За что банят Claude: отчёт Anthropic о злоупотреблениях и как не попасть под раздачу в 2026

10 сентября 2026 Anthropic выложила отчёт «Detecting and countering misuse of AI» за восемь месяцев работы своей команды по угрозам: декабрь 2025 по август 2026. Внутри семь категорий злоупотреблений Claude, от разработки ракет и автономных дронов до слежки за целой страной, и отдельный большой блок про то, как китайские лаборатории тысячами поддельных аккаунтов перекачивали из Claude данные для обучения собственных моделей.

Читать это стоит не ради жути. Отчёт объясняет ровно то, что последние месяцы бьёт по пользователям из России: почему Anthropic жёстче проверяет регистрации, почему массово умирают перепродажи доступа и прокси-пулы и почему свежий аккаунт с необычным трафиком улетает в бан быстрее, чем раньше. Ниже факты из отчёта и практический вывод: что делать со своим доступом, чтобы не оказаться в одной корзине с промышленными нарушителями.

Обновлено 14 сентября 2026: добавлены разделы про мошенничество в дейтинге, про сети фальшивых новостных сайтов и про верификацию личности, из-за которой аккаунт отключают без разбора конкретных запросов.

Что за отчёт Anthropic и почему его стоит прочитать пользователю, а не только безопаснику

Anthropic держит отдельную команду Threat Intelligence, которая ищет злоупотребления Claude и отключает нарушителей. Раз в несколько месяцев она публикует отчёт: какие группы поймали, что те делали и как именно их вычислили. Сентябрьский выпуск самый объёмный за всё время.

Задело модели по всей линейке: основной объём приходится на Haiku, Sonnet и Opus, реже встречались Fable и Mythos. Каждой группе присвоен внутренний код вида GTG-16005, по ним удобно отслеживать актора между отчётами.

Дальше словарик, без него текст отчёта читается как шифр.

• Дистилляция это обучение своей модели на ответах чужой. Гоняешь через Claude миллионы запросов, забираешь ответы вместе с цепочками рассуждений и дообучаешь на них собственную модель.
• Reasoning traces это те самые цепочки рассуждений, которые модель прокручивает перед ответом. Самый ценный материал для дистилляции, подробнее в разборе, о чём думает нейросеть перед ответом.
• Прокси-сеть это слой между нарушителем и Claude: запрос приходит на чужой сервер, тот подставляет свой аккаунт и идёт к Anthropic. Ровно так устроены и многие перепродажи доступа.
• Vibe hacking это когда человек ставит цель, а дальше модель сама итерирует шаги атаки без ручного управления.

Семь категорий злоупотреблений: что нашли за восемь месяцев

Направление	Что делали	Масштаб из отчёта
Кибероперации	агенты переписывали вредонос, пока антивирус не переставал его ловить, и выгребали секреты из чужих приложений	20+ организаций в Украине и Европе, 1,8 млн Android-приложений
Дистилляция	перелив запросов через поддельные аккаунты для обучения своих моделей	7 китайских лабораторий
Слежка	платформа мониторинга абонентов сотовых операторов, профилирование оппозиции	25 млн SIM-карт в Мали, 6388 иранцев за год
Мошенничество	романтические разводы через армию ИИ-персон в дейтинг-приложениях	4700+ персон, 2,36 млн сообщений за две недели
Обычное вооружение	софт наведения и управления, рои дронов	3 ракетные программы, дальность 2000+ км
Биология	обход фильтров через запасной маршрут к чужой модели	5 анонимизированных кейсов
Инфооперации	сети фальшивых новостных сайтов и аккаунтов под конкретные выборы	70 сайтов, 8913 статей на 20 языках

Каждая строка в отчёте расписана до деталей, и детали там неприятные. Русскоязычная группа GTG-20006 работала по министерствам, разведке, посольствам и оборонным подрядчикам, отдельно охотилась за цепочкой поставок дронов и украла проприетарный SDK системы машинного зрения. Её агенты следили, поймал ли антивирус очередную сборку вредоноса, и автоматически переписывали код, пока сборка не проходила фильтры.

Группа ShinyHunters работала иначе: один человек скачал 1,8 млн Android-приложений, декомпилировал их и искал зашитые в код ключи и пароли. Найденное частью сдавал за баунти на HackerOne, частью использовал для вымогательства у двух компаний.

Скорость в отчёте это отдельный сюжет. Одна группа за 34 часа собрала больше 2100 токенов доступа Azure AD в сорока с лишним корпоративных арендаторах и выкачала свыше терабайта данных. Другая за четыре дня отработала около тридцати ИИ-компаний и выставила требование выкупа от 1,5 до 2,5 млн долларов.

