Claude entra nella kill chain: APT russi, ShinyHunters e gruppi cinesi automatizzano gli attacchi

🛡️ Executive Summary

• Un attore russo collegato per tradecraft a Midnight Blizzard ha usato Claude per ricostruire automaticamente malware rilevati dagli strumenti di sicurezza.
• Affiliati ShinyHunters hanno automatizzato exploit e secret harvesting, arrivando a scaricare e analizzare 1,8 milioni di APK Android.
• Anthropic attribuisce inoltre a sette laboratori cinesi campagne industriali di distillation per estrarre capacità e reasoning dai propri modelli.

L’intelligenza artificiale non viene più utilizzata soltanto per scrivere phishing o produrre frammenti di malware. Un nuovo rapporto di Anthropic descrive attori statali e criminali che hanno inserito Claude direttamente nella cyber kill chain, automatizzando ricognizione, exploitation, sviluppo degli strumenti, esfiltrazione e persino la ricostruzione del malware quando viene rilevato. Un gruppo russo con caratteristiche compatibili con Midnight Blizzard/APT29 ha utilizzato agenti AI per modificare autonomamente i propri implant fino a eludere le difese. Affiliati ShinyHunters hanno impiegato workflow agentici per raccogliere credenziali su scala industriale. Parallelamente, Anthropic accusa sette laboratori cinesi di aver utilizzato milioni di interazioni clandestine con Claude per addestrare i propri modelli attraverso distillation non autorizzata.

Il gruppo russo GTG-20006 ricostruisce il malware quando viene scoperto

Il caso tecnicamente più significativo riguarda GTG-20006, cluster che Anthropic descrive come un attore di cyber spionaggio russo la cui attribuzione è coerente con il reporting pubblico su Midnight Blizzard, conosciuto anche come APT29 o Cozy Bear. Nel Threat Intelligence Report di settembre 2026, Anthropic spiega di aver osservato il gruppo utilizzare workflow AI personalizzati lungo quasi tutto il ciclo operativo: acquisizione di infrastruttura, phishing, persistenza, comando e controllo ed esfiltrazione. Il toolkit comprendeva due famiglie di implant Windows, un kit per l’exploitation mobile, un credential stealer rivolto ai password store dei browser, una piattaforma di phishing e una console amministrativa. La novità principale era però il sistema di feedback. Agenti AI monitoravano i risultati degli strumenti di sicurezza e, quando un payload veniva rilevato, avviavano automaticamente il processo di modifica, ricompilazione e redistribuzione del malware. Il ciclo continuava finché il nuovo artefatto non risultava più individuato dalle difese monitorate.

L’operatore umano non scompare. Anthropic ha osservato persone ancora coinvolte nella scelta dei bersagli, nella modifica delle skill di Claude Code e nella revisione dei risultati. Il cambiamento riguarda invece il costo della manutenzione offensiva. Una firma antivirus o una nuova detection comportamentale non impone più necessariamente giorni di lavoro manuale: il processo di analisi e adattamento può essere delegato a un agente che continua a iterare. Google aveva già osservato framework multi-agente capaci di pianificare e correggere autonomamente campagne offensive; il caso Anthropic mostra ora la stessa logica applicata direttamente a un toolkit di cyber spionaggio statale.

Ucraina, governi europei e industria dei droni tra i bersagli

GTG-20006 avrebbe pianificato o condotto attività contro oltre 20 organizzazioni, con una forte concentrazione sull’Ucraina e sull’Europa. Gli obiettivi comprendevano ministeri, organismi militari e di intelligence, ambasciate, missioni diplomatiche, think tank e aziende della difesa. Anthropic ha osservato scansioni contro servizi email e sistemi di accesso remoto appartenenti a più di due dozzine di organizzazioni governative ucraine. Particolarmente rilevante è l’interesse verso la supply chain dei droni militari. Gli operatori hanno esportato intere mailbox di almeno due produttori di componenti, preso di mira un costruttore di UAV e sottratto l’SDK proprietario completo di un sistema di visione per droni. Il materiale sarebbe stato successivamente sottoposto per giorni a reverse engineering con l’assistenza dell’AI, ricostruendo architettura del prodotto, bill of materials, fornitori e dettagli di un dispositivo non ancora annunciato. L’AI non ha quindi creato un nuovo obiettivo strategico. Ha accelerato attività classiche di intelligence: raccogliere documentazione, analizzare software, organizzare enormi quantità di dati e ricavare informazioni sulle dipendenze industriali dell’avversario.

