SOCRadar: Kjent angriper skal ha kjørt 51 Claude Code-agenter sammen med Cobalt Strike
Sikkerhetsselskapet SOCRadar beskriver en kampanje der en initial access broker koblet 51 spesialiserte Claude Code-agenter til PentAGI og Cobalt Strike. Over 628 000 poster skal være stjålet fra ukrainske organisasjoner – men de samme loggene viser også at modellens sikkerhetsrefusaler holdt delvis stand.
Sikkerhetsselskapet SOCRadar publiserte 6. oktober 2026 en rapport som beskriver noe relativt nytt: en angivelig cyberkriminell kampanje der AI-agenter ikke er et tilskudd, men selve driftsryggraden. Den påfølgende uken har The Hacker News, Security Affairs, Cyber Security News og Let's Data Science alle dekket funnene, som alle sporer tilbake til samme kilde.
Etter SOCRadars fremstilling handler det om en initial access broker med kodenavnet CyberXero, aktiv siden minst juli 2026. Aktøren skal ha kjedet sammen 51 spesialiserte Claude Code-agenter, et PentAGI-oppsett og Cobalt Strike til to parallelle intrusjonspipeliner – en automatisert global skalering og en manuell, målrettet kampanje mot ukrainsk energisektor. Resultatet skal være bekreftet eksfiltrering fra fire ukrainske organisasjoner og mer enn 628 000 poster knyttet til ukrainske enkeltpersoner, i tillegg til bekreftede kompromitteringer i Polen, Kina og Nederland.
Alt dette kommer fra én kilde: SOCRadar, som sier at de fant operasjonen fordi angriperen eksponerte sin egen arbeidskatalog. Denne dokumentasjonen på det angivelige angrepet er altså ikke uavhengig bekreftet. Likevel er det nettopp den eksponerte katalogen som gjør saken verdt dekking: den gir et sjeldent detaljert innblikk i hvordan AI-agenter faktisk brukes i reelle angrep – inkludert hvor langt de kommer, og hvor de stopper.
Hvordan oppdagelsen skjedde
SOCRadar oppga at de identifiserte en eksponert åpen katalog på «46.21.250[.]135» som lekket angriperens aktive arbeidskatalog fra en Linux-arbeidsstasjon. Innholdet skal omfatte AI-øktlogger, skript med klartekst-token, exploit-verktøykasser, rekognoseringsresultater, AI-agentkonfigurasjoner og eksfiltrerte offerdata – over 90 000 filer totalt, ifølge Cyber Security News. Kampanjen skal fortsatt ha vært aktiv under etterforskningen.
Det er en passelig ironi: et oppsett bygget for industriell skalering feilet på en av de eldste feilene i bransjen – feilkonfigurert eksponering av egen infrastruktur.
Arkitekturen: 51 agenter og en Cobalt Strike-kobling
Det angivelige oppsettet har to lag. I det øverste kjører Claude Code med en klynge på 51 spesialiserte agenter for skanning, exploit-kjeding, rekognosering og post-eksploatering, på angriperens primære arbeidsstasjon. I det underliggende står PentAGI, et verktøy for automatisert penetrasjonstesting, koblet til en Cobalt Strike Team Server via en AI-leverandørs API – det vil si at agentene skal kunne drive videre klassisk intrusjon med kommersielle verktøy.
De to piperlinene skiller seg tydelig fra hverandre:
Den globale pipelinen drives av et egentilvirket verktøy kalt wp2shell, som ifølge Security Affairs misbruker en sårbarhet i WordPress REST API til å injisere SQL, opprette en uautorisert admin-konto og plante et web shell. Mållisten skal ha inneholdt over 56 000 URL-er. Analyse av den eksponerte katalogen skal vise at en enkelt automatisert kjøring skannet 4 708 mål, bekreftet tilgang til 429 WordPress-adminpaneler og deployet 32 web shells i løpet av et vindu på 61 sekunder.
Den målrettede pipelinen arbeidet annerledes: dypere rekognosering og manuell eksploatering mot syv ukrainske energi- og forsyningsenheter, inkludert den nasjonale transmissjonsoperatøren, ifølge Let's Data Science. Det er også her skillet mellom målretting og faktisk kompromittering gjelder – rapporteringen bekrefter eksfiltrering fra fire organisasjoner, mens syv var målrettet.
