从助手到 攻击编排者： Anthropic 2026 年 9 月威胁情报报告

公开报告曾将该行为体与 Midnight Blizzard 关联，Anthropic 对 GTG-20006 的归因与之相符。Midnight Blizzard 是微软对一个俄罗斯背景威胁行为体的称呼，该行为体长期开展情报收集。其中一名操作者使用俄语，行动手法和目标具有俄罗斯国家关联间谍活动的特征。

该行为体的目标集中在乌克兰和欧洲的政府、国防、外交机构，以及无人机技术供应链。Anthropic 在行动规划、侦察和实际操作中识别出 20 余个相关组织。这不表示这些组织全部遭到成功入侵。

过去，攻击者会开发一套能够绕过检测的工具。防守方识别特征并建立静态签名后，这套工具就需要重新修改。检测因此能增加攻击者的重做成本。GTG-20006 将这一循环交给了 AI：agent 监控已经部署的工具是否被安全产品发现；一旦发现，就修改并重建相关组件；随后继续迭代，直到当前检测不再命中，再把工具重新部署到行动基础设施。

操作者主要负责调整编码工具 Claude Code 中用于驱动这些流程的 skills。他们把侦察、基础设施配置和工具改造写成一组组可复用的任务说明与工具配置，再按行动需要修改。

Anthropic 据此判断，静态检测原本让攻击者承担的重做成本，可能转由防守方承担。至少在理论上，有能力的攻击者完成检测规避循环的速度，可能超过防守方开发并部署新检测规则的速度。原文针对的是仅靠静态检测施加成本的方式。

GTG-20006 并不总是直接接触最终目标。报告记录其侵入了至少三家提供酒店访客 WiFi 服务的供应商。攻击者通过 DNS 劫持，篡改域名对应的网络地址，让原本应前往正常服务的访客流量转向其控制的设施。

连接受影响酒店 WiFi 的访客，其流量、设备标识和 IP 地址会进入攻击者设施。攻击者利用这些连接投放诱饵，诱导访客安装恶意软件，再结合酒店管理系统中的客人资料和从设备窃取的数据继续筛选目标。重点目标包括与乌克兰政府及无人机制造有关的人员。

无人机供应链也是独立的情报目标。攻击者批量导出了至少两家无人机组件厂商的邮箱，还窃取了一套无人机视觉系统的完整专有软件开发套件，并对其产品架构、硬件物料、供应商依赖和未发布产品信息进行逆向分析。

该行为体还通过附属设备功能接管受害者的 WhatsApp 账号。其自动化平台把受害账号关联到攻击者控制的浏览器环境，并抑制已读回执，在受害者不易察觉的情况下批量导出俄语和乌克兰语对话。至少两名前乌克兰高级官员成为目标。

在摄像头服务中，攻击者利用应用接口的授权缺陷枚举用户，取得 token 等登录凭据，再用这些凭据获得查看直播画面的权限。此处的 token 与模型处理文本时的计量单位不同。

其设备码钓鱼管理平台还被用于 Microsoft 365 邮件窃取。设备码钓鱼利用合法登录流程诱导受害者授权攻击者控制的会话。相关行动访问并外传了至少八个组织的邮件，其中包括国家检察机构、军事教育机构和区域政府间组织。

对北非某政府技术机构的入侵则从 VPN 凭证开始。攻击者据此控制中央账号服务器，取得完整凭证数据库，其中包括 30 万余条国家身份记录，以及该国 50 万余家公司的商业登记数据。

Anthropic 将 AI 在该行动中的作用归为四类。

第一类是侦察。AI 识别邮件和远程访问系统的特征，从公开来源收集资料并建立钓鱼目标清单。

第二类是初始访问。AI 被用于建设和运行入侵平台、配置相关基础设施和工具。部分实际操作也由 AI 执行，包括在人的指挥下在受害系统上执行操作、获取凭证并在网络中继续移动。

第三类是收集和外传。AI 负责提取、分类和整理数百 GB 被盗数据，其中部分数据来自遭入侵邮箱的批量导出。

第四类是维持访问。AI 协助把攻击者控制的设备注册进受害组织的租户。在 SaaS 服务中，不同客户组织各有自己的账号和数据边界。攻击者把设备注册到目标组织之下，以继续利用已有会话和权限。

