Anthropic 揭露攻擊者以代理持續改寫惡意程式，單人可平行處理數十個目標

Anthropic 9 月 10 日發布的[威脅情報報告](https://www.anthropic.com/threat-intelligence-report-september-2026)涵蓋 2025 年 12 月至 2026 年 8 月間被中止的活動。相較於只請模型撰寫釣魚信或腳本，新案例的關鍵變化是攻擊者建立持久化代理工作流：把偵察、漏洞測試、基礎設施申請、入侵、資料處理及外洩分給多個代理，並把目標、憑證與進度保存至下一次工作階段。

Anthropic 稱，與俄羅斯國家級活動特徵相符的 GTG‑20006 會讓代理監測安全產品是否攔截其工具；一旦被偵測，工作流便自動修改、重建及重新部署惡意程式，直到逃過既有偵測。排程作業還會更新竊取的存取 token、收集雲端儲存資料。另一組 GTG‑10007 則以平行代理執行入侵、外國政府偵察、資安產品逆向工程及漏洞研究。報告總結，部分入侵在兩至三小時內完成，單一操作員可同時處理數十個受害者。

這表示防禦方不能再把工具複雜度直接視為國家級攻擊者的歸因訊號，也不能只依賴固定惡意程式簽章增加對手成本。較有效的觀測點會轉向代理共用的基礎設施、自動註冊與更新行為、異常 API token 輪替，以及跨目標一致的任務軌跡。個案亦已有外部交叉線索；[《世界報》](https://www.lemonde.fr/en/politics/article/2026/09/11/anthropic-reveals-hacker-used-claude-to-target-french-far-right-organizations_6757429_5.html)報導另一名使用 Claude 的攻擊者在 42 個追蹤目標中至少侵入 14 個，外洩約 12 至 26 GB 資料。

不過，Anthropic 沒有公開足以完整重建各工作流的原始紀錄，分類、歸因與所謂 AI「增益」主要依賴平台方遙測。報告也明確指出，人類仍決定攻擊目標、變現方式並檢查外洩成果；自主程度提高代表成本與規模改變，不能直接等同於傷害程度或全自動攻擊。