台湾の脅威インテリジェンス企業TeamT5は、同社が追跡する中国政府系のサイバー集団について、AIを使い始めてから攻撃件数が2倍超に増えたと明らかにした。Bloombergが2026年8月24日に報じた。変わったのは攻撃手法の派手さより、偵察、脆弱性の選別、コード生成といった作業を同じ時間で処理できる量だ。ただし、TeamT5は比較期間や母数を公開しておらず、増加分をAIだけの効果とみなすことはできない。
それでも、攻撃の現場へAIが入り込む深さは増している。2024年には調査や翻訳、デバッグが中心だったが、2026年にはエージェントが標的を選び、公開された実証コードを取り込み、侵入を試みるところまで進んだ。防御側は、どのモデルを使ったかよりも、AIに何を検索させ、どの権限で実行させたかを追う必要がある。
「2倍超」には期間と分母が欠けている
TeamT5によると、中国政府系の集団は定型作業をAIへ任せ、高度なマルウェアの開発に使い始めてから、実行した攻撃の件数を2倍超へ増やした。同社は近月に入手したスクリプトとログから、DeepSeekなどのモデルが偵察や脆弱性の悪用手段の生成に使われる様子を確認したという。
この数字はTeamT5の観測範囲を表す。公開された資料からは、いつからいつまでを比べたのか、何件を母数にしたのか、試行と侵害成功をどう数えたのかが分からない。地域や顧客ごとの偏り、同じ攻撃の重複を除いた方法も示されていない。したがって「中国政府系のサイバー攻撃全体がAIによって2倍になった」という一般統計には広げられない。
因果にも留保が要る。AIを導入した時期と攻撃件数の増加が重なっていても、人員の増加や標的地域の拡大、脆弱性の発生数といった別の要因は残る。現時点で確かに言えるのは、TeamT5が追跡する集団で攻撃量が増え、同じ集団の作業ログにAI利用が現れたことまでである。
1,000件のIP収集から侵入後の横展開まで
個別事例を見ると、AIが引き受けた工程は具体的だ。TeamT5がGrimfengxiと呼ぶ集団はDeepSeekでエクスプロイトコードを生成した。Huapiは、DeepSeekの可能性が高いとされる中国製モデルを使い、台湾企業のメールシステムを攻撃したという。モデルの同定は推定にとどまる。
Teleboyiは同じプラットフォームでインターネット上のIPアドレス1,000件を集め、標的企業のドメインを対応付けた。これは侵入そのものではなく、その前にある探索作業である。だが、人手なら検索条件を変えながら繰り返す仕事をモデルへ渡せば、攻撃者は候補を短時間で増やせる。件数の増加と最も結びつきやすい使い方だ。
侵入後にもAIは入る。TeamT5によれば、Slime22は台湾のテクノロジー企業へ侵入した後、Kali環境をClaude Codeに操作させ、社内ネットワークで横展開を試みた。攻撃者は正規のセキュリティ技術者を装う指示で防護を回避したという。ここではチャットが助言したのではなく、実行環境と結び付いたコードエージェントが攻撃工程を進めている。
Charles Li主任アナリストは、DeepSeekが選ばれる理由として、相対的な性能の高さとサイバー分野のガードレールの弱さを挙げた。TeamT5はMoonshotのKimi K3をより高性能とみる一方、運用費が高く、Kimi K3を使った事例をまだ観測していない。攻撃者にとっても、最高性能より、安価に反復できて拒否されにくいことが効く。
25,209件から標的を絞った自律ループ
別の公開事例が、この処理量の増え方をさらに具体化している。Palo Alto NetworksのUnit 42は2026年7月30日、中国語話者の攻撃者がDeepSeekを推論エンジンに使い、Hermes Agentから標的探索と攻撃を回した記録を公表した。この人物を中国政府系とは認定していないため、TeamT5の集計対象とは区別する必要がある。
