Raport firmy Anthropic na temat zagrożeń z września 2026 r. to nie tylko kolejny dokument dotyczący bezpieczeństwa modeli. Jest to ostrzeżenie dotyczące nadużywania komercyjnego dostępu do sztucznej inteligencji po ujawnieniu modeli za pośrednictwem interfejsów API, sprzedawców, serwerów proxy, narzędzi do kodowania i kradzieży danych uwierzytelniających.

Opublikowany 10 września raport dotyczy działalności, którą Anthropic twierdzi, że zidentyfikowała i zakłócona między grudniem 2025 r. a sierpniem 2026 r. Sprawy obejmują cyberprzestępczość, inwigilację powiązaną z państwem, operacje wywierania wpływu, pomoc związaną z bronią, badania nad biologicznym podwójnym zastosowaniem i nieautoryzowaną destylację. Kilka najbardziej istotnych przykładów dla firm dotyczy kontroli dostępu, a nie samych możliwości modelu: aktorzy rzekomo korzystali z infrastruktury sprzedawcy lub serwera proxy w celu ominięcia ograniczeń regionalnych i zasad, podczas gdy działania powiązane z ShinyHunters obejmowały wykorzystanie skradzionych kluczy AI do przeniesienia obciążeń związanych z atakami na konta ofiar.

W przypadku nabywców korporacyjnych zmienia to praktyczne rozumienie bezpieczeństwa sztucznej inteligencji. Ryzyko nie ogranicza się do złośliwego monitu wysłanego przez pracownika. Uwzględnia także przejęte klucze, delegowane ścieżki dostępu, niezarządzanych sprzedawców, wykorzystanie cieni i wywołania modeli, które wyglądają na uzasadnione, dopóki nie zostaną połączone z sygnałami rozliczeniowymi, geograficznymi, obciążeniem pracą i historią konta.

Co się zmieniło

Nowy raport łączy kilka wzorców nadużyć w jednym publicznym pakiecie analizy zagrożeń. Anthropic twierdzi, że zakłócała ​​sprawy dotyczące cyberprzestępczości i operacji wywierania wpływu, a także próbowała wykorzystać swoje systemy do pomocy związanej z bronią lub biologicznego podwójnego zastosowania. Opisano także przypadki nieautoryzowanej destylacji, w których aktorzy rzekomo próbowali wykorzystać wyniki Claude'a do szkolenia lub udoskonalenia innych systemów sztucznej inteligencji.

Szczególnie ważne są szczegóły dotyczące warstwy dostępu. Anthropic twierdzi, że niektórzy aktorzy korzystali z infrastruktury proxy lub sprzedawcy, aby ominąć kontrolę dotyczącą obsługiwanego regionu i zasad użytkowania. W innym przypadku firma twierdzi, że aktywność powiązana z ShinyHunters obejmowała kradzież kluczy AI, a osoby atakujące wykorzystywały konta ofiar do wykonywania zadań. Oznacza to, że tożsamość rozliczeniowa i rzeczywista tożsamość operatora mogą się różnić: konto płacące za korzystanie może nie być stroną, która nim kieruje.

W niektórych częściach raportu firma Anthropic wymienia również lub odnosi się do firm zewnętrznych i podmiotów powiązanych z państwem. Do roszczeń tych należy podchodzić ostrożnie. Uznanie autorstwa jest oceną Anthropic, chyba że zostanie ona niezależnie potwierdzona, a niektóre doniesienia na temat tego, czy określone firmy kierowały żądania do Claude, pozostają kwestionowane lub niepotwierdzone. Korzyści biznesowe nie zależą od zaakceptowania każdego roszczenia dotyczącego przypisania. Nawet pozbawiony wymienionych aktorów raport opisuje tryby nadużyć, które musi uwzględnić każdy duży dostawca interfejsów API AI lub brama korporacyjna.

Dlaczego klucze API są teraz częścią modelu zagrożenia

Klucze API AI stały się danymi uwierzytelniającymi o dużej wartości, ponieważ mogą odblokować kosztowne obliczenia, uzyskać dostęp do bardziej wydajnych modeli i stworzyć wiarygodną ścieżkę do zautomatyzowanych nadużyć. Skradziony klucz może generować bezpośrednie narażenie na koszty, ale może również powodować problemy związane ze zgodnością i reagowaniem na incydenty, jeśli aktywność pojawi się w dziennikach konta klienta.

Tradycyjne wzorce bezpieczeństwa API nadal mają znaczenie: rotacja, klucze o określonym zakresie, limity stawek, limity wydatków i dzienniki audytu. Ale dostęp do modelu dodaje nowe sygnały. Naruszony klucz może wykazywać nienormalną liczbę tokenów, nagłą zmianę geograficzną, monity w nieznanych językach, powtarzające się zadania w stylu wyodrębniania, wzorce generowania kodu niezwiązane z produktem klienta lub skok w użyciu drogiego modelu. To przybliża operacje sztucznej inteligencji do wykrywania oszustw i analityki bezpieczeństwa.

W przypadku zespołów korzystających z enterprise LLM API raport wyraźniej przemawia za traktowaniem kluczy jako zarządzanych zasobów biznesowych, a nie udogodnień dla programistów. Klucze powinny mieć właścicieli, budżety, zasady wygaśnięcia, dozwolone modele, dozwolone środowiska i reguły alertów. Coraz trudniej uzasadnić wspólne klucze i długotrwałe tajemnice produkcyjne, gdy pojedyncze dane uwierzytelniające mogą skumulować koszty materialne i ryzyko utraty reputacji.

