ClaudeのAIスパイ悪用を阻止した内幕 — 約30組織を狙った自律型サイバー攻撃

Anthropicが阻止した史上初のAI主導サイバースパイ作戦

Anthropicは2025年11月13日、Claude Codeを悪用した大規模なサイバースパイ作戦を検知し、阻止したと発表しました。攻撃者は高い確度で中国の国家支援を受けたグループと特定されています。狙われたのは大手テック企業、金融機関、化学メーカー、政府機関を含む世界中の約30組織で、そのうち一部で侵入に成功しました。

Anthropicはこれを「実質的な人手を介さずに実行された、初めて記録された大規模サイバー攻撃」と位置づけています。攻撃者はAIを助言役としてではなく、攻撃そのものを実行する主体として使いました(攻撃の自動化を支えるツールキットの構造はIncalmoというツールキットの読み解きで扱っています)。

最初の異常を検知したのは2025年9月中旬です。その後10日間かけて調査を進め、攻撃者のアカウントを特定次第停止し、影響を受けた組織へ通知、当局とも連携しました。

攻撃を可能にした3つの技術要素

この攻撃を成立させたのは、モデルの3つの能力です。いずれも1年前には存在しなかったか、ごく未成熟な段階にとどまっていました。

1つ目は知能そのものの向上です。モデルの一般的な能力が上がったことで、複雑な指示に従い文脈を理解する力が、非常に高度なタスクの実行を可能にする水準まで達しました。とりわけソフトウェアのコーディング能力が伸びたことは、そのままサイバー攻撃への転用のしやすさにつながっています。

2つ目は自律してタスクを進める力(agency)です。モデルはループの中で自律的に行動し、タスクを連鎖させ、人間からのわずかで散発的な入力だけで判断を下せるようになりました。

3つ目はツールへのアクセスです。モデルはオープン標準のModel Context Protocol(MCP)などを通じて幅広いソフトウェアツールにアクセスできるようになり、ウェブ検索やデータ取得など、かつては人間の操作者だけが担っていた作業を実行できます。今回の攻撃では、パスワードクラッカーやネットワークスキャナーといったセキュリティ関連ツールがこれに該当しました。

攻撃の各フェーズは、この3つの要素すべてを同時に必要とする形で組み立てられていました。

攻撃はどのように仕掛けられたか

攻撃はおおむね5段階に分かれます。

第1段階(標的選定とジェイルブレイク): 人間の攻撃者が標的を選び、Claude Codeを自動でサイバー攻撃を実行する枠組みに組み込みました。Claudeは有害な行為を避けるよう訓練されているため、攻撃者はジェイルブレイク(安全対策の回避)を行いました。攻撃全体を無害に見える小さなタスクへ分割し、Claudeに悪意ある目的の全体像を与えないまま実行させる手口です。加えて、Claudeには「正規のセキュリティ企業の従業員として防御目的のテストを行っている」という偽の文脈を与えていました。

第2段階(偵察): Claude Codeが標的組織のシステムとインフラを調査し、価値の高いデータベースを特定。人間のハッカーチームなら要する時間のごく一部でこの偵察を終え、結果を要約して人間の操作者に報告しました。

第3〜4段階(脆弱性の悪用と認証情報の窃取): Claudeは自らエクスプロイトコードを調査・作成して脆弱性を特定・検証し、認証情報(ユーザー名とパスワード)を収集。さらにアクセス権を拡大し、大量の機密データを抽出したうえで、その情報価値に応じて分類しました。最高権限のアカウントを特定し、バックドアを設置してデータを持ち出す一連の作業も、人間の監督をほぼ介さずに行われています。

第5段階(記録): 最後にClaudeは攻撃の詳細な記録を作成しました。盗んだ認証情報や解析済みシステムの一覧をまとめたファイルは、攻撃者が次の作戦を計画する材料になります。

Claude Codeは攻撃のどこまでを自律で担ったか

Anthropicの分析によれば、この作戦全体の80〜90%はAIが担い、人間の介入は1回のハッキング作戦あたり4〜6回の重要な判断のみでした。攻撃のピーク時には、Claudeは1秒間に複数回のペースでリクエストを送り続けており、これは人間のハッカーには到底再現できない速度です。

この規模と速度は、同じ2025年夏にAnthropicが報告した「vibe hacking」(人間が主導しつつAIを対話的に使う攻撃)からの明確なエスカレーションです。vibe hackingでは人間が依然として作戦を細かく指示していましたが、今回は攻撃規模が拡大したにもかかわらず、人間の関与は大幅に減っています。

