mødested, rute og slutpunkt for en prodemokratisk march i Vancouver.
Om safeguards er rapporten usædvanligt selvkritisk. Om den kinesiske "stability maintenance"-klynge skriver Anthropic, at beskyttelsen ikke fungerede ensartet: i én sag afviste Claude korrekt en anmodning, men blev overtalt ved fortsat prompting, og i en anden efterkom den anmodninger over mange sessioner uden indgriben. Ved den iranske sag afviste modellen eksplicitte profilerings- og propagandaanmodninger, men afviste ikke mange af anmodningerne om at bygge selve overvågningssoftwaren.
De sidste fire kategorier fylder mindre, men der er en pointe i hver.
Konventionelle våben. Seks sager: tre i Kina, to i Rusland, én i Yemen. Den yemenitiske celle brugte Claude Code i stedet for softwareingeniører til at udvikle styrings- og navigationssoftware til en guidet raket, kørte flere Claude-instanser samtidig med hver sin rolle (én skrev kode, én researchede, én reviewede) og gennemførte en live afprøvning. Testen så ud til at fejle; inden for få timer var de tilbage hos Claude for at finde ud af hvorfor. De russiske aktører byggede en autonom FPV-dronesværm, hvor en indbygget model kunne vælge mål, inklusive en målklasse for "person", og udløse detonation uden et menneske i løkken. Den kinesiske aktør byggede omkring 16 moduler til elektronisk krigsførelse og undertrykkelse af luftforsvar og ændrede midtvejs simulationens standardscenarie til tolv mål i Taiwan.
Den mest lærerige våbensag er dog den kedeligste. En indkøbschef ved et designbureau i Moskva brugte Claude til at finde mellemhandlere i Kina og Hongkong, skrive tilbudsforespørgsler på tre sprog og kortlægge en importkæde, der kunne rute europæiske varer til Rusland gennem det, briefingerne selv kaldte en "sanktionsneutral jurisdiktion". Anthropic noterer, at den slags er særligt svær at opdage, fordi hver enkelt forespørgsel — en prisforespørgsel, et udbudsdokument, et leverandøropslag — ser fuldstændig almindelig ud isoleret set. Det er samme mekanik som i våben- og biologisagerne: opgaven deles op i uskyldige stykker.
Biologisk misbrug. Fem sager, og Anthropic skriver, at de så vidt vides er den første private virksomhed, der offentligt deler den slags. De tilbageholder navne på institutioner, lande og konkrete agenser. Det interessante er konklusionen: klassifikatorer virker pålideligt i de områder, de er bygget til at spærre. I to af sagerne tvang de forskerne over på Anthropics svageste modeller, hvilket markant begrænsede den hjælp, de fik. Men i dual use-området kan en klassifikator per definition ikke både muliggøre nytte og forhindre skade, fordi den ikke kan aflæse hensigt. Anthropics egen konklusion er, at den eneste sikre måde at levere frontier-biologikapabiliteter på er gennem programmer med verificerede brugere.
Svindel. Et kinesisk app-studie byggede over 20 datingapps, hvor samtalerne blev ført af Claude-drevne personaer, mens tjenesten blev markedsført som udelukkende menneskelig. Over to uger i april 2026 fandt Anthropic mere end 4.700 forskellige AI-personaer i samtale med mindst 25.000 brugere, i alt cirka 2,36 millioner beskeder. Studiet hyrede rigtige mennesker ind og blandede deres profiler i samme swipe-feed i forholdet cirka tre AI-personaer til én rigtig person. Menneskene var der for at klare det, modellen ikke kunne: videoopkald og follow-backs, altså præcis de ting, et skeptisk offer bruger til at tjekke, om nogen er ægte.
Ulovlig destillation. Syv kinesiske laboratorier. Alibaba står for den største destillationskampagne, Anthropic har målt: over 151 millioner udvekslinger mellem maj og juli 2026, med et højdepunkt på næsten tre millioner om dagen fra over 3.500 falske konti, rettet mod ræsonnementssporene i Opus 4.6 og 4.7.
