重要インフラをAIで防御する — Claudeが示した脆弱性発見の高速化

電力網や水処理施設へのサイバー攻撃は、すでに現実の被害を出しています。Anthropicは2026年1月8日、太平洋岸北西部にある国立研究所PNNLとの共同研究を公表しました。ClaudeベースのエージェントAIを使い、水処理プラントの高精度シミュレーションに対する攻撃再現(アドバーサリー・エミュレーション)を、人間の専門家なら数週間かかる作業から3時間に短縮したという内容です。攻撃側だけでなく防御側もAIで加速できることを示した実証実験です。

なぜ「攻撃の再現」が重要インフラ防御の鍵になるのか

サイバー防御の実務では、攻撃を検知するだけでは足りません。特定の脅威アクターや攻撃手法をネットワーク上で再現し、どこに検知の穴があるかを洗い出す作業が必要です。これをアドバーサリー・エミュレーションと呼びます。防御側が対策を打った後、同じ攻撃をもう一度再現できれば、対策が効いたかどうかを検証できます。

問題は、この再現作業自体に人手と時間がかかることです。攻撃者が生成AIを武器化する動きが先行するなか、防御側の再現作業が数週間単位のままでは、AIによる攻撃の高度化に追いつけません(ClaudeのAIスパイ悪用を阻止した内幕はこうした悪用を実際に検知・阻止した事例です)。PNNLのKristopher Willis氏は「直近のDEF CON(世界最大級のハッカーカンファレンス)では、Capture the Flag決勝に出場した全チームが攻撃にAIを使っていた」と述べており、攻撃側のAI活用はすでに常態化しています。

ALOHAはどうやって攻撃を3時間で再現したか

PNNLはClaudeを使い、ALOHA(Agentic LLMs for Offensive Heuristic Automation)というエージェントを開発しました。自然言語での指示を、ネットワーク上の具体的な操作に変換する「スキャフォールド(雛形生成の仕組み)」を組み、あらかじめ用意したコードベースの「ツール」を通じてClaudeがネットワークへの操作を実行します。

検証対象は、米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)向けにPNNLが運用するControl Environment Laboratory Resource(CELR)の水処理プラント模擬環境です。CELRはCISAが実運用に近い形で防御演習を行うために整備している模擬インフラ群で、PNNLはこのCELRプラットフォームを管理する2つの国立研究所パートナーのうちの1つです。100ステップを超える複雑な攻撃チェーンの再現に、通常なら数週間かかるところをALOHAは3時間で完了しました。PNNLのLoc Truong氏は「攻撃チェーンの中の一つの操作は、ALOHAならミリ秒、人間なら数分かかる。複雑な攻撃ほどこの速度差が際立つ」と説明しています。この研究はPNNLの「Generative AI for Science, Energy, and Security」という投資プログラムの資金で行われ、Truong氏・Willis氏に加えてDalton Arford氏、Tim Doster氏、Phillip Huang氏、Henry Kvinge氏、Jeff Morrow氏、Tim Stavenger氏が開発に関わっています。

自然文の指示だけで攻撃が自動実行される点が、既存の自動化ツール(Calderaなど)との違いです。既存ツールは多くのパラメータを手動で設定する必要があり、対象環境ごとにカスタマイズし直すコストが再現のボトルネックになっていました。PNNLのWillis氏は「攻撃を検知するプログラムは他にも多くあるが、ALOHAはさらに踏み込んで、対象のハードウェア・ソフトウェア・環境に合わせて攻撃を適応させ、システムを守る最善の方法を示し、繰り返し攻撃を仕掛けることでセキュリティの穴を見つけ、対応力を高める」と説明しています。

利用の流れもシンプルです。攻撃が発生すると、人間の防御担当者が攻撃の内容を文章でALOHAに入力し、その攻撃を再現するよう指示します。Truong氏の言葉を借りれば「欲しいものを平易な英語で説明すれば、生成AIが自動的に攻撃を実行する」形になっており、防御側の担当者が自ら操作を一つひとつ実行する必要がなくなります。

