Anthropicが公開した脅威レポート「Countering misuse of AI: September 2026」は、2025年12月から2026年8月にかけて同社の大規模言語モデル「Claude」を悪用しようとしたサイバー脅威活動の分析結果をまとめたものだ。同社の脅威インテリジェンスチームは、金銭目的の犯罪集団や国家を背景に持つスパイ組織、政治的動機を持つ個人による悪用作戦を特定し、アカウント停止や防御措置を実施した。

　企業のシステム管理者にとって衝撃的な事例の1つが、サイバー犯罪グループ「ShinyHunters」の関連アフィリエイト（同社がGTG-50014と命名）による攻撃だ。同グループは、開発者の不用意な公開情報や脆弱（ぜいじゃく）な設定から認証情報を組織的に収集し、標的ネットワークへ侵攻する手口を展開した。

　あるフランス語圏の攻撃者は、AWS EC2インスタンス10台で構成される分散型の認証情報収集パイプラインを構築していた。Google Playストアなどのアプリ配信元から180万個のAndroidアプリ（APKファイル）を一括ダウンロードして逆コンパイルを実施。シークレットスキャンツール「TruffleHog」を走らせてソースコード内にハードコードされたAPIキーやセッショントークンを抽出した。さらにGitHubの公開リポジトリからも個人アクセストークンを収集し、検証に成功した鍵情報をメッセージアプリ「Telegram」のグループへ即座に送信していた。

　流出したAPIキーがもたらす侵入速度は従来の想定を超えている。あるエンタープライズソフトウェア企業の事案では、最初のアクセスから大量データの窃取までわずか数時間しかかからなかった。別の被害企業では、たった1つの開発者トークンが奪われた直後、AIエージェントが権限昇格を自動試行し、約3時間で被害企業のクラウド環境全体の管理者権限を掌握した。

　攻撃者は侵入後、内部データストアをAIに探索させ、SaaS事業者のシステムを踏み台にして下流の顧客組織にまで触手を伸ばした。あるSaaSベンダーへの侵入では、AIエージェントを用いて約200社の下流顧客のデータを抽出、40以上の企業テナントにまたがる2100組以上のAzure ADトークンセットを約34時間でダンプすることに成功した。攻撃者が各システムの仕様を詳細に把握していなくても、大まかな指示を与えるだけでAIが環境を自律調査し、スクリプトを作成して実行を繰り返す「バイブハッキング」が実用化されている。

検知を自律回避するマルウェアとエージェント型キルチェーン

　国家主導のサイバー作戦でも、AI導入による作戦テンポの急激な加速が確認された。ロシアの国家支援グループ「Midnight Blizzard」との関連が指摘される「GTG-20006」は、ウクライナや欧州の防衛関連組織、ドローン技術のサプライチェーン企業を標的としていた。

　同グループの特徴は、サイバーキルチェーンの全行程をAI主導のワークフローで自動化した点にある。偵察、インフラ調達、フィッシングメール送信、指令サーバ（C2）を通じた潜伏、機密データ抽出に至る一連の作業がAIエージェントによって統合管理されていた。

　従来、セキュリティベンダーが新たなシグネチャを作成してマルウェアをブロックすると、攻撃者は検知回避用のツール開発にコストと時間を強いられてきた。しかしGTG-20006は、セキュリティ製品による検知状況をAIエージェントに常時監視させていた。配備したマルウェアがセキュリティツールに検知されたことを把握すると、別のAIエージェントが自律的にソースコードを修正して再ビルドを実行し、検知をすり抜ける状態になるまで修正サイクルを反復した。完成したマルウェアは、使い捨てのホスティングサーバへ自動配備された。

　この仕組みにより、攻撃者は防御側が検知ルールを配布するよりも早い速度で防御を突破するループを完成させた。同グループはホテルのゲスト向けWi-Fi機器の管理権限を乗っ取ってDNSハイジャックを行い、接続した宿泊客のトラフィックを偽サーバへ誘導してマルウェアを感染させる手口も採用していた。さらに、オープンソースの自動化ライブラリとヘッドレスブラウザを組み合わせ、被害者のWhatsAppアカウントを勝手に連携させて未読通知を消去しながらウクライナの元高官を含むメッセージ履歴を一括窃取していた。

24時間稼働する脆弱性発掘ファウンドリ

　攻撃の高度化だけでなく、攻撃リソースの自動生成も現実となった。中国・湖南省長沙市を拠点とする「GTG-10007」は、学生2人を含む小規模な体制ながら、教育、小売、エネルギー、金融、製造、複数国の政府機関など約50組織を標的とする持続的なスパイ作戦を展開した。

　同グループは、主要なエンドポイントセキュリティ製品やネットワーク機器を対象とした「自律型エクスプロイト発掘所」を構築していた。ファームウェアやバイナリファイルを逆コンパイラに読み込ませ、AIアシスタントに何千回もの逆コンパイル処理と相互参照を実行させた。AIは蓄積されたナレッジベースをもとに脆弱性の仮説を立て、その仮説を実証する攻撃コードを自律的に記述。実験環境内の実機でテストを繰り返し、成功した攻撃チェーンを自身のポートフォリオに登録していった。ネットワーク機器に対する継続的なワークフローにより、わずか1カ月で十数件のゼロデイ脆弱性の候補が発見された。