復元された2026年5月7日のセッションで、エージェントはまずLangflowのインスタンス84件を列挙し、公開された実証コードを取得した。脆弱なバージョンを1件見つけたものの、攻撃に必要な設定が無効だったため侵入できなかった。するとDeepSeekは対象製品の価値が低いと判断し、10種類の製品群とGitHub上の脆弱性情報を調べ、n8nへ切り替えた。
FOFAの検索結果には、中国国内で外部公開されたn8nが25,209件あった。DeepSeekはそこから約100件のIPアドレスを抽出し、約40件のバージョンを調べた。脆弱なバージョン3件へ自動で悪用を試みたが、公開フォームの認証に阻まれた。自律工程は侵害に失敗したのである。
失敗しても、攻撃能力の変化は見える。エージェントは探索、候補の評価、実証コードの取得、攻撃、別製品への切り替えを一つのループで進めた。Unit 42によれば、この攻撃者は手動工程と合わせて460件超を標的にした。ただし、同社が確認したデータ窃取3件とMarimo Notebook 11件でのコマンド実行は手動キャンペーン側の成果であり、自律AIが成功した件数ではない。
防御設定も実際に働いた。Langflowでは必要な設定がなく、n8nでは認証が有効だったため、自動悪用は止まった。さらにエージェントが攻撃者のホームディレクトリでファイルサーバーを起動するミスを犯し、ツール設定やログを外部へ露出させた。AIは攻撃を速める一方、同じ速度で攻撃者の運用ミスも実行する。
調査補助から侵入後の作業へ
公開資料を時系列で比べると、利用範囲の変化が分かる。OpenAIが2024年2月に停止した5つの政府系攻撃者のアカウントでは、中国関連のCharcoal TyphoonとSalmon Typhoonを含め、主な用途は公開情報の調査、翻訳、コードのデバッグと基本的なスクリプト生成だった。既存作業を助ける使い方が中心である。
2025年9月には、実行段階へ踏み込んだ。Anthropicは、中国政府支援と高い確度で評価する集団がClaude Codeを操り、世界の約30組織へ侵入を試みたと公表した。標的は大手テクノロジー企業や金融機関、政府機関などで、少数では侵入に成功したという。モデルはコマンド実行や認証情報の窃取を進め、人が介入したのは要所に限られた。
Anthropicが2026年に公表した832アカウントの分析でも、利用は侵入後の工程へ移っている。560件、67.3%がマルウェア作成にAIを使い、54件、6.5%は横展開へ使っていた。中リスク以上と判定された利用者の比率は、分析前半6カ月の33%から後半6カ月の56%に上昇した。これはClaude関連の観測データであり、世界の攻撃者全体を表す統計ではない。それでも、TeamT5が報告したSlime22の行動とは方向が一致する。
モデル名だけでは危険度を測れない。Anthropicの分析では、Claude Code、API、チャット画面のどれを使ったかと攻撃者のリスク水準には相関がなかった。差を生んだのは、複数の攻撃工程をつなぐ仕組みと、端末やネットワークを操作できる権限だった。
モデルの禁止より先に実行の足場を狭める
防御側が監視すべき対象は、特定モデルへのアクセス記録より広い。インターネットへ露出した資産を減らし、管理画面やフォームへ認証をかける。コードエージェントには最小限の実行権限を与え、外部検索、シェル実行、ファイルアクセスが短時間に連続したときに検知する。Unit 42の事例では、この基本設定が自律攻撃を止めた。
AI側のガードレールも攻撃を止めている。Unit 42の調査では、攻撃者は欧米のコードツールも試したが、OpenAIは規約に反する要求を拒否し、関連するとみられるアカウントを停止した。一方、攻撃者はDeepSeekを制約のないエージェント基盤と組み合わせていた。API側の拒否だけに頼れば、自己管理された実行環境へ移られたときに守れない。
TeamT5の「2倍超」を評価するには、今後公開される観測期間、母数、攻撃の定義が必要になる。その数字を待つ間にも、公開資産の認証とエージェント権限は検証できる。攻撃者がAIで探索から実行までの時間を縮めるなら、防御側が管理すべき指標は、モデルのブランドではなく、脆弱性の公表から修正を終えるまでの所要時間である。
