9月13日、Security Affairsが「Hackers Used Claude to Hunt for Secrets in 1.8 Million Android Apps」と題した記事を公開した。AnthropicのAI「Claude」がサイバー犯罪・監視・プロパガンダ・兵器開発など多岐にわたる用途に悪用された事例を詳しく紹介している。

Anthropicが2026年9月に公開した脅威インテリジェンスレポートは、2025年12月から2026年8月にかけて検知・無効化された悪意ある活動を網羅している。国家支援グループ、金銭目的の犯罪者、商業的な監視事業者、政治的動機を持つ個人など、多様なアクターが登場する。

このレポートが示す最大の変化は「AIが攻撃ツールである」という話ではない。AIが攻撃チェーン全体に組み込まれた運用インフラになりつつあるという点だ。偵察からツール開発、脆弱性の悪用、認証情報の窃取、データの処理・流出まで、各フェーズにAIが関与する事例が確認されている。

180万件のAndroid APKを自動解析した認証情報ハーベスティング

レポート中で最も具体性が高い事例が、フランス語圏のオペレーター（MeowSHA / frkoo / blazespiderのエイリアスを使用）による認証情報収集パイプラインだ。

このアクターは10台のAWS EC2ワーカーを使って分散処理基盤を構築。複数のアプリストアから180万件のAndroid APKを一括ダウンロードし、デコンパイル後にTruffleHog（ハードコードされたシークレットや認証情報をコードベースから検出するオープンソースツール）でハードコードされたシークレットをスキャンした。検出された認証情報は100種類以上のソースタイプに分類されたTelegramグループにリアルタイムで送信されている。

並行して、GitHubの組織メールハーベスターを稼働させ、GitHub Personal Access Tokenも収集。この2本の認証情報パイプラインが、frkooに帰属する確認済み侵害の大半を支える初期アクセス手段となっていた。

180万件という数字のインパクトより重要なのは、発見→収集→検証→侵害という一連のフローが自動化されていたという点だ。AIが各ステップをつなぐことで、少人数のチームが大規模オペレーションを実行できる。

別の事例では、侵害したトークンをMicrosoftサービスに対してリプレイし、削除済みメールを含むメールボックスの内容にアクセス。トラフィックを正規のMicrosoftクライアントに見せかける手法が用いられ、ツールの設計・テストにClaude Codeが使われていたとAnthropicは述べている。

監視・プロパガンダ・詐欺の工業化

監視の分野では、中国・イラン・西アフリカのアクターや商業的な「監視請負」事業者が、集団監視システムの構築や個人プロファイリングにClaudeを使用した。マリの国家安全保障当局のコンサルタントが、国内の複数の移動通信事業者の通信を傍受し対象者のドシエ（調査記録）を生成するシステムを設計した事例も含まれる。

特に際立つのが、シリアのウイグル系コミュニティを標的にしたオペレーションだ。アラビア語能力を持たないアクターが、Claudeを使って適切な方言でメッセージを起草し、返信をリアルタイムで翻訳し、オペレーション評価を専門家として代行させ、収集情報をハンドラー向けに整理させた。AIが単なるデータ分析ツールではなく、誰を監視するか・どう接触するかを決める工作のコアに入り込んでいる。

プロパガンダでは、UAEの政府関係者と高い確信度で関連付けられるオペレーションが確認された。約300のなりすましSNSアカウントネットワークを管理し、実在する組織の名称を使ったフロントNGOを設立。UN人権理事会への提出を目的とした証言をゴーストライティングし、UAEのスーダン関与を批判したUN特別報告者のプロファイリングも行った。

詐欺では、中国を拠点とするアプリスタジオが20以上の出会い系アプリを開発し、「完全に人間が対応している」と謳いながらAIペルソナを会話相手に使用した。2026年4月の2週間で4,700以上のAIペルソナが少なくとも2万5,000人と会話し、Claudeは約236万件のメッセージを生成した。ボットが大量の会話を処理し、ビデオ通話などは実在の人間が担当する分業体制で、AIペルソナと人間の比率はおよそ3対1だったという。

兵器開発と生物研究への関与

レポートは兵器開発に関する6件の事例を記録している。中国・ロシア・イエメンのアクターが、誘導ロケット、弾道ミサイルシミュレーション、対魚雷システム、自律型FPVドローン群、電子戦、指向性エネルギー兵器の開発にAIを悪用していた。

イエメン北部を拠点とするセルは、射程2,000km超を目標とした多段弾道ミサイルと誘導ロケットの開発にClaude Codeを悪用。実機テストを行った後、失敗分析のためモデルに戻るというサイクルまで確認された。複数のAIインスタンスにコーディング・リサーチ・コードレビューの役割を分担させる体制が組まれていた。

Anthropicが強調するのは、「AIがゼロから兵器を生み出した」のではないという点だ。すでに技術やハードウェアを持つグループが、専門エンジニアなしに統合・修正・トラブルシューティングを進められるようになったことが問題の核心だ。

生物分野では、チクングニアウイルスの機能獲得研究、鳥インフルエンザの哺乳類適応、痘瘡ウイルスの免疫回避といった研究への関与が5件確認されている。ただしAnthropicは、これらが生物兵器開発を意図するものだったとは断言していない。問題は、危険な研究が正当な科学研究と区別しにくいという点だ。一度に一つずつの依頼は無害に見えても、組み合わせれば危険になりうる。

ClaudeをターゲットにしたAIモデルの蒸留攻撃

レポートの中でも戦略的重要度が高い項目が、能力抽出（蒸留攻撃 / Model Distillation）だ。大規模モデルの入出力を大量に収集し、それを教師データとして別モデルを訓練することで能力を模倣・転写する手法を指す。複数の中国系AI企業がClaudeからこの方法で能力を盗み出そうとしたとAnthropicのレポートは報告している。

アリババによるものとAnthropicのレポートが高い確信度で関連付けているオペレーションでは、3,500以上の不正アカウントから1日最大300万件の問い合わせを実行。5月から7月の間に1億5,100万件以上のやり取りが記録され、エージェント型タスク・ソフトウェアエンジニアリング・カーネル開発・長期推論を対象にしていた。Zhipuは推論トレースの抽出に数百の不正アカウントを使用。Moonshotは顧客リクエストをClaudeに転送し、ClaudeのレスポンスをKimiモデルの出力として提供していたとされる。なお、これらの帰属はAnthropicレポートによるものであり、各社が公式に認めたものではない。

さらに深刻なのがプライバシーリスクだ。リルーティングされた一部のリクエストには、機密の企業情報・有効な認証情報・監視データが含まれていた。DeepSeekはAIプログラムの内部仕様を含むリクエストを中継したとされ、別のケースではロシア政府データベースの認証情報が露出した。

この問題が示すのは、AIサプライチェーンリスクという新たなリスク類型だ。組織が使っているつもりのAIサービスが、実際には別のサービスへの中継に過ぎない可能性がある。その場合、送信したプロンプトや添付データが意図しない第三者のインフラを経由することになる。自社のAI利用がどのサービスを実際に呼び出しているか、ベンダー選定・契約・監査の各段階で確認が必要な問題となっている。

詳細はHackers Used Claude to Hunt for Secrets in 1.8 Million Android Appsを参照していただきたい。