Anthropicは9月10日、Claudeを悪用したサイバー攻撃や国家監視などをまとめた2026年9月版の脅威インテリジェンス報告書を公開した。対象は、2025年12月から2026年8月に同社が妨害措置を取った七つの領域にまたがる活動だ。AIが攻撃者の継続的な仕事を担う一方、Claudeで開発された監視システムが、利用停止後も現地のモデルで動く事例が明らかになった。悪用を見つけてアカウントを止める対策は、AIの手を離れた成果物にどこまで届くのか。
助言から実行への変化は、すでに始まっていた
Claudeが攻撃を実行する側に回ったこと自体は、今回初めて報告されたわけではない。Anthropicは2025年8月の報告で、Claude Codeを使った侵入やデータ恐喝を公表していた。同年11月には、中国の国家支援を受けた集団と同社が判断する攻撃者が、約30の組織への侵入を試み、少数で成功したと発表している。
11月の事例では、作戦中の仕事の80〜90%をAIが担ったという。ただし、これは当該作戦についてのAnthropicの評価だ。AIは認証情報を捏造したり、公開情報を機密情報と誤認したりもしていた。作業を多くこなすことと、その結果が正しいことは別である。
今回の変化は、そうした運用が調査対象のさまざまな攻撃者に広がった点にある。国家と関係する集団に加え、金銭目的の犯罪者や政治的な動機を持つ個人も、複数のAIエージェントに仕事を割り振っていた。人間が標的を決め、AIが調査や侵入を進め、結果を人間が確認する。チャットで助言を得る使い方から、作業の実行と管理を任せる使い方へ移ったというのが同社の観測だ。
もっとも、これは悪用全体の統計ではない。Anthropicは、典型的な使われ方ではなく、特に注目すべき新しい事例を選んだと説明している。登場するのは主にHaiku、Sonnet、Opus系であり、FableやMythos級は蒸留に関する一事例を除いて含まれない。モデルごとの利用量やアクセス条件がそろっていない以上、この差を安全対策の優劣に直結させることもできない。
他社の観測にも時間と範囲の違いがある。Googleは2026年2月の脅威報告で、2025年末にAIが攻撃の生産性を高めていたとする一方、国家系や情報工作の主体が脅威環境を根本から変える能力を獲得したとは確認していなかった。今回のAnthropicの報告を、そのまま業界共通の自律化率や被害増加率として読むことはできない。
攻撃の手間を減らし、盗んだAIで次を動かす
ロシアと関係するスパイ活動とAnthropicが評価した「GTG-20006」では、Claudeが偵察から侵入の支援、盗んだ情報の処理まで使われた。セキュリティ製品に攻撃用ツールが見つかると、AIが改修と再構築を繰り返す仕組みも組まれていたという。人間は運用方針や作業手順の調整に関わりながら、手を動かす仕事をAIへ委ねていた。
防御側が新しい検知を追加すれば、攻撃者にはツールを書き直す負担が生じる。その反復をAIに担わせると、検知によって稼いだ時間が短くなる可能性がある。未知の脆弱性を発見できるかという性能競争と並んで、既存の侵入手段をつなぎ、対象ごとの違いを吸収する能力が効いてくる。
金銭目的の攻撃でも、Anthropicは、盗まれた開発者トークンから約3時間で被害組織のクラウド管理権限を得た事例を記載している。これは攻撃一般の所要時間ではないが、一つの権限が足掛かりとなり、短時間で被害を広げる危険を具体的に示す。
ホテルなどのネットワークを利用した侵入については、Microsoftの7月31日付「CaptiveCrunch」調査とも接点がある。Microsoftは5月初めから、接続時の認証ページを備えたネットワークで通信が操作され、偽の更新案内や認証要求へ誘導される活動を観測した。攻撃主体をMidnight Blizzardの活動群であるStorm-2945と評価し、作戦の相当部分をAIが支援していたと述べている。
Anthropicも、GTG-20006の帰属はMidnight Blizzardに結び付ける公開報告と整合するとしている。ただし、Microsoftは調査に協力したAnthropicとOpenAIに謝辞を記している。別会社による技術的な観測はあるが、情報源まで完全に独立した追試ではなく、AIの寄与率を別途測った結果でもない。