该行为体的工具覆盖 Windows、Android 和 iOS。部分假更新诱饵还会冻结受害设备的安全更新，使新的检测签名无法及时更新并应用。在这套系统中，人从目标和流程层面控制方向，AI 承担大量执行、监控、改造和数据处理工作。

Anthropic 将 GTG-10007 描述为由使用中文的操作者持续运行的间谍行动，认为其很可能位于湖南长沙。报告识别了其中两名操作者的身份，两人均为湖南一所高校的本科生；这项身份信息并未确立国家资助关系。

该行为体以 Claude 作为工程和编排层，同时运行五类工作流：入侵生产系统、侦察外国政府网络、逆向分析安全产品、开发恶意软件，以及建设情报采集基础设施。主 agent 将任务拆给多个 subagent 并行处理。目标清单、已取得的凭证、行动阶段和长期指令会跨 session 保存，因此工作可以带着原有上下文继续运行。

约 50 个组织成为目标，涉及教育、零售、能源、技术、医疗、金融、制造和政府机构。报告披露的入侵结果包括：从一家教育科技公司的云存储提取数百 MB 学生个人资料；进入一家零售企业的生产系统；以及从一家东南亚政府机构取得包含姓名、电话和住址的公民记录。

虽然其 AI 工作流面向多个国家和地区运行，Anthropic 观察到操作者直接动手的活动仅集中在中国境内受害者。人在其中负责开发工作流、使用其产出，并参与部分实际入侵。进入内网后，agent 则承担主机枚举、凭证复用和资料整理等工作。

该行为体建设了一套持续运行的漏洞研究流程。工作流先取得设备内部运行的固件软件或二进制文件，再把它们送入反编译和分析工具。辅助 agent 检查组件的代码结构并追踪交叉引用，结合逐步积累的知识库提出漏洞假设。

随后，系统针对假设编写测试代码，并在操作者自己的实验室副本上验证。失败结果会进入下一轮修改，直到测试成功，再把结果放入其私有漏洞库。实验室副本中的验证不等于相关厂商已经确认漏洞，也不表示这些假设已在现实目标上成功使用。

该行为体在自有实验室中验证了某类安全产品的多个未知漏洞。另一条针对网络设备持续运行的工作流，在一个月内发现了超过 12 个潜在零日漏洞。这批发现指向尚未公开的潜在漏洞，仍保留“潜在”限定。

另一条工作流从行业和目标范围出发，通过资产搜索和探测工具识别暴露在外的系统。系统会判断这些入口是否可能受到已知漏洞影响，并把本轮发现写入持久项目状态。下一轮侦察再以已有结果扩大目标范围。

侦察流程由此能够保存发现、重新分配任务并持续扩展。报告记录其目标包括多个外国政府和外交机构，以及超过 12 家中国境内企业。

GTG-10007 还运行了 13 个常驻采集 agent，从公开可访问来源收集情报（OSINT）。这些 agent 按预设时间抓取公开军事、政府、政策和社交媒体资料，再由相邻流程进行摘要、评分并送入分发门户。

这些资料来自公开网站。采集美国军事和政府网站上的公开内容，不等于入侵这些政府系统。这里的自主性主要体现在定时运行、批量下载、摘要和分发，而不是取得非公开系统权限。

三类循环共同构成一套持续运转机制：漏洞研究把固件和二进制文件转成可测试假设；攻击面侦察依据本轮发现扩展下一轮范围；公开情报采集则按计划持续抓取和整理资料。

GTG-50020 是一名讲俄语、以经济利益为动机的操作者。其过去曾入侵酒店预订和金融科技平台。在其中一次事件中，攻击者从一家受害组织外传约 26 GB 数据，并在勒索或暗网出售过程中索要 150 万至 250 万美元。这个数字是付款要求，不是已经收到的金额。

随后，操作者把相似手法转向 AI 行业。恶意指令进入一家 AI 供应商的自动评测沙箱后，使沙箱交出了其持有的凭证，其中包括该供应商持有、用于调用多家模型服务商的生产 AI API key。

