自社AI「Claude」の悪用事例を7分野に整理…154ページの報告書を公開
一部の侵入は2～3時間で完了…Androidアプリ180万個を自動分析
AI企業30社も攻撃対象に…標的は未公開のClaudeモデル
主な内容
▶ Anthropicは9月10日（現地時間）、154ページの報告書「AIの悪用の検知と対応、2026年9月」を公開した。2025年12月から今年8月まで、自社AIのClaudeが悪意ある活動に利用された事例をまとめた文書だ。
▶ 報告書は、サイバー作戦、世論操作、監視、通常兵器、生物学、詐欺、無断モデル蒸留の7分野を扱っている。
▶ サイバー分野での核心的な変化は、攻撃手法よりもコストと速度だった。Anthropicは、AIによって国家レベルの組織と個人攻撃者を隔てていた人員・ツールの格差が大幅に縮小したと評価した。
【編集部注】AIの悪用は、もはや可能性の問題ではない。ハッキングやスパイ活動、世論操作、監視から、兵器や生物学研究に至るまで、実際の利用事例が現れている。Anthropicが公開した154ページの報告書は、AIが既存の脅威の速度と規模をどのように変えているのかを示している。本紙はこの報告書を基に、AIが犯罪や国家作戦の道具として使われている現場を追った。
10日（現地時間）、Anthropicは自社製品がどのように悪用されたのかを154ページにわたって記し、公開した。
この文書が特別なのは、その出所にある。これまでAIの悪用実態は外部から推測されてきた。今回は、モデルを開発した企業が内部から見た状況を記録した。誰がどのようなプロンプトを入力し、モデルがどの場面で拒否したのかが盛り込まれている。悪用されたモデルは、Haiku、Sonnet、Opusだ。報告書は「FableやMythosクラスのモデルが関与した悪用事例は、違法な蒸留の1件を除いて存在しなかった」と明記している。
◆ 結論から言えば「能力の格差が消えた」
AIがハッカー間の能力格差をなくした。これがAnthropicの結論だ。
かつては、資金と人員を備えた国家レベルの組織だけが高度な攻撃を行っていた。今では個人のハッカーも同じ水準の攻撃を仕掛けるようになったという意味だ。
新しいハッキング技術が登場したわけではない。報告書には「攻撃そのものはよく知られたものだ。盗まれた認証情報、パッチが適用されていない機器、公開されたサービス、SQLインジェクション、フィッシング」と記されている。手法自体は昔と変わらないということだ。
変わったのはコストだ。偵察や侵入、ツールの開発、データ整理など、人手を大量に必要としていた作業をAIが代行するようになった。労働量はそのままコストであり、国家レベルの組織だけが負担できるものだった。その壁が崩れたことで、1件の侵入が2～3時間で終わり、1人のハッカーが数十カ所の被害対象を同時に扱えるようになった。
人間が完全に関与しなくなったわけではない。報告書は「誰を標的にするか、どのように金銭を得るか、結果が正しいかを確認する作業には、依然として人間が深く関与している」とし、「最も深刻な侵害のうちいくつかは、人間がすべての段階を指示した作戦から生じた」と記している。
以下は、この結論を裏付ける6件のサイバー作戦のうち、代表的な事例だ。
◆ ロシアのスパイ活動、マルウェアを自動修正
1つ目の事例は、ロシアと関係する国家支援のスパイ組織だ。報告書上のコードはGTG-20006。Anthropicは公開報道において、ミッドナイト・ブリザードと呼ばれる組織と一致すると評価した。
標的は、ウクライナと欧州の政府機関、軍・情報機関、外交・国防組織だった。米国の外交政策に関係する人物も対象に含まれていた。
この組織は攻撃のかなりの部分をAIで自動化した。マルウェアがセキュリティ製品に検知されたかどうかもAIが監視した。検知が確認されると、AIエージェントが既存の検知を回避できるようマルウェアを修正して再ビルドした。検知されなくなるまで、この作業を繰り返すよう設計されていた。
攻撃経路も多様だった。ホテル宿泊客向けのWi-Fiを運営する少なくとも3社に侵入してDNS設定を変更した。その後、宿泊客を自分たちが運営するサーバーへ誘導し、Windows、Android、iOS端末を狙うマルウェアを送り込んだ。
WhatsAppのアカウントも奪取した。被害者に気付かれにくいよう既読表示を隠したまま、ロシア語とウクライナ語の会話を大量に取得した。ウクライナの元高官少なくとも2人も攻撃対象となった。
