米AI企業アンソロピック（Anthropic）は9月10日、自社の生成AI「Claude（クロード）」が悪用された事例と、それを遮断した経緯をまとめた報告書を公表した。2025年12月から2026年8月までの8か月間に確認したもので、サイバー攻撃、世論工作、監視、詐欺、生物学的悪用、通常兵器の開発、無断の「蒸留」という7つの分野にわたる。悪用に使われたのは同社のHaiku、Sonnet、Opusの各モデルで、上位のFableとMythos級については、蒸留の1件を除き確認されなかったとしている。
報告書を通して同社が繰り返すのは、新しい攻撃手口が現れたわけではない、という見立てだ。盗まれた認証情報、修正プログラムが当たっていないネットワーク機器、公開されたままのサービス、SQLインジェクション、フィッシング——報告書に並ぶ手口は、防御側がこれまで見たことのないものではない。変わったのは攻撃の採算だと同社は書いている。
手口は新しくない、変わったのは採算
従来、資金と人員を持つ組織と、それ以外の攻撃者を分けていたのは手口の新しさではなく労力だった。標的の調査（偵察）、侵入、道具の開発、奪ったデータの処理——いずれも人手と時間を要する作業で、ここに人を割けるかどうかが規模を決めていた。報告書は、その労力がいまAIモデルへ委ねられ、機械の速度で並行して走るようになったと指摘する。
結果は数字に出ている。企業への侵入が2〜3時間で完了した事例、1人の攻撃者が数十の被害者を同時に扱った事例が報告書に並ぶ。ある企業向けソフトウェア会社への侵入では、最初に入り込んでから大量のデータを盗み出すまでが数時間で済んだ。別の事例では、盗んだ開発者用の通行証1枚から、被害者のクラウド環境の管理権限をすべて握るまでに約3時間しかかかっていない。
同社はこれを攻撃側の採算の話として整理する。AIによる自動化は、1回の作戦にかかる技能の水準と人手を押し下げる一方で、得られる見返りはほとんど変えない。だから、これまでは手間に見合わなかった標的が狙う価値を持つようになり、数をこなして1件ごとは浅く済ませる作戦が増えると見ている。
自律の度合いには幅がある 人が握り続けたのは標的選びと収益化
AIの使われ方には幅があった、というのが報告書の整理だ。一方の端では、Claudeは会話の相手として使われ、マルウェア（悪意のあるプログラム）やフィッシングの道具、監視の仕組みを作る技術助手として働いていた。その先では、攻撃者がClaudeに被害者のネットワークへ命令を打たせ、認証情報を集めさせ、データを抜き出させたが、どこを狙うかは人が1件ずつ決めていた。
最も遠い端では、人の入力や監督が最小限のまま作戦が走った。複数のAIが役割を分けて偵察・侵入・窃取を担い、複数の被害者に対して並行して、数時間から数日にわたって動き続けた事例がこれにあたる。あらかじめ決めた時刻表に従って、人が一切介在しないまま情報収集を続けていた一団もあったという。
ただし同社は、ここに2つの但し書きを添えている。1つは、人間が自分にとって重要な判断は手放していないことだ。どこを狙うかの選定、盗んだ情報を金に換える段取り、結果の確認——これらには依然として人が深く関わっている。もう1つは、自律の度合いと被害の大きさは別の軸だということ。自律化は作戦の規模と速度を増し、費用と複雑さを下げるが、被害がどれだけ深刻になるかは別の要因で決まる。報告書が挙げた最も深刻な侵害のいくつかは、人が一歩ごとに指示を出していた作戦から出ている。
脅威を調べる側にとっては、別の変化が起きている。手口がどれだけ高度かは、誰の仕業かを見分ける手がかりにならなくなった、と同社は書く。偵察から道具の開発、データ処理、侵入まで、攻撃のあらゆる段階がAIで底上げされたためだ。2025年11月に同社が記録した自律攻撃の運用形態は、今回調べたあらゆる層の攻撃者へ広がっていた。PentAGIのような公開されている攻撃用の枠組みが、同じ足場をダウンロードする誰にでも用意してしまうからだという。
ロシア諜報GTG-20006 検知されたらAIがマルウェアを作り直す
ロシアの国家的な諜報活動とみられるグループ（同社の識別符号でGTG-20006）は、ウクライナやヨーロッパの政府の軍事情報関係、外交・防衛組織、米国の外交政策に関わる個人を狙った。同社は、このグループを「Midnight Blizzard」と結びつける公開報道と自社の分析が一致するとしている。オペレーターの1人は「JackPoterz」という名前を使うロシア語話者だった。