　作戦運用面では「エージェントスウォーム」と呼ばれる手法が多用された。リーダー役のAIエージェントが偵察や侵害後の作業を細分化し、並列稼働する多数のサブエージェントにタスクを分散した。また、過去のセッションで得られた標的リストや奪取した認証情報、交戦状態を永続的なキャンペーンメモリとして保存することで、作業者が席を外している夜間や休日でも情報収集フリートが米軍や政府機関の公開サイトを自動巡回して機密情報を収集し続けた。

狙われるAIサプライチェーンと不正再販市場

　AIが攻撃能力を劇的に引き上げる武器となった結果、攻撃者コミュニティーにおいてAI自体のAPIキーや認証トークンが価値の高い標的物として扱われている。

　標的の環境から盗み出されたAI APIキーには3つの価値がある。1つ目は闇市場での転売価値、2つ目は攻撃ワークロードを被害企業の費用負担で実行できる計算資源の獲得、3つ目は攻撃トラフィックを正規ユーザーの通信に見せかける隠蔽工作だ。あるハクティビストグループ（GTG-50029）は、公開コンテナから盗み出したAPIキーをローカルプロキシで分散ローテーションさせ、正規ユーザーの通信に偽装しながら約1カ月にわたって作戦を展開した。

　また、正規のAIプロバイダーを装った悪質な再販業者も浮き彫りになった。「GTG-50021」などの犯罪集団は、Claudeなどの先端モデルを低価格で利用できるとうたうWebサイトを開設した。しかしその実態は、利用者のプロンプトを安価な別モデルに中継しつつ、利用者が端末にインストールした専用アプリを通じてAnthropicのアカウント認証情報やAPIキー、ブラウザ内のセッショントークンを盗み出すクレデンシャルハーベスターだった。盗まれた鍵情報は別の不正再販業者に転売されていた。

　さらに、企業が導入するAIラッパーサービスやサンドボックス環境に対するプロンプトインジェクション攻撃も確認された。オープンソースのAIゲートウェイ「LiteLLM」の実装環境に悪意ある指示文を流し込み、クラウド環境内で保持されていた本番用APIキーを外部へ抽出する事案が複数発生している。Anthropic自身のシステム基盤に対する直接的な侵害は確認されていないが、正規ユーザーがGitHubやアプリ内、設定ミスのあるコンテナ上に露出させたキーが次々と悪用されている。

影響工作・監視・兵器開発への拡散と情シスに求められる転換

　生成AIの悪用は企業インフラへのサイバー攻撃にとどまらず、国家主導の情報操作や国民監視、通常兵器の開発支援へと広範囲に拡散している。

　影響工作の分野では、フランスのデジタル広告代理店が運営に関与していた「GTG-54002」が特定された。この作戦では、約70の偽ニュースサイトと250以上のアカウントを連携させ、同一の元記事をターゲット読者の政治思想に合わせて自動的に書き換えて配信していた。マレーシアの選挙工作プラットフォーム（GTG-84005）では、国勢調査データを取り込んで222の選挙区ごとに人種や宗教の対立軸に合わせた扇動投稿を自動生成するシステムが構築されていた。

　物理的な安全保証を脅かす動きも表面化している。イエメンを拠点とするエンジニアリングセル（GTG-87001）は、民生用の安価なフライトコンピューターを搭載した誘導ロケットや弾道ミサイルの誘導・航法・制御（GNC）ソフトウェアの開発にAIツールを活用した。また、ロシアを拠点とするフリーランスグループ（GTG-27005）は、ウクライナの戦闘映像から学習させた画像認識モデルを搭載し、人間の介在なしに対象を自動識別して自爆突入する1人称視点（FPV）ドローンの群制御システムを設計していた。

　こうした脅威に共通するのは、攻撃側が「機械の速度」で行動し始めている点にある。単一の侵害から管理者権限の奪取、データの持ち出しまでが数時間で完了する環境において、日次のログ点検や人間による承認プロセスを前提とした防御モデルはもはや機能しない。

　情シス部門が自組織を守るためには、境界防御の過信を捨て、シークレット管理とアイデンティティー防御の基準を引き上げる必要がある。具体的には以下の対策が求められる。

• AIサービスのAPIキーを、本番環境のマスター管理者パスワードと同等の最重要資産として再定義すること。開発用コードや公開リポジトリ、コンテナイメージに鍵が混入していないか、CI/CDパイプライン上でシークレットスキャンを強制する
• 開発者トークンやサービスアカウントの権限スコープを厳格に最小化し、数時間から数日単位で自動失効する短期トークンへの移行を進める
• 非正規の割引AI利用を厳禁とし、未承認のAI仲介ツールや不透明なリセラー経由での利用をネットワークレベルで遮断する
• クラウド環境における急激な権限変更やAPIの大量呼び出し、通常と異なるテナント横断のトークン発行をリアルタイムで検知し、自動的にセッションを切断する自律型の検知・対応（XDR/SOAR）体制を整える

　攻撃者がAIのレバレッジを手に入れ、労働力と技術力の制約から解放された今、防御側もまた人間依存の手動対応から脱却し、即応体制の自動化へとかじを切らなければならない。