Kogo to dotyczy

Dostawcy modeli to pierwsza grupa odbiorców. Potrzebują systemów wykrywania do zbiorczego wyodrębniania, tworzenia podejrzanych kont, omijania regionu, nadużyć poświadczeń i obciążeń, które wydają się testować granice zasad. Wyzwanie polega na działaniu bez publikowania progów wykrywania, które atakujący mogą dostosować.

Następnie dotknięte zostaną zespoły zajmujące się platformami AI w przedsiębiorstwach. Wiele firm kieruje obecnie dostęp do modeli przez wewnętrzne bramy, platformy obserwowalności lub dostawców zatwierdzonych przez zamówienia. Zespoły te muszą zdecydować, w jakim stopniu egzekwowanie prawa odbywa się centralnie: limity wydatków na klucz, listy dozwolonych modeli, atrybucja na poziomie użytkownika, budżety na poziomie projektu, alerty geograficzne i przepływy pracy eskalacji w przypadku podejrzanego ruchu.

Resellerzy i partnerzy operatorzy API również stoją przed trudniejszym problemem związanym z zarządzaniem.Jeśli klienci mają dostęp do modeli granicznych za pośrednictwem infrastruktury pośredniej, odsprzedawca staje się częścią powierzchni kontrolnej. Reguły dotyczące obsługiwanych regionów, weryfikacja klienta, egzekwowanie zasad użytkowania, przypisywanie subkont i procedury szybkiego zawieszania mają znaczenie. Opis nadużyć proxy i sprzedawców opublikowany przez firmę Anthropic sugeruje, że słaba kontrola pośredników może pomóc w obejściu ograniczeń dostawców.

Dotyczy to programistów w bardziej bezpośredni sposób. Klucze API przechowywane w plikach lokalnych, dziennikach CI, kodzie przeglądarki, notatnikach lub udostępnionych wątkach czatu mogą stać się ścieżkami ataku. Zespoły, które już zmieniają dane uwierzytelniające w chmurze i tajemnice baz danych, powinny zastosować tę samą dyscyplinę w przypadku danych uwierzytelniających AI, w tym, jeśli to możliwe, skanowania tajnych i kluczy krótkotrwałych.

Praktyczne konsekwencje dla firm

Raport zawiera trzy konkretne zmiany w operacjach sztucznej inteligencji w przedsiębiorstwach.

Po pierwsze należy połączyć kontrolę kosztów i kontrolę bezpieczeństwa. Nagły wzrost wartości tokena jest zarówno zdarzeniem budżetowym, jak i możliwym zdarzeniem związanym z bezpieczeństwem. Pulpity finansowe, możliwość obserwacji programistów i monitorowanie bezpieczeństwa nie powinny istnieć w oddzielnych światach, gdy to samo nietypowe użycie może wskazywać na nadużycie.

Po drugie, zarządzanie powinno działać na poziomie klucza, użytkownika, projektu i dostawcy. Pojedynczy globalny limit jest zbyt tępy. Chatbot obsługi klienta, asystent kodowania, zadanie podsumowania partii i prototyp badawczy mają różne normalne wzorce użytkowania. Każdy powinien mieć własną kopertę budżetową i uprawnienia dotyczące modelu.

Po trzecie, reakcja na incydenty powinna obejmować podręczniki specyficzne dla sztucznej inteligencji. Gdy pojawi się podejrzana aktywność, zespoły muszą wiedzieć, jak wyłączyć klucz, zachować dzienniki, zidentyfikować odsłonięte systemy, oszacować wpływ na koszty, powiadomić wewnętrznych interesariuszy i ustalić, czy miało to wpływ na dane lub zobowiązania dotyczące zasad. Czekanie, aż pojawi się anomalia w rozliczeniach, jest już za późno.

To także lekcja dotycząca przesyłania wiadomości. Wytyczne publiczne powinny oddzielać zweryfikowane działania dostawców od zarzutów dotyczących konkretnych podmiotów. Anthropic może powiedzieć, co zaobserwował i co zakłócił w swoich własnych systemach. Szersze twierdzenia dotyczące zaangażowania państwa, postępowania firmy lub kierowanego ruchu klientów mogą wymagać większej liczby dowodów, zanim zostaną potraktowane jako ustalony fakt.

Co pozostaje niepewne

Raport pozostawia niektóre ważne szczegóły nierozwiązane. Nie podaje wszystkich wskaźników technicznych i nie może ujawnić wszystkich metod wykrywania bez pomocy atakującym. Niektóre twierdzenia o przypisaniu pozostają kwestionowane lub niepotwierdzone w raportach publicznych. Skala nielegalnej działalności destylacyjnej jest również trudna do oceny osobom z zewnątrz na podstawie samych materiałów publicznych.

Mimo to kierunek działań jest jasny. Niewłaściwe wykorzystanie sztucznej inteligencji staje się problemem związanym z zarządzaniem dostępem, rozliczeniami i zarządzaniem, a także problemem związanym z bezpieczeństwem modeli. Firmy wdrażające wielomodelowe systemy sztucznej inteligencji powinny założyć, że dane uwierzytelniające API, ścieżki sprzedawców i dane telemetryczne dotyczące użytkowania stanowią teraz część ich bezpieczeństwa.