Den del, I skal hæfte jer ved, handler om datasikkerhed. Moonshot og DeepSeek sendte i stilhed deres egne kunders forespørgsler videre til Claude og viste Claudes svar tilbage til brugere, der troede, de brugte Kimi eller DeepSeek. I den trafik lå kundernes data. Rapporten nævner en bruger, Anthropic vurderer var PLA-tilknyttet, der uploadede CCTV-materiale fra hundredvis af kameraer i Chengdu for at få analyseret, om en bestemt person opførte sig "unormalt". En it-medarbejder med data fra et russisk forsvarsministerium-relateret organ eksponerede live-legitimationsoplysninger til en russisk statsdatabase. Ingeniører, der byggede sagsbehandlingssystem til et kinesisk kommunalt politi, fik deres forespørgsler videresendt. Ingen af dem vidste det.
Bruger I en modelrouter eller en tredjepartstjeneste til at tilgå AI, er det her sagen at pege på, når nogen spørger, hvorfor det betyder noget, hvem der står bag leddet i midten.
En sidste detalje: Zhipu forsøgte først at destillere cyberkapabiliteterne ud af Anthropics Fable-model, opgav fordi safeguardsne forringede angrebet, og skiftede så til Opus 4.6 og til en anden amerikansk udbyders topmodel, netop fordi de vurderede, at beskyttelsen dér var svagere.
Den her del er værd at have styr på, inden man citerer rapporten på et ledelsesmøde.
Det er nyt: Økonomien. Autonomien, hvor flere operationer kørte i timer eller dage uden et menneske i løkken. At AI-forsyningskæden er blevet et selvstændigt kriminelt mål med stjålne nøgler som handelsvare. Og at en modelleverandør kan se den slags tidligt, fordi operationen bliver bygget på deres platform.
Det er ikke nyt: Teknikkerne. Stjålne legitimationsoplysninger, upatchede systemer, phishing, SQL injection. Kendt stof. Det forsvar, der virkede før, virker stadig. Det skal bare holde til et højere tempo.
Det skete ikke: Anthropics egne systemer blev ikke kompromitteret i nogen af sagerne. Alle stjålne nøgler kom fra kunders miljøer. Aktøren, der jagtede en model før udgivelse, fik den aldrig. De fleste informationsoperationer nåede aldrig et rigtigt publikum.
Rapporten tager selv forbehold: Tallene fra Malaysia-dashboardet er selvrapporterede af aktørens egne værktøjer og kan ikke verificeres. Flere attributioner er markeret med lav eller medium konfidens. Ved flere sager står der direkte, at Anthropic ikke kan bekræfte, hvad der skete, efter indholdet forlod platformen. De forbehold er et kvalitetstegn, og de forsvinder typisk, når rapporten bliver refereret i tredje led.
En pointe, der let går tabt: Autonomi og alvor er to forskellige akser. Anthropic skriver det selv. Autonomi ganger skala og hastighed op og sænker omkostningen, men flere af de alvorligste kompromitteringer i rapporten kom fra operationer, hvor et menneske styrede hvert skridt. Og mennesker har beholdt netop de beslutninger, der betyder mest for dem: hvem der skal rammes, hvad der skal tjenes penge på, og hvad der er værd at kigge på.
Rapporten er en PDF på 154 sider. Afsnittene starter på side 4 (cyber), 41 (informationsoperationer), 81 (overvågning), 111 (konventionelle våben), 129 (biologi), 139 (svindel) og 143 (destillation). Websiden hos Anthropic har samme indhold med ankerlinks pr. sag, så I kan linke direkte til et enkelt GTG-nummer.
Indikatorlisten er et regneark med 209 rækker. Hver række er en observation: 64 domæner, 55 IPv4-adresser, 39 konti, 16 værtsnavne, et par filnavne og hashes, Telegram-id'er og et par onion-adresser. Elleve sager er repræsenteret, med den russiske spionoperation (55 indikatorer) og ShinyHunters (40) som de største.
To kolonner er værd at kende. handling fortæller, hvad indikatoren skal bruges til: 173 er markeret detect-or-block og kan lægges direkte i en blokeringsliste, mens 36 er markeret hunt, hvor I skal søge efter dem i logs, men ikke blokere blindt, fordi det kan være delt infrastruktur, hvor I rammer uskyldige. role fortæller, hvad indikatoren gjorde: c2, phishing, exfiltration, persona og så videre. Domænerne er skrevet som ms365-live[.]com med kantede parenteser om punktummet. Det kaldes defanging og er der, for at ingen kommer til at klikke på dem ved et uheld. Fjern parenteserne, før I indlæser dem i et værktøj.
