Anthropic报告：俄黑客组织利用Claude Code自动化攻击乌克兰及欧洲

为何重要

这是首个公开记录的、由国家关联威胁行为体大规模使用商业前沿AI工具自动化网络行动的案例。报告表明，AI能够将目标侦察、钓鱼基础设施搭建、恶意软件修改和数据外泄等环节压缩并工业化，仅需极少人工介入即可运行。攻击波及乌克兰及欧洲多国部委、情报机构、大使馆和智库，并直接针对军用无人机研发企业及其供应链。同时，酒店Wi-Fi网络和WhatsApp等相邻生态系统也被用作感染途径，包括至少两名乌克兰前高级官员的通信被窃取。此案凸显了双重用途AI工具被国家关联威胁行为体利用所带来的政策与安全挑战。

发生了什么

Anthropic发布报告称，代号GTG-20006的网络行为体使用其Claude Code AI工具自动发起针对乌克兰和欧洲国家的网络攻击，该行为体被研究人员关联到俄罗斯黑客组织Midnight Blizzard。报告记录的攻击目标包括乌克兰和欧洲各国政府中的军事情报资产、外交与国防组织以及与美国外交政策相关的人员。

黑客利用AI驱动的工作流，将目标侦察、域名注册、邮件托管基础设施搭建、钓鱼邮件发送、命令与控制通道监控以及数据外泄等多个环节自动化。AI还能自主分析杀毒软件对恶意软件的检测原因，修改代码并重新编译，重复此过程直至恶意软件规避防御。人类操作者主要在Claude Code工作流需要精细调整时介入。

调查显示超过20个独立组织在不同阶段遭到攻击，主要集中在乌克兰和欧洲，包括部委、国防与情报机构、大使馆、外交使团、智库和国防工业企业。中东和亚洲海洋政府机构也在目标范围内，例外目标包括东南亚一家负责海运与追踪的政府机构和北非一家国家技术机构。攻击主题集中在乌克兰、军用无人机技术开发商及其供应链——黑客至少获取了两家无人机零部件制造商的电子邮件账户，并窃取了某无人机机器视觉系统的软件套件。

攻击者还入侵了至少三家酒店Wi-Fi供应商，通过修改DNS记录将住客设备重定向至其服务器，以分发针对Windows、Android和iOS的恶意软件。此外，该组织还访问了受害者的WhatsApp账户并大规模下载了乌克兰语和俄语的通信记录，其中包括至少两名乌克兰前高级官员。

乌克兰媒体如何报道

三家乌克兰媒体均以乌克兰语报道了Anthropic报告的内容。报道重点关注对乌克兰国家机构和国防工业基础——尤其是无人机制造商及其供应商——的威胁，并突出强调了乌克兰前高级官员WhatsApp账户遭入侵这一情节。报道将俄罗斯归因以及与俄罗斯情报机构的关联作为主要的解释框架。

背景

Midnight Blizzard（亦被追踪为APT29/Cozy Bear）是一个与俄罗斯国家有关的网络间谍组织，此前曾被关联到针对多国政府和组织的入侵行动。在Anthropic的报告中，本案被视为一个转折点——AI在整个行动中编排了大部分环节，而不仅仅辅助人工操作员。军用无人机开发及其供应链在乌克兰战争期间一直是俄罗斯情报机构关注的方向。