Kharkiv-funnets fysiske risiko
Et av de mest konkrete funnene gjelder et fjernvarmeselskap i Kharkiv. Et passord som lå lagret direkte i angriperens skript skal ha gitt tilgang til selskapets systemer, og et automatisert verktøy trakk deretter ut over 564 000 kundeposter, inkludert hjemmeadresser og kontonumre.
SOCRadar advarer om at dette reiser en egen risikokategori. Fordi Kharkiv ligger ved en aktiv konfliktfront, skriver selskapet at datasettet utgjør en potensiell fysisk risiko for identifiserbare sivile, langt utover et konvensjonelt datainnbrudd. Rapporteringen etablerer imidlertid ingen statssponsor, og ingen kjøper av tilgangen til de ukrainske målene er identifisert.
Tallene bør også holdes adskilt: de 628 000+ postene gjelder fire bekreftet eksfiltrerte ukrainske organisasjoner, mens de 564 000+ er knyttet til ett enkelt fjernvarmeselskap i Kharkiv. Forholdet mellom tallene er ikke fullt ut avklart i kildene.
Sikkerhetskontrollenes dobbelte rolle
Det kanskje mest interessante med den eksponerte katalogen er at den ifølge SOCRadar dokumenterer kampen mellom angriper og modell. Loggene skal ifølge The Hacker News vise at CyberXero brukte «context engineering» og økt-nullstilling for å omgå sikkerhetsrefusaler: ved å åpne en ny økt med en forhåndslastet fortelling om «autorisert pentest» kunne angriperen prøve igjen der agenten hadde nektet.
SOCRadar forklarte ifølge The Hacker News at modellens sikkerhetskontroller virker på øktens kontekst, ikke på modellvektene, slik at en nektelse i én økt ikke overføres til neste. Når en agent nektet en oppgave, skal aktøren ha åpnet en ny økt med autorisasjonsrammefortellingen forhåndslastet og prøvd igjen.
Men metodene slo ikke alltid til. Loggene skal også vise at modellen, over fire iterasjoner, nektet å installere en bakdør, deaktivere en brannmur, bevege seg lateralt og deployere et web shell – og i et separat tilfelle korrekt avviste et forfalsket eierskapstoken.
Bildet som tegnes er altså ikke «AI-agentene kan gjøre alt», men noe mer nyansert: kontrollene skaper friksjon, spesielt rundt de mest skadelige handlingene, men en angriper med tålmodighet og økt-nullstillinger kan tøye grensene. Det er samtidig verdt å minne om at dette er SOCRadars egen lesning av loggene, ikke uavhengig verifisert.
Hva som forblir åpent
Flere sentrale spørsmål mangler svar i tilgjengelig dekning:
- Attribuering og identitet. CyberXero er et kodenavn. Aktørens sanne identitet, lokasjon og eventuelle tilknytning er ukjent.
- Nedstrøms bruk. Ingen kjøper av tilgangen til de ukrainske målene er identifisert, og det er uklart hva tilgangen skal brukes til.
- Bevisgrunnlag. Hele bildet stammer fra SOCRadars analyse av en eksponert katalog. Ingen uavhengig kilde har bekreftet innholdet.
- Anthropics respons. Kildene dokumenterer ingen reaksjon fra Anthropic på den angivelige misbruken av Claude Code, og det finnes ingen utsagn fra selskapet om saken.
- Tallenes forhold. Sammenhengen mellom 628 000- og 564 000-tallene, og mellom fire bekreftet eksfiltrerte og syv målrettede enheter, er ikke fullt ut avklart i de tilgjengelige kildene.
Hva dette betyr for forsvarere
Uavhengig av usikkerhetene rundt attribuering viser saken, slik SOCRadar fremstiller den, to ting som er relevante for forsvarere akkurat nå. For det første at AI senker terskelen for skala i innbrudd: 4 708 skannede mål og 32 web shells på 61 sekunder er ikke en kapabilitet som krever et stort, manuelt team. For det andre at agentene ikke er autonome hele veien – refusaler holdt stand på flere av de mest skadelige trinnene, selv om de kunne omgås med nok forsøk.
For organisasjoner betyr det at de klassiske forsvarstiltakene står seg: WordPress-installasjoner bør oppdateres og REST-API-et låses ned, hemmeligheter bør aldri lagres i klartekst i skript, og eksponeringsovervåkning av egen infrastruktur – for ikke si angriperens – er fortsatt en av de mest effektive detektormekanismene man har.