ドローンのサプライチェーンも主要な標的だった。ドローン部品メーカー少なくとも2社のメールを大量に盗み出し、軍用ドローン企業も狙った。ドローン映像システムの独自ソフトウェア開発キット全体を盗み出した後、製品構造や部品構成、サプライチェーン情報まで分析した。
北アフリカのある政府系技術機関からは、30万件を超える国家身分記録と、50万社以上の企業登記情報を盗み出した。
◆ アプリ180万個をリバースエンジニアリング
2つ目は、金銭目的のサイバー犯罪組織だ。報告書上のコードはGTG-50014。
Anthropicは、シャイニーハンターズと関係する複数の攻撃者を追跡した。そのうちフランス語を使う運用担当者は、AWSサーバー10台を利用して大規模な認証情報収集システムを運用していた。
このシステムは複数のアプリストアからAndroidアプリのインストールファイル180万個をダウンロードした。これらを自動的に逆コンパイルし、コード内に露出したパスワードやAPIキーなどのアクセス情報を探し出した。確認された結果はリアルタイムでTelegramに送信された。
攻撃者は入手した情報を実際の侵入に利用した。技術サービス企業からは1テラバイトを超えるデータが流出した。数十万件の国家識別番号と数百万件の決済カード記録が含まれていた。航空会社では、数千万件の乗客記録が保存されたシステムにアクセスした。
侵入の速度も速かった。企業向けソフトウェア企業では、最初のアクセスから大量のデータを盗み出すまで数時間しかかからなかった。別の事例では、盗んだ開発者トークン1つを足がかりに、被害企業のクラウド全体の管理者権限を得るまで約3時間だった。
Anthropicはこうした攻撃手法を「バイブ・ハッキング」にたとえた。攻撃者が大まかな目標だけを与えると、AIが環境を把握してスクリプトを作成する。その後、実行と結果の確認、修正を繰り返す。攻撃者が被害システムの構造を完全に理解していなくても、攻撃を継続できる方法だ。
◆ 中国の大学生、ゼロデイ工場
3つ目は、中国語圏の組織だ。報告書上のコードはGTG-10007。
Anthropicは、運用担当者が中国湖南省長沙市にいる可能性が高いと評価した。運用担当者のうち2人は、湖南省のある大学でコンピューター・通信工学を学ぶ学部生であることが確認された。
この組織は、攻撃ツールの作成だけでなく、作戦全体の設計と運用にもClaudeを利用した。外国政府機関の偵察と侵入、セキュリティ製品の脆弱性研究、マルウェア開発、情報収集を複数の作業に分け、同時に進めた。一部のシステムは運用担当者が席を離れている間も稼働し続けた。
脆弱性研究の過程も自動化した。ネットワーク機器のファームウェアやプログラムを逆コンパイルした後、AIが構造を分析した。脆弱性の仮説を立て、攻撃コードを作成して実験環境でテストした。失敗するとコードを修正し、成功するまで繰り返した。
この方法で、1カ月の間にゼロデイの可能性がある脆弱性を10件以上発見した。既知でなかった脆弱性の一部は、攻撃者が独自の実験環境で実際に確認した。
情報収集にもAIが使われた。常時稼働する13のAI収集エージェントが、スケジュールに沿って米国の軍・政府の公開サイトや契約公告などを収集した。標的全体は、教育・流通・エネルギー・技術・医療・金融・製造分野や政府機関など、約50カ所に及んだ。
実際の被害も発生した。ある教育テクノロジー企業では、学生の個人情報数百メガバイトが流出した。東南アジアの政府機関では、氏名、電話番号、住所を含む市民記録を入手した。
◆ ハッカー1人で欧州の政界を攻撃
個人のハッカーがAIを利用して複数の組織を同時に攻撃した事例も確認された。報告書上のコードはGTG-50029。Anthropicはこの人物を、フランス語を使う単独攻撃者と把握した。報告書では、別の組織や所属先は明らかにしていない。
今年、欧州の政党や報道機関、シンクタンクを相次いで狙った。これらが利用するSaaS企業も攻撃対象に含まれた。露出したAPIキーを探し出す独自の検索ツールを作り、複数のAIエージェントに偵察、コードレビュー、脆弱性確認を分担させた。
Claudeを使い、これまで知られていなかったWordPressの再インストール過程における脆弱性も発見した。攻撃方法の作成とテストにもClaudeを活用した。実際の攻撃は、少なくとも4つのウェブサイトで成功した。