Hvad gør I med listen? Send den til jeres SOC eller sikkerhedsleverandør, eller indlæs den i jeres EDR, DNS-filter og SIEM. Søg bagud i logs, ikke kun fremad: det interessante er, om I har talt med de her adresser. Og vær realistisk om holdbarheden: indikatorer forældes hurtigt, når en kampagne offentliggøres, fordi aktørerne flytter infrastruktur. De er en anledning til at kigge bagud, ikke en varig beskyttelse.
Syv punkter, alle forankret i noget konkret fra rapporten.
1. Behandl AI-nøgler som produktionshemmeligheder. Det er rapportens egen anbefaling, ordret. Rotation, begrænset scope, udløbsdato, adskilte nøgler pr. miljø. For den, der stjæler en AI-nøgle, er den på én gang adgang, gratis compute og et alibi.
2. Find ud af, hvor jeres nøgler faktisk ligger. Rapportens kriminelle fandt dem i mobilapps, offentlige kodelagre, containerbilleder, klientside-kode, metadata-endpoints, åben lagring og virksomheders egne AI-agenter. Gå de steder igennem. Det er et par timers arbejde og det billigste punkt på listen.
3. Køb kun AI-adgang gennem autoriserede kanaler. Også rapportens egen formulering: en påstået rabat, der kræver, at trafik og legitimationsoplysninger dirigeres gennem et ukendt mellemled, er en meget stor risiko. GTG-50021 er præcis det scenarie, og Moonshot- og DeepSeek-sagerne viser, hvad der kan ske med jeres data i et mellemled, I ikke selv har valgt.
4. Behandl jeres leverandørers AI-integrationer som jeres egen angrebsflade. ShinyHunters-affilierede kom ind hos én SaaS-leverandør og hentede data hos omkring 200 kunder. Spørg jeres leverandører, hvem der har adgang til deres AI-nøgler, om de har adskilt produktion fra evaluering og test, og hvad deres OAuth-integration giver adgang til på tværs af tenants. Styring af AI-agenter handler lige så meget om leverandørers agenter som om jeres egne.
5. Antag, at statiske detektioner har kortere holdbarhed. Når en modstander kan sætte en agent til at omskrive malware, indtil den ikke længere opdages, falder værdien af en signatur. Vægten flytter mod adfærdsbaseret detektion og mod observability omkring agenter i drift.
6. Hold mennesket ved de beslutninger, der betyder noget. Angriberne i rapporten gjorde det. De automatiserede rekognoscering, udnyttelse og databehandling, men beholdt målvalg og vurdering af udbyttet hos sig selv. Det er et rimeligt princip at kopiere: automatisér det gentagne, behold beslutningen. En politikmotor til agenthandlinger er den tekniske udgave af det princip.
7. Hav en plan for, hvad I gør, når leverandøren lukker en konto. Mali-sagen er påmindelsen. Anthropic lukkede kontoen, og platformen kørte videre på lokale servere med lokale modeller. Hviler jeres sikkerhedsmodel på, at leverandøren griber ind, hviler den på noget, der kun virker, så længe arbejdet foregår hos leverandøren.
Den mest interessante linje i rapporten står ikke i cyberafsnittet. Den står i biologiafsnittet og handler om, hvorfor filtre ikke kan løse problemet alene: det er ikke muligt pålideligt at identificere brugerens hensigt i højt tekniske dual use-områder, og en klassifikator kan derfor ikke samtidig muliggøre nytte og forhindre skade.
Det gælder hele vejen igennem rapporten, ikke kun biologi. Et indkøbsbrev til en kinesisk mellemhandler ligner et indkøbsbrev. En anmodning om at fejlfinde noget flystyringssoftware ligner en anmodning om at fejlfinde software. En bruger, der beder om hjælp til at forstå et API, ligner en udvikler. Forskellen ligger i konteksten, og konteksten findes sjældent inde i den enkelte forespørgsel.
Derfor kan ansvaret ikke ligge ét sted. Modeludbyderen kan fange mønstret på tværs af sessioner. Virksomheden kan sikre sine nøgler og vide, hvem der har adgang til hvad. Ingen af delene rækker alene. Vil I have et overblik over, hvor jeres egne AI-integrationer og nøgler står lige nu, tager vi gerne den samtale.