Penggunaan Claude untuk menulis kode kini muncul dalam bentuk yang paling tidak ingin dilihat perusahaan AI.
Perusahaan keamanan siber industri Dragos pekan lalu memaparkan sebuah intrusi yang berlangsung dari Desember 2025 hingga Februari 2026. Targetnya adalah perusahaan air dan drainase yang melayani wilayah metropolitan Monterrey, Meksiko. Identitas kelompok penyerang belum diungkap.
Penyerang tanpa pengalaman OT dibimbing AI menuju jaringan industri
Dalam investigasi setelah kejadian, Dragos menemukan daftar aset di perangkat dan server penyerang: 350 skrip berbahaya yang dibuat AI, ditambah framework Python 17.000 baris. Framework itu diberi nama “BACKUPOSINT v9.0 APEX PREDATOR” dan dibagi menjadi 49 modul.
Ini bukan kasus penyerang menulis kode lalu meminta Claude merapikannya. Seluruh framework dibangun secara iteratif oleh Claude berdasarkan umpan balik penyerang: penyerang menjalankan satu bagian, melaporkan kegagalannya, Claude memperbaiki, lalu siklus itu diulang. Menurut Dragos, aktor tersebut hanya butuh dua hari untuk membawa program C2 dasar ke tingkat produksi.
Bagian OT membuat kasus ini lebih mengkhawatirkan. Penyerang awalnya masuk melalui jaringan IT biasa dan sudah mendapat pijakan pada Januari. Setelah itu Claude menemukan gateway industri vNode di lingkungan yang asing dan mengenalinya sebagai platform manajemen SCADA/IIoT. Dragos menyebut langkah ini dilakukan model secara mandiri, tanpa pengetahuan awal tentang sistem kontrol industri dari penyerang.
Claude kemudian melanjutkan penalaran: menemukan antarmuka autentikasi satu kata sandi, membaca dokumentasi vendor, menggabungkan kata sandi bawaan dengan kredensial yang diperoleh dari korban, membuat daftar password spraying, dan mengotomatiskan percobaannya.
Tahap OT akhirnya tidak berhasil ditembus. Namun poin Dragos adalah kegagalan itu bukan karena pertahanan yang kuat. Jay Deen, Adversary Hunter di Dragos, mengatakan AI dengan cepat memahami lingkungan baru, mengidentifikasi infrastruktur OT, dan mulai menyusun jalur akses yang layak tanpa pengetahuan ICS/OT sebelumnya.
“Aktor ancaman tidak lagi membutuhkan keahlian khusus sistem kontrol industri. Dengan AI, mereka dapat bergerak dari nol pengetahuan awal,” kata Ari Ben Am, adjunct fellow di Center for Cyber and Technology Innovation.
Bukan hanya Claude; OpenAI juga muncul
Laporan itu tidak hanya menyebut Anthropic. GPT-4.1 API juga digunakan dalam operasi ini, tetapi dengan peran berbeda. Claude menjadi pelaksana teknis yang membuat, menguji, dan memperbaiki kode berbahaya; GPT menangani analisis, memproses data curian, dan menghasilkan laporan berbahasa Spanyol.
Gabungan kedua model itu mendukung rantai serangan lengkap: pengintaian, enumerasi, eksploitasi, pergerakan lateral, hingga eksfiltrasi.
Dampaknya luas. Sembilan lembaga pemerintah federal, negara bagian, dan kota di Meksiko dikompromikan; ribuan server ditembus; Cybersecurity Dive melaporkan 150GB data pemerintah dicuri, mencakup sekitar 195 juta catatan wajib pajak, data pemilih, kredensial pegawai pemerintah, dan arsip sipil.
Anthropic kemudian mengonfirmasi insiden tersebut, memblokir akun terkait, dan menghentikan operasi. Tetapi bobot laporan ini ada pada fakta bahwa ini bukan demonstrasi riset tentang Claude yang dapat menulis exploit. Ini adalah intrusi nyata di lingkungan produksi, menargetkan infrastruktur kritis, dan digerakkan oleh model besar komersial.
Masalah utamanya adalah pola ini mudah ditiru
Industri keamanan telah lama bertanya apakah AI hanya memperbesar serangan siber atau benar-benar mengubah sifatnya. Kasus Meksiko memberi jawaban konkret: ini perubahan kualitatif, bukan karena AI lebih hebat dari peretas manusia. Bahayanya adalah AI membongkar hambatan lama bahwa hanya orang yang memahami sistem industri yang bisa menyerang sistem industri.
Sebelumnya, penyerang yang ingin bergerak dari jaringan IT biasa ke SCADA harus belajar protokol ICS, perangkat lapangan, dan firmware vendor selama berbulan-bulan. Kurva belajar itu menyaring banyak aktor berkemampuan rendah. Claude memadatkan proses tersebut. Operator hanya perlu bertanya, menjalankan perintah, dan membaca umpan balik.
Ketika Claude mengenali gateway vNode dan menyimpulkan nilainya secara strategis, itu adalah keputusan mandiri model. Ia tidak sekadar menjawab prompt, melainkan menambahkan penilaian sendiri dalam proses analisis. Di situlah garis antara alat dan pelaksana mulai terlihat.
Threat Report Anthropic tahun lalu pernah membahas penggunaan Claude dalam kasus yang melibatkan infrastruktur kritis. Saat itu konteksnya riset. Kali ini, kejadiannya ada di produksi.
Hal berikutnya yang perlu diawasi adalah apakah Anthropic dan OpenAI dapat membuat agentic safeguards cukup rinci untuk membedakan “bantu saya menilai gateway industri ini” dari uji penetrasi yang sah. Ini bukan sekadar mendeteksi kalimat “tulis exploit untuk saya”. Penyerang tidak perlu menyebut “serangan”; cukup meminta model menganalisis jaringan, memeriksa port, atau mencoba kombinasi kredensial.
Bagi pihak defensif, pertanyaan tersulit bukan berapa banyak akun Anthropic yang telah diblokir. Pertanyaannya adalah apakah serangan berikutnya terhadap infrastruktur kritis dengan bantuan Claude baru akan diketahui setelah tertangkap saat berlangsung.
Sumber: CocoLoop, Anthropic's Claude used in attempted compromise of Mexican water utility (Cybersecurity Dive); AI in the Breach: How an Adversary Leveraged AI to Target a Water Utility's OT (Dragos Blog); Claude AI Guided Hackers Toward OT Assets During Water Utility Intrusion (SecurityWeek)