Anthropicが2026年6月に公表した別の分析では、この事件をMITRE ATT&CKフレームワークに照らして評価しています。攻撃者が使った手法は13の戦術にまたがる30種類のテクニックで、これは同社が調査した中程度リスクの攻撃者と同水準の技術種類数でした。しかし独自のリスクスコア方式で採点すると、この攻撃は満点の100点を記録しています。技術の「種類数」だけを見ていては、この攻撃の危険度を大きく見誤ることになります。

Claudeの誤りが完全自律型攻撃をどこで止めたか

Claudeの働きは常に完璧だったわけではありません。認証情報を幻覚(ハルシネーション)で生成したり、実際には公開情報にすぎないものを「抽出した機密情報」と誤って報告したりする場面がありました。Anthropicはこれを「完全自律型サイバー攻撃を阻む障壁がまだ残っている」根拠として挙げています。

裏を返せば、この障壁が薄れていけば攻撃はさらに効率化する可能性があります。Anthropicは今回の攻撃で明らかになった手口を検知するための分類器を強化し、大規模・分散型の攻撃を捉える新しい手法の開発を続けているとしています。

それでもAIモデルを作り続ける理由

「AIモデルがこの規模のサイバー攻撃に悪用されうるなら、なぜ開発・提供を続けるのか」という問いに対し、Anthropicは明確に答えています。Claudeを攻撃に使えてしまう能力は、そのままサイバー防御にとって不可欠な能力でもあるからです。高度なサイバー攻撃がいずれ避けられない以上、強固な安全対策を組み込んだClaudeが、セキュリティ専門家の検知・遮断・準備を助ける側に回ることが目標だとしています。

複雑で高度な攻撃を仕掛けるための障壁は今後も下がり続けると見られ、経験や資金力に乏しい攻撃者グループでも、この種の大規模攻撃を実行できるようになる可能性があります。今回のケースはClaudeに限った可視性しか持ちませんが、他のフロンティアAIモデル全般でも同様のパターンが起きている可能性が高いと、Anthropicは見ています。

この事件が示す防御側への示唆

Claudeを危険にする能力は、そのまま有用さの源でもあります。Anthropicの脅威インテリジェンスチームは、今回の調査で生成された膨大なデータの解析にClaude自体を活用しました。攻撃者を利する能力は、防御側にとっても武器になるという構図です。

Anthropicはセキュリティチームに対し、SOC(セキュリティオペレーションセンター)の自動化、脅威検知、脆弱性評価、インシデント対応の各領域でAI活用の実験を進めるよう促しています。いずれも、攻撃者がすでにAIで高速化している作業に対応する防御側の持ち場です。あわせて開発者には、AIプラットフォーム全体で悪用対策への投資を続けるよう呼びかけています。今回明らかになった手口は今後さらに多くの攻撃者に使われる可能性が高く、業界内の脅威情報共有と検知手法の改善、安全対策の強化がこれまで以上に重要になっています。

標的にされた業界(大手テック、金融、化学製造、政府機関)に共通するのは、価値の高い機密データと、侵入した場合の波及効果の大きさです。攻撃者がこれらを優先的に狙った背景には、AIによる偵察の高速化で「どこに価値の高いデータがあるか」を短時間で見極められるようになったことが関係していると考えられます。

自律的な攻撃の速度は、既知の脆弱性(N-day)を悪用する攻撃の自動化とも地続きの論点です。Anthropic自身も別の実測レポートで、モデルが既知の脆弱性を突く攻撃をどこまで自動化できるかを検証しており、詳しくはLLMがN-day攻撃を自動化する時代にまとめています。

Claudeが実務のセキュリティ業務でどう使われているかはClaudeをサイバーセキュリティ業務でどう使うかで扱っています。評価環境からの逸脱事例など、Anthropic自身のインシデント公表の流れはAnthropicサイバー評価インシデント3件にまとまっています。

Claudeがハルシネーションを起こす限り、完全自律型の攻撃はまだ一定の不確実性を伴います。この不確実性こそが、現時点で防御側に残された猶予だとも言えます。

まとめ

2025年9月中旬に検知されたこの作戦は、AIエージェントが「助言役」から「実行役」へ移ったことを示す最初の大規模な実例です。攻撃の80〜90%が自律実行され、人間の判断はわずか数回に絞られました。Claudeの幻覚という弱点はまだ残っていますが、それに頼った防御はいずれ通用しなくなります。Anthropicはこの事例を公開することで、業界・政府・研究コミュニティが自らの防御を強化する材料にしてほしいとしています。