Leggi anche: Claude ha già compromesso sistemi reali durante i test cyber di Anthropic

ShinyHunters scarica 1,8 milioni di APK e cerca segreti automaticamente

Sul fronte criminale, Anthropic descrive un cambiamento altrettanto netto. GTG-50014, insieme di operatori sospettati di essere affiliati all’ecosistema ShinyHunters, ha utilizzato agenti AI per trasformare attività opportunistiche tradizionalmente laboriose in pipeline automatiche. Un operatore francofono, conosciuto con alias come MeowSHA, frkoo e blazespider, ha costruito una flotta di 10 istanze AWS EC2 che ha scaricato 1,8 milioni di APK Android provenienti da diversi app store.

Le applicazioni venivano decompilate automaticamente e analizzate con TruffleHog per individuare secret hardcoded: API key, token, credenziali e altre informazioni riutilizzabili. I risultati verificati venivano quindi inviati in tempo reale a gruppi Telegram organizzati in più di 100 categorie di sorgenti. Una seconda pipeline raccoglieva indirizzi email da organizzazioni GitHub e alimentava un flusso parallelo di GitHub Personal Access Token sottratti.

Non significa che Claude abbia trovato autonomamente 1,8 milioni di vulnerabilità Android. Il punto è diverso: l’AI orchestrava e sosteneva un sistema industriale nel quale download, decompilazione, classificazione dei risultati, verifica e sfruttamento delle credenziali potevano essere gestiti a una scala irrealistica per un singolo operatore umano. Il caso si inserisce nel modello ShinyHunters già osservato negli attacchi basati su identità, SaaS e credenziali invece che sul malware tradizionale. Con l’AI, la differenza è che la stessa logica può essere applicata contemporaneamente a milioni di artefatti.

Gli exploit vengono sviluppati continuamente da agenti che lavorano anche senza l’operatore

Anthropic descrive inoltre vere e proprie exploit foundry. Il cluster GTG-10007, composto da operatori cinesi probabilmente localizzati nella provincia dello Hunan, avrebbe mantenuto più workflow paralleli dedicati a intrusioni, ricognizione governativa, reverse engineering di prodotti di sicurezza, sviluppo malware e intelligence collection. Alcuni operatori sono stati identificati come studenti universitari di informatica con precedenti esperienze o candidature presso aziende di cybersecurity cinesi. Il gruppo avrebbe preso di mira circa 50 organizzazioni nei settori governo, energia, sanità, finanza, tecnologia, manifattura e istruzione. Una componente del sistema continuava autonomamente a cercare vulnerabilità in prodotti endpoint e dispositivi di rete anche quando gli operatori non erano presenti.

La caratteristica decisiva è la persistenza del contesto. Liste di obiettivi, credenziali raccolte, stato delle campagne e istruzioni venivano mantenute tra una sessione e l’altra. Un agente principale poteva inoltre distribuire il lavoro a numerosi sub-agent in parallelo. Non si tratta più quindi di un hacker che chiede a un chatbot come scrivere un exploit: è un ambiente operativo nel quale il modello rappresenta parte dell’infrastruttura della campagna.

