9月11日、Greg Ottoが「AI lets small actors run state-level hacking campaigns, Anthropic report finds」と題した記事を公開した。サイバーセキュリティ界隈で長年通用してきた経験則——「攻撃が巧妙なら国家ハッカー、粗雑なら素人」——が、AIの登場によって完全に機能不全に陥りつつある。AnthropicがClaudeの悪用事例をまとめた脅威レポートで明らかにした現実は、「攻撃の洗練度はもはや攻撃者の素性を示す指標にならない」という一言に集約される。

AIが「洗練度」という従来の判断軸を無効にした

サイバーセキュリティの世界では長年、攻撃の洗練度（sophistication）が攻撃者の素性を判断する重要な指標だった。複雑な手口＝国家支援ハッカー、粗雑な手口＝アマチュアや一般犯罪者、という経験則だ。

Anthropicが公開した脅威インテリジェンスレポートは、この前提が崩壊しつつあることを具体的な事例で示している。対象期間は2025年12月から2026年8月。サイバー作戦、影響力工作、監視、詐欺・不正、生物兵器悪用、通常兵器開発、蒸留攻撃（distillation）の7分野にわたる。

レポートはこう述べている。

「脅威インテリジェンスの調査員にとって、洗練度は誰が操作を行っているかを示す信頼できる指標ではなくなった」

ハクティビスト、散発的な犯罪者集団、国家諜報機関のいずれも、「1年前なら多くの熟練オペレーターと専門知識を必要としたキャンペーン」を実行していたという。

4つの主要事例

1. ロシア系スパイ活動：マルウェアをAIが自律的に改変

最も規模が大きかったのが、「JackPoterz」というハンドルネームを持つ人物による作戦だ。行動パターンはMidnight Blizzard（旧Cozy Bear、SVR関連とされるロシアの脅威グループ）と一致するとされる。

この攻撃者は以下を組み合わせたカスタムツールキットを使用していた：

• Windowsベースの2系統のインプラント（バックドア）
• モバイル端末向けエクスプロイトキット
• ブラウザのパスワードストアを狙う認証情報窃取ツール
• 政府機関などを模したフィッシングプラットフォーム
• 侵害済みアカウントを管理する管理コンソール

特に注目すべきはマルウェアのAV（アンチウイルス）回避の仕組みだ。AIがセキュリティ製品による検知を監視し、検知が発生するとエージェントが自律的にマルウェアを改変・再ビルドして既存の検知を回避したという。

ターゲットはウクライナ・欧州の軍事情報機関、外交・防衛組織、米国外交政策関係者に及び、北アフリカのある政府機関から30万件以上の国民身分証明記録と50万社超の企業登記データを窃取。ドローン部品メーカーのメールボックスを一括エクスポートし、未発表製品の詳細を含むドローン視覚システムのSDK（ソフトウェア開発キット）も入手している。さらにホテルのWi-Fiベンダーを経由したDNSハイジャック、ヘッドレスブラウザによるWhatsAppアカウント乗っ取りも実施していた。

2. 中国人大学生によるゼロデイ量産工場

中国の大学に在籍する学部生2名が関与する事案では、Claudeを24時間稼働の脆弱性調査に活用していた。ネットワーク機器のファームウェアを対象としたワークフローは「1ヶ月で十数件の潜在的なゼロデイ」を生成。リードエージェントが複数のサブエージェントに作業を分散させる「エージェントスウォーム」構成を採用し、セッションをまたいだキャンペーン記憶も維持していた。

3. ShinyHuntersによる34時間のクラウド総攻撃

犯罪グループShinyHuntersの関係者は、サプライチェーン侵害を起点に約34時間で40社超の企業テナントにわたる2,100件以上のAzureアクセストークンをダンプした。「AIエージェントがほぼすべての作業を実行した」とレポートは述べている。別の侵害では、開発者トークン1件の窃取から約3時間で標的のクラウド環境を完全掌握している。

4. 蒸留攻撃：中国AI企業がClaudeの出力を無断収集

レポートは蒸留攻撃（distillation attack）にも1章を割いている。蒸留攻撃とは、大規模言語モデルの出力を大量に収集し、自社モデルのトレーニングデータとして利用する手法だ。一見すると利用規約違反の問題に映るが、その実態は単なる規約逸脱にとどまらない。フロンティアAIモデルが持つ能力を無断で「転写」する行為は、AI開発における技術的優位性の窃取であり、安全保障上の輸出管理規制の抜け穴として機能しうる点が問題視されている。

Anthropicは、Alibaba、DeepSeek、Moonshot AI、Xiaomi、Zhipuを含む中国の7つの研究機関が2026年2月以降にこれを実施したと主張している。中でもAlibabaの関係者が行った攻撃は1日あたり最大約300万件のやり取り、3,500件超の不正アカウントから実施された過去最大規模とされ、Claude Opusの出力をQwenのトレーニングに利用していたとされる。

さらにMoonshotとDeepSeekについては、自社ユーザーのリクエストをClaudeに転送し、その回答を自社の回答として返していたと指摘。ユーザーが同意していないデータが外部に送信されていたことになり、その中には人民解放軍（PLA）関係者とみられるユーザーが引き出した、追跡対象個人の監視映像も含まれていたという。Anthropicはこれを「自社のプライバシーポリシーおよび利用規約に反する可能性が高い」と断じている。

なお、この件についてはNSA、CISA、FBIが9月8日付で共同サイバーセキュリティ勧告を発出し、中国のAI企業による米国フロンティアAIモデルの「組織的」な不正蒸留を非難している。

「セキュリティ・バイ・オブスキュリティ」の終焉

レポートはセキュリティ業界への警告で締めくくられている。

「モデルの能力が向上するにつれ、AI開発者と社会の防衛者が安全性向上に行動しない限り、そのリスクは増大し続ける」

「難読化によるセキュリティ（security through obscurity）は、このAI支援の新世界ではもはや成立しない。インターネットに接続されたものすべてが潜在的な攻撃対象となる」

Anthropicは今回、各作戦を阻止し、防護策を強化した上で当局および業界パートナーと情報を共有したと述べている。このレポートは、自社モデルの悪用を透明性をもって開示する取り組みの一環と位置付けられている。

詳細はAI lets small actors run state-level hacking campaigns, Anthropic report findsを参照していただきたい。