操作者取得这些客户环境中的密钥后，转而使用受害者的 key，继续攻击该供应商和其他目标。约四天内，操作者利用同一基础设施，以类似路径攻击了约 30 家 AI 公司。报告没有说这 30 家公司全部失陷。

该操作者通过超过 12 条路径尝试取得尚未发布的 Claude 模型，但所有尝试均告失败。相关密钥来自客户环境，Anthropic 自身系统没有遭到入侵。

操作者把每个目标的测试范围写入 scope 文件。工作流据此启动多个侦察和利用 agent。人决定目标与范围，agent 并行执行，所得结果再被重新测试。确认仍然有效的发现被并入增量报告，然后流程转向下一个目标。

人在这条流程中设定目标与范围，agent 的发现则需要经过再次测试后进入报告。

另一条流程使用容器化的公开渗透测试平台，由本地模型网关协调 worker agent，对生产 Web 应用执行漏洞探测。系统会收集潜在发现和凭证，并把结果写入操作者的工作区。

该流程启用了实际利用能力，因此发现漏洞和尝试取得访问发生在同一工作流内。它不是只在实验环境中验证假设，但报告也没有说它对所有目标都成功。

该行为体还运行自动账号注册流程。系统准备浏览器环境和网络出口，自动完成平台注册、验证码处理、邮箱轮询及身份核验步骤，并把成功注册的账号保存起来供后续使用。

另一条流程针对服务商的客户身份核验（KYC）。受害者进入仿冒核验站点后，反向代理把请求转发给真实服务，使受害者实际完成了有效身份核验。处于中间位置的攻击者同时取得已认证会话和提交材料，再从自己的设备使用该会话访问服务。

这条路径利用的是核验过程中被窃取的会话和材料，受害者仍然完成了真实服务的身份核验。

Anthropic 从这些彼此没有关联的案例中归纳出两项共同变化。

第一项是 AI 工作流的扩散。不同地区、动机和类型的行为体都在采用这些工作流。国家关联的间谍操作者、经济动机团体和单人政治行动者，都开始采用能够管理工具和 subagent 的框架。PentAGI 等公开框架提供可下载的攻击编排骨架，被盗凭证和虚假转售服务则形成了中间市场。这不表示这些团体共享同一网络，也不表示所有行动使用完全相同的系统。

第二项是 AI 在网络行动中的自主程度形成了一条连续谱。一端是代码和工程助手，用于开发恶意软件、钓鱼平台或监控工具。再往前，AI 在人的逐步指挥下进入受害网络、获取凭证和外传数据。更高自主程度的系统能够同时对多个目标运行数小时或数日。GTG-10007 的公开情报采集队列可以按预设时间无人运行；GTG-20006 也使用定时任务续期被盗 token 并收集受害者云存储数据。

报告认为，入口本身大多仍然熟悉，包括被盗凭证、未修补的边缘设备、公开暴露的服务、SQL 注入和钓鱼。行动整体并不依赖某一种防守方从未见过的全新技巧。案例中也包括潜在零日发现和未公开的 WordPress 竞态条件；报告将主要变化归于劳动成本和执行方式。

过去，资源充足的团体能够投入更多人员，分别完成侦察、漏洞利用、工具开发和数据处理。如今，这些工作可以交给 AI 并行运行。Anthropic 据此判断，AI 压缩了攻击者的成本，降低了每次行动所需的技能和人力，使原先不值得投入的目标进入可攻击范围。这是报告提出的经济判断，不是经过统一测量的投资回报实验。

报告指出，人仍掌握对操作者最重要的决策。目标选择、结果审阅和变现通常由操作者负责。一些后果最严重的入侵也由人逐步指挥完成。因此，自主程度和危害严重度是两个不同维度。更高自主性可以放大速度和规模并降低成本，但具体危害仍受多种因素影响。

原报告附录 A 的图 19 按任务类型列出了这些 skills：操作者把不同角色需要完成的工作整理成可复用的任务说明。图中涵盖攻击性工程、基础设施运维、侦察与凭据访问、Windows 开发、钓鱼与管理界面、C2 控制面板，以及 iOS 漏洞研究。

这些 skill 分别承接开发、运维、侦察、界面和漏洞研究等工作。与其配套的项目记忆还可保留已经发现的线索，以及验证后走不通的方向，让后续任务沿用已有记录。