道具立ては自作で、Windows向けの2系統の侵入プログラム、携帯端末を攻略する一式、ブラウザに保存された合言葉を狙う窃取ツール、政府組織など重要な標的を模したフィッシングの基盤、奪ったアカウントを管理する管理画面からなる。侵入した組織は20を超え、AIを使って数百ギガバイトのデータを抜き出し、整理させた。盗み出しは、侵害したメールボックスからの一括書き出しで行われた場合もあった。
目を引くのは、検知されたあとの動きだ。このグループは、自分の道具がセキュリティ製品に見つかっていないかをAIに監視させていた。配置したマルウェアが検知されたと監視役のAIが判断すると、AIはそのマルウェアを自分で書き換えて作り直し、検知を逃れる作業に取りかかる。検知されなくなるまで繰り返す設計で、そこまで到ったものが実際の作戦に投入された。報告書は、このグループが道具一式を検知されたら自動で作り直して再配置する手順を組んでいたと記している。
中国側の実行役は湖南省の大学生2人 1か月で12件以上の未知の欠陥候補
もう一つの諜報活動（GTG-10007）では、実行役の素性が具体的に書かれている。同社によると、オペレーターは中国湖南省長沙に住んでいるとみられる中国語話者で、うち2人は湖南の大学のコンピュータ・通信工学部で学ぶ学部生だった。1人は中国のセキュリティ企業Sangforでインターンを経験し、別のセキュリティ企業QiAnXinの攻撃的なサイバー作戦の職に応募して面接を受けている最中だった。
このグループが狙ったのは約50組織で、教育、小売、エネルギー、技術、医療、金融、製造、それに世界各地の複数の政府機関にまたがる。教育技術の会社に侵入してクラウド保管庫から学生の個人データを数百メガバイト分抜き出し、小売企業では本番システムに到達して稼働中の環境を書き換えられることを実証した。東南アジアの政府機関からは、氏名や電話番号を含む市民の記録を取り出している。
同社が「ゼロデイ工房」と呼ぶ作業手順も明かされている。ゼロデイとは、修正プログラムがまだ出ていない未知の欠陥を指し、見つかれば防御側は手の打ちようがない。手順はこうだ。まず機器のファームウェアやプログラムを解析ツールに読み込ませる。助手役のAIがその中身を見渡し、解析と参照関係をたどっていく。報告書によると、この過程では数千回の解析呼び出しが走り、連続した解析の列が処理の大半を占めた。AIは自分で蓄えた知識と過去の実証例に照らして、どこに欠陥がありそうかの仮説を立てる。ネットワーク機器を対象にこの手順を回し続けた1つの作業では、1か月で12件以上の未知の欠陥の候補が得られた。
作業の流れは並行して複数走っていた。侵入を実行する流れ、外国政府の偵察、セキュリティ製品を逆解析して新しい欠陥を探す流れ、独自のマルウェアの開発と試験、情報を集める基盤の構築と維持——それぞれが別の流れとして動いていた。オペレーターは「エージェント群」をよく使い、先導役のAIが偵察と侵入後の作業を細かく分け、並行して走る多数の下請けAIへ割り振った。標的の一覧、奪った認証情報、どこまで進んだかの状態、常設の指示は作業の合間をまたいで保存され、次の作業はそれまでの文脈を引き継いで途中から再開できた。
狙われたセキュリティ製品のうち中心に据えられたのは、侵入を検知するために導入される種類のソフトウェアだった。防御のために置かれた製品を解析して未知の欠陥を見つけ、それを攻撃者自身の試験環境で成立すると確かめたうえで、同じ機器を使っている政府機関へ試していた。国内の中国企業十数社も偵察の対象に入っていた。
1テラバイト超の流出と、AI APIキーの窃取
金銭目的のグループ（GTG-50014。同社は「ShinyHunters」の関係者と記している）では、被害の大きさが際立つ。ある技術サービス提供企業からは1テラバイトを超えるデータが流出し、その中には数十万件の国民識別番号と数百万件のクレジットカードの記録が含まれていた。攻撃者は盗んだ資料を公開サイトに置き、身代金の支払いを迫った。航空会社では数千万件の乗客記録を持つシステムに到達し、エネルギー企業では、顧客の自宅に設置された電気自動車の充電器の充電電流を遠隔で操作できると攻撃者側が主張していた。
