10月15日、Abinayaが「Anthropic Warns AI Agents Can Now Automate the Entire Cyber Kill Chain」と題した記事を公開した。この記事では、AnthropicがAIエージェントによってサイバー攻撃のキルチェーン全体が自動化されうると警告したレポートについて詳しく紹介されている。

Anthropicは2026年9月付けの脅威インテリジェンスレポートにおいて、AIエージェントがサイバー攻撃の偵察から侵入、横断移動、データ窃取に至るまで、キルチェーン（Cyber Kill Chain）のすべてのフェーズを自動化できる段階に達していると警告した。対象期間は2025年12月から2026年8月。国家支援が疑われるグループ、犯罪組織、個人のハクティビストが、ClaudeのHaiku・Sonnet・Opusモデルを悪用したケースが報告されている。

「キルチェーン」とは、攻撃者が標的を選定してから侵害を完遂するまでの一連の段階を指すセキュリティ用語。ロッキード・マーティンが提唱したフレームワークで、偵察・武器化・配送・悪用・インストール・C2通信・目的達成という7段階で構成される。

AIがマルウェア検知をリアルタイムで回避する「フィードバックループ」

レポートの中で最も深刻な事例が、GTG-20006と追跡されたグループによる活動だ。AnthropicはこのグループをMidnight Blizzard（ロシア系国家関与が疑われる脅威アクター）に関連する公開情報と一致していると述べている。ウクライナ・欧州の政府・軍・外交・防衛組織、特にドローン技術とそのサプライヤーを標的とした。

このグループのAIワークフローが担った役割は広範だ。フィッシングインフラの構築、認証情報の窃取、C2（コマンド&コントロール）システムの管理、データ収集に加え、展開済みマルウェアがセキュリティ製品に検知されたかどうかを自動で監視する機能まで持っていた。

検知が発生すると、ワークフローはそのマルウェアを自動で改変・再ビルドし、再テストして新バージョンを準備する。人間の開発者がコードを書き直すのを待つ必要がなくなる。この「検知→改変→再展開」のフィードバックループについて、Anthropicは、既知のマルウェアシグネチャに依存したシグネチャベースの防御が有効性を失うリスクがあると指摘している。さらにAnthropicは、防御側が更新済みシグネチャを作成・展開するより速いペースで検知を突破される可能性があると警告している。なお、これはGTG-20006という特定グループの観測事例に基づく指摘であり、同様の手法が広く一般化しているとAnthropicが主張しているわけではない点には留意が必要だ。

ShinyHunters関連グループは180万件のAPKをスキャン

もう一つの事例はGTG-50014。ShinyHunters（過去に大規模なデータ漏洩事件を起こした犯罪グループ）の関連者とみられる。

一人のオペレーターが10台のAWS EC2ワーカーを用いた認証情報収集パイプラインを動かし、180万件のAndroidアプリパッケージをダウンロードしてシークレット（APIキーや認証情報）の露出を自動でスキャン。検証済みの発見物はTelegramに送信していた。

別の侵害では、40以上の法人テナントにまたがる2,100件超のAzure ADトークンセットを約34時間で奪取。Anthropicはこの作業のほぼすべてをAIエージェントが担ったと述べている。

「自動化＝人間不要」ではない

Anthropicは重要な留保も示している。自動化が進んでも、攻撃者は標的の選定・窃取データのレビュー・アクセスの収益化といった段階で依然として人間が関与している。また、自律性の向上が即座に被害の拡大を意味するわけでもなく、深刻な侵害の中には人間が各ステップを主導したものも含まれる。

防御側への示唆：APIキーも「本番認証情報」として扱え

Anthropicは関連アカウントの停止、セーフガードの強化、適切な機関への情報提供を実施済みとしている。

レポートが特に強調しているのがAIのAPIキー保護だ。盗まれたAPIキーは攻撃者が被害者のコストで追加攻撃を実行するために転用される。AnthropicはAPIキーを他の本番認証情報と同等に扱うよう求めており、今回の顧客キー窃取はAnthropicのシステム自体は侵害していないと明言している。

また、Anthropicが指摘するところでは、公開されているエージェントフレームワークが攻撃ワークフローの再利用を容易にしており、国家支援グループだけでなく小規模な犯罪グループや個人オペレーターにもこうした手法が広がりつつある。その一例として、ペネトレーションテスト向けのPentAGIのような公開フレームワークが挙げられている。PentAGIはオープンソースのAIエージェントフレームワークで、セキュリティテスト工程を自動化することを目的に設計されたものだが、Anthropicはこうしたフレームワークの存在が攻撃者の参入障壁を下げている点を問題視している。防御側にとって見落とせないトレンドといえる。

詳細はAnthropic Warns AI Agents Can Now Automate the Entire Cyber Kill Chainを参照していただきたい。