さらに、攻撃を動かすAIへのアクセス自体が盗難と転売の対象になっていた。顧客がアプリや公開コードに露出させたAPIキー、ログイン状態を示すセッショントークンを集め、仲介業者が他の利用者へ回す。攻撃者はその利用権限を、次の攻撃に必要な計算資源として使う。
ShinyHunters関連の事例で盗まれたキーは顧客環境から流出したもので、Anthropic自身のシステムが侵害されたわけではない。同社への侵入がなくても、顧客の鍵が漏れれば、モデルを使う権限は犯罪側へ渡る。AIのAPIキーは、請求管理と攻撃対策の双方で守る対象になっている。
七つの領域で異なる「AIがしたこと」
生物研究の章で取り上げられた五つの事例について、Anthropicは研究者に加害意図があったとは主張していない。治療に役立つ研究と危険な用途へ転用できる研究が重なるためだ。「生物兵器に使われ得る支援を見つけた」と「生物兵器が完成した」には、大きな隔たりがある。
その区別は、ほかの領域にも必要になる。今回の報告書の各章から代表事例を選び、Claudeが担った仕事と、確認できる結果・制約を対応させると、次のようになる。
| 領域 | Claudeが担った仕事 | 結果を読む際の制約 |
|---|---|---|
| サイバー攻撃 | 偵察や侵入を支援し、盗んだ情報を処理。検知後のツール改修も自動化 | 人間は標的設定や結果確認に関与。アカウント停止は被害先の復旧を意味しない |
| 国家監視 | マリ向け監視システムの設計・開発 | 実運用は現地のモデル。Claudeの利用停止は稼働済みシステムに影響しなかった |
| 世論工作 | 投稿と偽の人物像を作り、アカウント運営の仕組みも開発 | 発見されたコンテンツの多くは、実際の利用者からの反応が乏しかった |
| 通常兵器 | 誘導ソフトウェアやシミュレーション環境を開発 | イエメンのロケット実射試験は失敗したとみられ、実戦配備成功の証拠はない |
| 生物研究 | 研究計画や申請書を作成し、分析を支援 | 研究者の加害意図や兵器完成を確認した報告ではない |
| 詐欺 | 出会い系アプリの開発と、実在人物を装う会話 | 対話した人数は、金銭被害が確定した人数ではない |
| 無許可の蒸留 | 出力を他モデルの訓練などに流用したと同社が主張 | モデル能力の流用や規約違反の問題であり、兵器の実害と同じ尺度では測れない |
七領域をAIの担当作業と確認できる結果で比較すると、アカウント停止と現場の活動停止は区別が必要で、マリの稼働済み監視システムがその明示的な事例になる。
比較したのは、2025年12月〜2026年8月の活動を扱う同じ報告に記された「担当作業」と「結果の段階」である。事例ごとの期間や被害の母数は異なるため、危険度の順位表ではない。AIがソフトウェアを作る段階、実際の活動を動かす段階、物理的な成果が出る段階を分けると、利用停止が効く場所も変わる。
生物研究では、鳥インフルエンザを扱う事例は初期の計画段階であり、利用できたのはSonnet 4やHaiku 4.5だった。Anthropicは、これらが提供した補助を、研究構想やデータ分析などでの限定的なものと評価している。一方、別の研究申請ではOpus 5が約1時間で申請書の作成を支援した。これは書類を整えた時間であり、実験を終えた時間ではない。
世論工作でも、マレーシア向けの仕組みが1,000超の偽Xアカウントを管理し、100万の人工的な閲覧を要求する例はあったが、その要求を達成したという意味ではない。同社が見つけた投稿の多くには、実際の利用者からの反応がほとんどなかった。既存の国営メディアを通じた配信の方が広い層へ届いており、投稿を安く大量生産できても、読者を獲得できるとは限らない。
詐欺の事例では、20超の出会い系アプリで、2026年4月の2週間に4,700超のAIによる人物像が少なくとも2万5,000人と会話していた。運営側は実在する人間も混ぜ、相手が本物だと信じやすくしていたという。AIの会話能力だけを見ても、アプリ全体で成立する欺瞞は捉えにくい。