被害は政治関連情報にも及んだ。政治キャンペーン管理プラットフォームから、利用者の政治的見解を含む約14万件の記録を盗み出した。
Anthropicが注目したのは、攻撃者が1人だった点だ。複数人で分担していた偵察や脆弱性分析、攻撃コードの作成などをAIエージェントに割り振った。報告書は、個人の攻撃者がAIを利用して作戦の規模を拡大した事例だと評価した。
◆ AI企業30社を攻撃
AI企業と、まだ公開されていないAIモデルまで犯罪組織の標的になった。報告書上のコードはGTG-50020。
ロシア語を使う犯罪組織による攻撃だ。以前はホテル予約会社やフィンテック企業を主に狙っていたが、その後、AI業界へと標的を広げた。
最初の攻撃は、あるAI企業の自動評価システムを狙った。攻撃者は評価用サンドボックスに悪意ある指示を埋め込み、複数のAI企業のAPIキーを盗み出した。入手したキーは、その後の攻撃に再利用された。
攻撃は急速に拡大した。組織は約4日間にわたり、AI企業30社に同じ手法を繰り返し試みた。ある企業で見つけた攻撃経路を、別の企業の環境に合わせて少しずつ変え、適用する方法だった。
最終的な目標は、まだ公開されていないClaudeモデルへのアクセスだった。そのために10種類以上の経路を試したが、すべて失敗した。Anthropicのシステムが直接突破されたわけでもなかった。攻撃に使われたAPIキーは、すべて顧客企業の環境から盗まれたものだった。
Anthropicはこの事件について、AI業界のサプライチェーンそのものが犯罪組織の攻撃対象になったことを示す事例だと評価した。AIモデルを直接ハッキングしなくても、顧客企業のAPIキーや評価システムなど、周辺の接続点を先に突破してアクセスできるためだ。
◆ 偽のClaudeでアカウントを奪取
Claudeを餌に利用した犯罪も登場した。報告書上のコードはGTG-50021。Claudeを安価に利用できるとうたい、偽のサービスを販売した。
しかし利用者が実際に受け取ったのはClaudeではなかった。入力したリクエストは密かに別のAIモデルへ送られた。インストーラーには、Anthropicのアカウント情報を盗み出す機能まで隠されていた。
盗まれたアカウント情報は、別のAI仲介業者に再販売された。こうして入手したアカウントやAPIキーは、攻撃者が自分の資金を使わずにAIを利用するために使われた。犯罪活動を正規利用者の利用に見せかける効果もあった。
Anthropicは、AIのアカウントやAPIキーも、パスワードやクラウドのアクセス情報と同様に管理すべきだと警告した。出所の不明な仲介業者を避け、公式の販売経路を利用するよう勧告した。
◆ AIがハッキングのコストを引き下げる
報告書に登場するサイバー事例を貫く変化は、新たなハッキング技術の登場ではない。既存の攻撃を、より少ない人員で、より速く実行できるようになった点にある。
偵察や脆弱性分析、攻撃コードの作成、侵入、盗み出したデータの整理まで、AIが担う範囲が広がった。かつて複数人で分担していた作業を、個人の攻撃者が同時に進める事例も現れた。実際、一部の侵入は2～3時間で完了した。
Anthropicはこのため、国家支援組織と個人攻撃者の間に存在していた人員とツールの格差が崩れつつあると診断した。高度な攻撃が行われたという事実だけでは、背後の組織の規模や能力を推測することも難しくなった。国家レベルの組織と小規模な犯罪集団を分ける基準も、技術力より攻撃目的に近づいているという説明だ。
ただし、人間の役割が消えたわけではない。攻撃対象を決め、どの情報を盗むかを判断する際には、依然として人間が関与した。AIは攻撃者に取って代わったというより、攻撃の速度と規模を拡大する道具として使われた。
Anthropicは、検知した活動を遮断し、調査結果を安全対策に反映したと明らかにした。必要に応じて、関連情報を当局や業界のパートナーとも共有した。
今回の報告書に収録された事例が、Claude悪用の一般的な姿を示しているわけでもない。Anthropicは、これまで確認した事例の中から、特に注目すべきものや新たな脅威を選んで公開したと説明した。
報告書を公開した目的も明確にした。他のAI開発企業が自社のプラットフォームで同様の悪用パターンを発見し、政府や市民社会が新たに登場する脅威を把握できるよう支援するためだ。AIの悪用に対する共同対応を強化する趣旨も盛り込まれている。