Anthropic accusa sette laboratori cinesi di distillation industriale

Il rapporto apre anche un fronte completamente diverso: il furto delle capacità dei modelli. Anthropic afferma di aver identificato sette laboratori AI con base in Cina impegnati in attività di illicit distillation, cioè l’utilizzo massivo e non autorizzato delle risposte di Claude come dati per addestrare modelli concorrenti. Tra le società citate figurano Alibaba, Moonshot AI, DeepSeek, Z.ai/Zhipu, Xiaomi, SenseTime e MiniMax. Anthropic sostiene che alcuni operatori abbiano creato migliaia di account fraudolenti, utilizzato proxy e reseller e in alcuni casi inoltrato le richieste dei propri utenti direttamente a Claude senza informarli. Il caso più grande attribuito ad operatori affiliati ad Alibaba avrebbe generato 151 milioni di scambi tra maggio e luglio 2026, raggiungendo picchi di circa 3 milioni di conversazioni al giorno attraverso oltre 3.500 account. Moonshot avrebbe prodotto circa 23 milioni di scambi, mentre DeepSeek oltre 12,1 milioni in appena due settimane. Secondo Anthropic, questi sistemi cercavano soprattutto reasoning, capacità agentiche, coding e tool use. La knowledge distillation è una tecnica legittima di machine learning. La contestazione di Anthropic riguarda il modo con cui sarebbero stati ottenuti i dati: account falsi, API key sottratte, accessi da regioni non supportate e inoltro non dichiarato delle conversazioni degli utenti.

La vera svolta non è il nuovo exploit ma l’economia dell’attacco

Il dato comune ai casi russi, cinesi e criminali non è la comparsa di tecniche offensive completamente nuove. Anthropic sottolinea che molte intrusioni continuano a partire da credenziali rubate, servizi esposti, SQL injection, dispositivi non aggiornati e phishing. La differenza è economica. Ricognizione, sviluppo degli strumenti, classificazione dei dati e exploitation richiedevano tradizionalmente tempo e personale qualificato. Un framework agentico permette invece di eseguire contemporaneamente queste attività su molti bersagli. Anthropic riferisce di breach completati in due o tre ore e di decine di vittime gestite parallelamente da singoli operatori. È la stessa trasformazione già osservata nel passaggio dagli agenti sperimentali alle operazioni offensive realmente autonome. La sofisticazione tecnica smette gradualmente di essere un indicatore affidabile della quantità di risorse umane dietro un attacco.

Continua con:

• SilkParasite usa l’AI nello sviluppo di sette RAT contro governi dell’Asia Centrale
• Google osserva attacchi AI autonomi capaci di raccogliere migliaia di credenziali in poche ore

L’autonomia cresce ma gli esseri umani continuano a scegliere chi colpire

Il rapporto Anthropic richiede infine di evitare l’estremo opposto della sottovalutazione: descrivere queste campagne come attacchi interamente condotti da un’AI indipendente sarebbe scorretto. Nelle operazioni osservate, gli esseri umani continuano a scegliere obiettivi, finalità e monetizzazione, oltre a supervisionare i risultati più importanti. Alcune campagne hanno raggiunto un’elevata autonomia operativa, ma non una completa autonomia strategica. La novità è che tra la decisione umana e il risultato finale vengono automatizzate sempre più fasi. Un gruppo APT può chiedere a un sistema di ricostruire un malware finché non supera le detection. Un criminale può trasformare milioni di applicazioni Android in una superficie di ricerca automatizzata di credenziali. Un team di exploitation può mantenere agenti che cercano vulnerabilità continuamente. Un laboratorio AI può generare milioni di interazioni con un modello rivale per assimilarne le capacità. La minaccia quindi non consiste principalmente in un’intelligenza artificiale che decide autonomamente di attaccare. Consiste in qualcosa di già operativo e più concreto: un singolo essere umano può dirigere una quantità di lavoro offensivo che fino a pochi anni fa avrebbe richiesto una squadra intera. Ed è questo cambiamento dei costi, più del singolo exploit sviluppato da Claude, a comprimere il tempo che rimane ai difensori per accorgersi dell’attacco e fermarlo.