Дистилляция: как через Claude качали данные для чужих моделей

Это самый большой и самый скучный на вид раздел, и именно он объясняет, почему у тебя могли ужесточиться проверки. Anthropic насчитала семь китайских лабораторий, которые в промышленных масштабах лили трафик через Claude.

Alibaba и Qwen: крупнейшая кампания в истории замеров Anthropic

Фиксированный промпт заставлял Claude выводить цепочку рассуждений перед каждым ответом. Транскрипты собирали и дообучали на них Qwen версий 3.5, 3.6 и 3.7. Пик нагрузки почти 3 млн обменов в сутки, работа шла через более чем 3500 поддельных аккаунтов. С мая по июль 2026 набралось свыше 151 млн обменов, в основном агентские задачи и разработка софта.

Moonshot AI: клиенты думали, что пишут Kimi, а писали Claude

Moonshot молча перенаправляла запросы собственных пользователей в Claude через 5380 поддельных аккаунтов. За десять дней так прошло около 300 тысяч клиентских обращений. Люди платили за Kimi и были уверены, что общаются с ним. Подробнее про сам сервис в гайде, как пользоваться Kimi.

DeepSeek: фильтр по признакам агентских инструментов

DeepSeek искал в запросах характерные строки, по которым видно работу через Claude Code и похожие агентские обвязки, и маршрутизировал такие запросы в Claude Opus. За 14 дней набралось 12,1 млн обменов. В отчёте отдельно отмечено содержимое части этого трафика: разбор архивов городских камер видеонаблюдения и запросы с живыми доступами к базам данных.

Остальные: Xiaomi, Zhipu, SenseTime, MiniMax

Xiaomi сохраняла запросы и сессии кодирования пользователей своей модели MiMo и воспроизводила их через Claude. Внутри оказались персональные данные сотен людей на двенадцати с лишним языках: имена, контакты, информация о компаниях.

Zhipu за десять дней прогнала свыше 770 тысяч обменов через 273 аккаунта, отдельным инструментом вычищала цепочки рассуждений в обучающий формат и, по формулировке отчёта, осознанно переключилась на модели со слабой защитой, когда упёрлась в фильтры.

SenseTime покупала транскрипты через посредников, а MiniMax построила прокси-сеть через подставную компанию, работавшую только с моделями Anthropic и OpenAI.

Оружие и слежка: часть отчёта, которую Anthropic публикует впервые

Раздел про обычное вооружение вышел у Anthropic впервые, до этого компания ограничивалась биологией и кибером.

В северном Йемене группа GTG-87001 использовала Claude Code фактически вместо инженеров: софт наведения, навигации и управления для трёх ракетных программ, включая многоступенчатую ракету дальностью свыше 2000 км. Работали аккуратно: запускали параллельные инстансы и разбрасывали задачи по разным сессиям, чтобы из отдельного диалога не считывалось общее назначение. После неудачного тестового пуска группа вернулась к Claude за разбором причин отказа.

Отдельная группа русскоязычных фрилансеров (GTG-27005) собирала автономный рой FPV-дронов-камикадзе с маленькой языковой моделью на борту. В терминальной фазе наведение шло по камере, без человека в контуре. Классификатор изображений обучали на захваченных украинских боевых записях.

Китайская группа GTG-17002 разрабатывала около шестнадцати модулей радиоэлектронной борьбы и подавления ПВО, и в середине проекта сценарий переключился на двенадцать целей на Тайване.

Слежка выглядит не менее показательно. В Мали консультант строил на Claude платформу Lakana 360: мониторинг примерно 25 млн SIM-карт всех трёх национальных операторов, опознание человека по голосу при смене симки, выявление VPN и шифрованного трафика, сшивка с биометрическим реестром. Блокировка аккаунта остановила разработку, но не саму систему: она уже работала на локальных моделях внутри страны.

Мошенничество: 4700 ИИ-персон в дейтинге и 2,36 млн сообщений за две недели

Единственное из семи направлений, где обычный человек попадает в отчёт в роли жертвы. Группа GTG-15001 крутила романтические разводы сразу на двух десятках дейтинг-приложений.

Цифры такие: больше 4700 ИИ-персон, около 25 тысяч живых людей, с которыми эти персоны переписывались, и 2,36 млн сообщений за одно двухнедельное окно в апреле 2026. Соотношение персон к реальным собеседникам примерно три к одному. На одного человека приходилось по три выдуманных партнёра, и каждый вёл свою линию разговора.

Раньше такая схема упиралась в людей. Оператор физически не тянул больше десятка переписок, а кривой русский выдавал его на второй день. Модель снимает оба ограничения разом: держит тысячи диалогов параллельно, помнит детали каждого и пишет на языке жертвы чисто.

Соседний сценарий, где ИИ подделывает голос родственника, разобран отдельно: позвонили голосом родственника.