このグループの中では役割が分かれていた。フランス語話者のオペレーター1人は、クラウド上の計算機10台に処理を分散させ、複数のアプリ配布元からAndroidアプリ180万本を一括で取得して中身を展開し、プログラムに直接書き込まれたまま残っている秘密情報を探す仕組みを回していた。見つかった情報は、100種類以上の提供元別に整理されたチャットの集まりへ、その場で送られていた。
取引先を経由して被害を広げる役もいた。この担当は、ソフトウェアをネット経由で提供する事業者に侵入し、そこを足がかりにして、その事業者の取引先である約200の組織のデータを引き出した。さらにログイン状態の保管領域を丸ごと書き出し、40社を超える企業の利用枠にまたがる2100組以上の「Azure ADトークン」を約34時間で抜き出した。トークンはログイン済みであることを示す電子的な通行証で、奪われれば合言葉を知らなくても本人になりすませる。この一連の作業は、ほぼすべてをAIが行ったと報告書は書いている。
同社がもう一つ指摘したのは、AIそのものが攻撃の資源として狙われたことだ。攻撃者は複数の侵入先で、標的が業務ソフトの提供元から得ていたAIのAPIキー（AIを呼び出すための鍵）を盗み出していた。盗んだ鍵の1つは約3週間にわたって次の攻撃に使われ、フランスの小売チェーンの侵害や、別の組織への探索に使われた。防御の世界には、侵入先にもともとある道具だけで攻撃を進める「現地調達」という言い方がある。報告書は、攻撃者がこれをAIにも当てはめ、AIの供給網そのものを標的としても資源としても扱ったと書いている。関係したAPIキーはいずれも同社の顧客環境から盗まれたもので、同社自身のシステムが侵害されたわけではないとしている。
攻撃者のAIの使い方について、報告書は「雰囲気ハッキング（vibe hacking）」という言い方も紹介している。「この認証情報を使え」「この範囲の標的からデータを取れ」といった大まかな目標だけを与え、環境の見極め、処理手順の作成と実行、要約、終わるまでの繰り返しをAIに任せる型だ。オペレーター自身は、個々の侵入先の事情や、価値ある情報がどこにあるかを直接は理解していないことも多かったという。
世論工作はフランスの広告代理店 8913本を出しても読者は付かなかった
世論工作では規模が際立つ一方、効果は限られていたと同社は評価している。6大陸の読者を対象にした商用の工作は、偽のニュースサイト約70個を運営し、記事を広めるX（旧ツイッター）のアカウント約70個に加え、コメント欄を埋めるための偽アカウントを250個以上使い分けていた。網の目は地域ごとの独立した報道機関のように見せかけてあったが、同社は実体をフランスに拠点を置くデジタル広告代理店「LKM Company」まで辿った。
この網は特定の政治思想に従っていたわけではない。その時に金を払っている相手に応じて、支持する政治的立場を入れ替えていた。同社は、情報操作や世論の誘導、特定の政治的主張の後押し、個人への中傷を請け負う「影響力のサービス化」と呼ばれる形態に当てはまると述べている。狙われたのは米国、ブラジル、フランス、コンゴ民主共和国（DRC）で、政治環境がまったく違う国が並ぶことから、単一の政治的意図は読み取れないとした。コンゴとルワンダの紛争に利害を持つ顧客の意向を反映している可能性を示す兆候は見つけたが、どの顧客が発注したかは独自に確認できず、政府による指示の証拠も見つからなかったという。
記事の作り方も明らかにされている。網はClaudeへの指示に決まった出力の形式、整えたHTML、正確な文字数の上限、1記事あたり3〜4本の内部リンクを要求し、大量の記事を自動で生成して公開していた。記事は検索エンジンでサイトの評価を上げるように設計されていた。手口は3つに集約される。同じ元記事を、読者層に応じて正反対の思想の方向へ書き換える。もともと政治色のない記事に政治的な角度を加える。そして、国境を越えて元の文脈を剥いだまま、無関係な地域へ記事を流し込む。
それでも読者は付かなかった。同社は早い段階で遮断したとして、網が少なくとも8913本の記事を約20の言語で出していたものの、確認した内容の大半は実在の読者からの反応をほとんど生んでいなかったと述べている。世論工作の影響度を測るブルッキングス研究所の「ブレイクアウト・スケール」に当てはめると、自分たちのサイトと連動する社会的な投稿の中で拡散しただけで、その外へ広がった証拠はない段階にとどまる、という自己評価だ。