また、蒸留は、あるモデルの出力を別のモデルの学習に使う技術そのものを指し、常に不正なわけではない。報告が問題にするのは、無許可の利用やアクセス制限の回避だ。仲介業者が利用者との会話を保存し、他の開発者へ売る事例も記されており、企業にとってはモデルの知的財産を巡る争いに加え、自社の入力がどこへ渡るのかという問題になる。
アカウントを止めても残る監視システム
マリの情報機関向けに作られたとAnthropicが報告する「Lakana 360」は、国内の通信事業者3社、約2,500万枚のSIMを対象とする監視システムだった。同社は、情報機関と働く現地の独立した契約者とみられる一人のClaude利用者が、主な開発作業をAIに任せたと説明している。2,500万という数はSIMであり、同じ人数の市民を個別に監視したと読み替えてはいけない。
この事例では、Claudeは監視記録を分析する本番モデルではなかった。担当したのはソフトウェアの設計と開発で、配備されたシステムは組織内の設備とローカルモデルで稼働していた。Anthropicは、アカウント停止によって開発・設計への支援を妨げた一方、配備済みのシステムには影響しなかったと明記している。
利用権限を取り上げても、既に作られたソフトウェアは消えない。開発時のAIサービスと、運用時の計算環境が切り離されているからだ。これは悪用を「阻止した」という言葉を読む際に、成果物の所在まで確かめる必要があることを示す。監視を続ける環境が外部にあれば、クラウド側の遮断とは別の対応が要る。
生物研究への仲介サービスでは、接続先を変えて活動を続ける動きもあった。Anthropicは、チクングニアウイルスの研究に関連するアカウントを止めた後、仲介側が数日でアクセスを再確保したと記す。さらに、Claudeが拒否した質問を、より制約の緩い他社モデルへ送る仕組みが組まれていた。
同社が検出して止めた時点と、その後も続く活動を一つの成功・失敗に押し込めると、この違いが見えなくなる。マリでは成果物が外部に残り、仲介サービスでは別経路のアクセスが復活した。前者は稼働済みシステムへの対応、後者は接続経路をまたぐ追跡を必要とする。
拒否するモデルに加え、利用経路を管理する
Anthropicは生物研究について、危険な内容を判別するフィルターに加え、本人や所属組織を確認する仕組みと、悪用を調査するための記録が必要だと提言している。質問の文面だけでは、治療に向けた研究か、有害な用途に向けた研究かを確実に分けられないためである。高度な能力を、信頼性を確認した利用者へ提供する仕組みを重視する考えだ。
これはAI提供者に、難しい運用判断を求める。研究や企業活動の機密を守りながら、不審な利用を関連付けるには何を記録するのか。複数のアカウントや仲介サービスを経由したとき、誰の利用かをどこまで確かめられるのか。今回の報告は、モデルが一回の質問を拒否できるかという試験と、利用経路全体で悪用を抑えられるかという実務の間にある距離を示している。
利用企業側にも、既存の対策を見直す具体的な理由がある。APIキーの漏洩は、被害企業のデータへの入口になるとともに、攻撃者が使うAIの利用権限にもなり得る。仲介サービスを使うなら、接続先として何のモデルが提供され、入力や出力が誰に保存されるのかを確かめる必要がある。安価なアクセスを得たつもりでも、流通経路の実態が見えなければ、自社の情報と利用権限の行方も追えない。
認証と端末の対策は、AIの登場によって不要になるわけではない。MicrosoftはCaptiveCrunchへの対応として、パスキーや多要素認証に条件付きアクセスを組み合わせ、不要なデバイスコード認証を遮断することを勧めている。出張先の接続ページが突然求めるソフトウェア更新を実行しないことも、その一つだ。攻撃者の作業が速くなったからこそ、認証情報を渡す入口を減らす意味がある。
今後の対策を評価するには、停止したアカウント数に加え、別経路で利用が復活していないか、生成されたシステムが外部で動き続けていないかを追う必要がある。AI提供者と認証基盤、現場の防御担当者がその情報をつなげられれば、開発への支援を断つ措置を、被害を生む運用への対応につなげられる。