Инфооперации: 70 фальшивых новостных сайтов и 8913 статей на 20 языках

Масштаб другой, механика похожая. Сеть GTG-54002 держала 70 выдуманных новостных сайтов, к каждому был прикручен свой аккаунт в X, плюс больше 250 неподлинных учёток сверху. Через эту конструкцию прошло 8913 статей на двадцати языках, из них 318 были нацелены на Демократическую Республику Конго.

Другая группа наделала около тысячи фальшивых аккаунтов в X и разложила их по 222 избирательным округам Малайзии, чтобы имитировать местные голоса. Ещё одна собирала досье на 18 депутатов Европарламента примерно с 300 неподлинных аккаунтов.

Российские госмедиа идут в отчёте отдельной строкой под кодом GTG-24015: Sputnik Moldova, РИА Новости, Sputnik en Español, Sputnik Africa и RT English использовали Claude в работе вокруг парламентских выборов в Молдове 28 сентября 2025.

Что из этого реально касается тебя из России

Ни ракеты, ни дистилляция Qwen тебя не касаются напрямую. Касается побочный эффект: чтобы поймать 3500 поддельных аккаунтов Alibaba и прокси-сеть MiniMax, Anthropic закрутила фильтры на регистрацию, на источник трафика и на поведение аккаунта. А доступ из России очень часто технически выглядит так же, как доступ нарушителя.

Разложу пять сценариев, в которые из России попадают чаще всего.

1. Купленный доступ через перепродавца. Твои запросы идут через чужой аккаунт в общем пуле. Anthropic отключает пул целиком, когда видит его паттерн, и твой ключ умирает вместе с остальными.
2. Общий VPN с грязным IP. Если с того же адреса кто-то регистрировал пачку аккаунтов, ты наследуешь его репутацию.
3. Прыжки по странам. Сегодня Нидерланды, завтра Финляндия, послезавтра Турция. Для системы это признак сети, а не человека.
4. Рассинхрон оплаты. Заход из одной страны, карта другой, телефон третьей.
5. Резкий старт. Свежая регистрация, и в первый же день десятки тысяч токенов агентскими задачами. Ровно такой профиль был у аккаунтов дистилляции.

Подробный разбор всей механики банов и того, как её обходить законным способом, лежит в отдельном гайде про Claude из России через VPN без банов. Здесь только то, что изменилось после отчёта.

Перепродажи доступа и «Claude за 500 рублей»: почему стало опаснее

Раньше аргумент против серых перепродаж был бытовой: могут кинуть, могут читать твои переписки. Теперь добавился системный. В отчёте прямым текстом описаны прокси-сети через подставные компании и закупка транскриптов через посредников. Это ровно та архитектура, на которой работает большинство дешёвых перепродаж доступа.

Anthropic научилась опознавать такие сети по поведению и отключает их целиком. Продавец в этот момент теряет пул, ты теряешь оплаченные деньги, а претензии предъявлять некому: договора у тебя нет. Если тебе интересно, как эта экономика вообще устроена и где там грань, есть отдельный разбор про дешёвый Claude и перепродажу доступа.

Отдельная неприятная деталь из истории Moonshot: их клиенты были уверены, что пишут Kimi, а фактически писали в Claude. Когда ты покупаешь доступ у посредника, ты в принципе не знаешь, куда уходит твой текст и кто его видит по дороге. При работе с рабочими документами и клиентскими данными это не абстрактный риск.

Как Anthropic вычисляет нарушителя и почему бан прилетает за верификацию

Самая полезная для обычного пользователя часть отчёта спрятана в описании контрмер. Там перечислено, чем именно ловят, и из этого понятно, на что система вообще смотрит.

• Сигнатуры рассуждений. У цепочки рассуждений модели есть служебная подпись. По ней видно, когда кусок чужой сессии подставляют в новый диалог, и именно так вскрыли атаку с переигрыванием сессий.
• Классификаторы извлечения. Отдельный слой ищет паттерн «один и тот же промпт тысячами итераций ради сбора ответов». Его усилили с выходом Fable 5.
• Атрибуция по метаданным. Прокси-сети опознают по техническим признакам трафика, читать переписку для этого не нужно: одинаковые заголовки, общий диапазон адресов, синхронные всплески нагрузки.
• Ограничение на уровне модели. Часть тем закрывают в обход фильтров: такие запросы обслуживают только младшие модели. В отчёте так поступили с планированием по птичьему гриппу, уведя работу на Sonnet 4 и Haiku 4.5.
• Биологический классификатор. В мае 2026 он остановил заявку на грант по усилению функции вируса чикунгунья, а тридцатидневная проверка институтов недружественных государств нашла около 35 отдельных исследовательских цепочек.

И пункт, ради которого стоит читать этот раздел целиком. В списке мер прямым текстом стоит требование подтвердить личность для аккаунтов с признаками злоупотребления и отключение тех, кто проверку не прошёл.