規模が最も大きかったのはマレーシアの選挙を狙った事例だ。工作の基盤は1000個を超える偽のXアカウントを管理していた。それぞれに、実在する利用者らしく見せるための「慣らし」の仕組みが備わり、接続情報を定期的に入れ替えて検知を避けていた。管理画面には、標的ごとに人工的な閲覧数をどこまで積むかを調整する項目まであった。工作は実際の国勢調査や選挙のデータ、数百万件の有権者記録を使い、下院の222選挙区すべてについて、人種・宗教・王室というこの国で最も敏感な断層を狙っていた。同社は、現職のマレーシア首相を後押しする依頼も観測したとしている。
無断の「蒸留」と、ドローン群の開発
7分野の一つに挙がった「蒸留」は、耳慣れない言葉だ。他社のAIに大量の質問を投げて回答を集め、その回答を教材として自社のモデルを鍛える手法を指す。優れたモデルの能力を安く写し取れるため、アンソロピックは利用規約で禁じている。報告書は、不正に作った多数のアカウントで回答を収集していた事例を確認したとした。蒸留については、米当局も中国のAI企業6社を名指しして共同で警告している（米当局、中国AI6社が米国製AIを「産業規模で蒸留」と警告 OpenAIとアンソロピックも遮断を公表）。
通常兵器の開発では、ロシアに拠点を置くとみられるフリーランスの攻撃者が、一人称視点（FPV）の自爆ドローンを群れで動かす仕組みを、土台から作ろうとしていた事例が挙げられている。使われたのはプログラム作成用のClaude Codeで、攻撃者自身の作業ファイルに直接コードを書き込ませ、試験まで行わせていた。作戦は「DronDoc」または「Serafim」と呼ばれていた。作らせたのは、ドローン同士が記憶を共有して1機が落ちても連携を保つ仕組み、攻撃・観測・基地帰還の振る舞いを決める機体搭載の小型言語モデル、搭載カメラで標的へ機体を導いて爆発の指示を出す終端誘導、相手のドローン操縦者の位置を突き止める通信回線の探知、音を拾う受動的な探知層などだ。同社は、この開発段階を技術成熟度で3〜4の水準と評価している。実験室での原理確認から、構成要素の試作に取りかかった段階にあたる。
痕跡データを公開、日本も警戒
同社は各事例で関係アカウントを停止し、得られた知見を安全対策の強化に反映したうえで、当局や業界の関係者と情報を共有したと説明する。あわせて「IOC」と呼ばれる侵害の痕跡データも公開した。攻撃に使われた接続先やファイルの識別子を並べた一覧で、他社の防御担当者が同じ手口に襲われていないかを自ら点検できる。公開された痕跡データは誰でも入手でき、自社の通信記録と突き合わせて被害の有無を確かめられる。
報告書が「新しくない手口」として挙げた未修正のネットワーク機器は、日本でも侵入経路の中心にある。ランサムウェア被害の報告、2026年上半期は123件で過去最多 侵入経路はVPN機器が18件で半数 バックアップからの復元は40件中11件で伝えたとおり、警察庁が把握した侵入経路はVPN機器が半数を占めた。中国語話者のグループが解析の標的に選んだのも、まさにこの種の通信制御機器で、国内ではF5の通信制御機器に認証なしで遠隔操作される欠陥 すでに悪用 JPCERT/CC「国内で広く利用」 深刻度は10点満点の9.8のように、広く使われている機器の欠陥が実際に悪用される例が続いている。
日本政府もAIの悪用に神経をとがらせている。内閣府によると、人工知能基本計画（第Ⅱ期）は令和8年7月14日に閣議決定された。同社のアモデイCEOは、アンソロピックのアモデイCEO、AI開発の「減速」提唱 第三者の評価者を社内に常駐させ従業員並みの権限 アルトマン氏「我々も同じことをする」で伝えたとおり、開発の速度そのものを緩める必要があると主張している。
報告書の結びで同社は、小さな犯罪集団と国家が後ろにいる組織の両方を取り上げたうえで、AIの普及が土俵を平らにし、どちらも同じ高度な能力に手が届くようになったと述べている。両者を分ける主な特徴は、もはや手口の高度さではなく、何をしようとしているかという意図だ——盗んだAPIキーを使う政治的ハッカー、携帯アプリから認証情報を集める金銭目的の一団、国家に連なる諜報のオペレーター。この3者が、かつてなら専門家の集団を必要とした多数の被害者に対する作戦を、いずれも似たやり方で動かしていた。