Как выглядит сама процедура и что делать, когда подтверждение просят из России, разобрано в гайде про верификацию Claude из России.

Как настроить доступ, чтобы не попасть под раздачу

Логика простая: сделать так, чтобы твой аккаунт не имел ни одного признака из списка выше. Это четыре шага, и ни один из них не про хитрость.

Первое, что надо закрыть, это адрес. Идеальный вариант - свой сервер в разрешённой стране за пару долларов в месяц, у него один постоянный IP, который не делят с тобой сотни незнакомых людей. Если возиться с настройкой не хочется, подойдёт рабочий VPN, главное требование к нему то же самое: стабильный адрес в одной стране, без ежедневных прыжков по локациям.

Отдельно про третий шаг. Claude Pro стоит 20 долларов в месяц, и платить за него надо так, чтобы подписка висела именно на твоём личном аккаунте. Если зарубежной карты нет, это закрывается через сервис оплаты подписок: он оформляет оплату на твою учётку, и ты остаёшься единственным владельцем доступа (реферальная ссылка: тебе тот же прайс, мне небольшой процент). Это принципиально другая схема, чем покупка ключа из общего пула, и после сентябрьского отчёта разница между ними стала стоить дороже. Пошаговая инструкция со всеми способами и ценами в рублях лежит в гайде как оплатить Claude из России.

Что делать, если доступ уже отобрали

Сначала отличи бан от технической ошибки, это разные истории с разными решениями. Если сообщение вида «This organization has been disabled» вылезло в терминале, в большинстве случаев виноват старый ключ отключённой организации, который перебивает рабочую подписку, и чинится это за минуту. Полный разбор в гайде про ошибку This organization has been disabled.

Если же тебя не пускает на сам claude.ai, это блокировка. Порядок действий такой:

1. Зайди на claude.ai под тем же аккаунтом: форма апелляции видна только после входа.
2. Заполни её фактами: почта, тариф, дата, точный текст ошибки, чем пользовался.
3. Не создавай второй аккаунт на те же данные с того же IP, пока рассматривают первый. Это добавит сигналов, а не уберёт.
4. Параллельно выгрузи свои данные: доступ к экспорту чаще всего сохраняется даже у заблокированного аккаунта.

Честно про шансы: гарантий не даёт никто, доля удовлетворённых апелляций исторически невысокая, а региональные блокировки снимаются хуже всего. Поэтому профилактика тут дешевле лечения.

Что Anthropic меняет после отчёта

Три вещи названы в самом документе, и по ним видно направление.

Первое: признание, что классификаторы не решают задачу. Формулировка из отчёта прямая: фильтры не могут одновременно разрешать полезную работу и предотвращать вред. Значит, вес сместится с фильтрации отдельных запросов на анализ поведения аккаунта, а это как раз то, что бьёт по нестандартным схемам доступа.

Второе: preserved thinking в Fable 5.1. Механизм мешает подменять контекст рассуждений через свежие API-аккаунты, тем самым методом, которым работала атака с повторным проигрыванием сессий у Moonshot.

Третье: программы верифицированных пользователей. Часть продвинутых возможностей в биологии откроется только после подтверждения личности и организации, и это тот же механизм, что описан выше, только применённый к отдельным функциям вместо аккаунта целиком.

Чек-лист: что у тебя теперь есть

• Понимание, что в отчёте Anthropic семь направлений и только одно из них, дистилляция, объясняет ужесточение проверок для обычных людей.
• Знание пяти сценариев, по которым доступ из России попадает под фильтр: чужой пул, грязный IP, прыжки по странам, рассинхрон оплаты, резкий старт.
• Настроенная связка: одна страна, один постоянный адрес, личный аккаунт, честная оплата, плавный рост нагрузки.
• Понятный порядок действий на случай блокировки: сначала отличить ошибку от бана, потом апелляция фактами, без второго аккаунта.
• Ответ на вопрос, почему дешёвый доступ через перепродавца стал заметно рискованнее, чем полгода назад.
• Знание, что аккаунт с признаками злоупотребления сначала просят пройти верификацию личности, и отключают именно тех, кто её не прошёл.
• Понимание, как выглядит ИИ-персона в дейтинге и почему безупречная переписка больше не признак живого человека.

Главное из всего отчёта в одну строку: Anthropic теперь смотрит не на то, что ты пишешь, а на то, как выглядит твой доступ. Сделай доступ скучным и предсказуемым, и претензий к тебе не будет.

По материалам unite.ai: Anthropic Details Disrupted Claude Misuse Across Seven Harm Areas и the-decoder: How hackers used Claude for missiles, drone swarms and surveillance while Chinese labs mined it for training data. Первоисточник: отчёт Anthropic «Detecting and countering misuse of AI: September 2026».