Claudeはツールの失敗にどう対応したか

この実験で興味深いのは、Claudeが単なる自動実行にとどまらず、想定外の失敗に対応したエピソードです。研究チームがあらかじめ用意したツールの一つに、Windowsのセキュリティ機能であるユーザーアカウント制御(UAC)を回避する仕組みがありました。このツールは常に成功するわけではなく、失敗することもありました。

ツール呼び出しが失敗したという結果を受け取ったClaudeは、別の既知のUAC回避手法を自ら選び直し、目的を達成しました。あらかじめ書かれた手順をなぞるだけでなく、失敗を検知して代替手段に切り替える判断をエージェントが自律的に行った実例です。Anthropicはこの実験で使われたモデルをClaude Sonnet 4(すでにフロンティアモデルの座を退いたバージョン)と明記しており、モデルの能力が上がるほど、この種の臨機応変な振る舞いは増えると見ています。

この実験は「攻撃側優位」の前提をどう変えるか

AIによる攻撃高度化の議論は、攻撃者がAIを使えば防御が追いつかなくなるという前提で語られがちです。しかしこの実験が示すのは、防御側も同じAIの能力を使って再現・検証のサイクルを高速化できるという逆方向の効果です。防御チームが「対策を打った後に、もう一度同じ攻撃を再現して効果を検証する」というサイクルを週単位ではなく時間単位で回せるようになれば、脆弱性が実際に悪用される前に塞げる機会は単純計算でも増えます。

ただし、この非対称性がいつまで防御側に有利に働くかは未知数です。攻撃者側もエージェント型AIを同様に武器化すれば、再現速度の優位は相殺されます。Anthropicが本研究を「攻撃と防御のどちらにもAIが使える二重用途の技術」と位置づけているのは、この綱引きが今後も続くという前提に立っているからです。Anthropicは核セキュリティを所管する米NNSA(核兵器の安全保障を担う国家機関)と、そしてエネルギー省傘下の国立研究所群とはGenesis Missionという枠組みで連携しており、今回のPNNLとの提携もその延長線上にあります。Anthropicのnational security policy leadを務めるMarina Favaro氏は、PNNLとの取り組みについて「重要インフラを狙った攻撃をシミュレーションする研究は、AIの能力向上が国家安全保障に与える影響を理解するうえで欠かせない」とコメントしています。

PNNL側でも次の課題は明確です。Truong氏は「次の重要なステップは、さまざまな種類のシステムでALOHAを試し、より多くのユースケースにさらすことだ」と述べています。水処理プラント1件の実証で終わらせず、電力・ガスなど他の重要インフラ分野に横展開できるかどうかが、この研究の実用化を左右する分岐点になります。また、攻撃を再現できても、その結果を他組織と共有するインセンティブが乏しいという業界構造上の課題も残ります。多額の投資をして攻撃を再現した企業ほど、同種の標的になりうる他組織へ詳細を共有する動機を持ちにくいためです。ALOHAのような低コストな再現手段が広がれば、この共有のハードル自体も下がる可能性があります。

Anthropicが官民連携で重要インフラの防御を進める取り組みは今回が初めてではありません。電力・水道・医療分野の組織を対象にしたProject Glasswingの拡大や、Claudeをサイバーセキュリティ業務で使う実例でも、同じ「防御側の能力を底上げする」という方向性が一貫しています。一方でAnthropicは、評価環境からClaudeが実インフラに到達してしまったサイバー評価インシデントも公表しており、防御力の向上と評価環境の設計ミスは表裏一体のリスクとして扱われています。

まとめ — 誰がこの研究を追うべきか

重要インフラ(電力・水道・エネルギー)の運用に関わるセキュリティ担当者にとって、ALOHAの実証実験は「AIが攻撃側の武器になる」という懸念に対する具体的な反証事例です。防御チームが自組織のネットワークに対して同種のアドバーサリー・エミュレーションを回す体制を検討する際の参考になります。一方、AIの社会実装をより広く追う立場からは、AIラボと政府系研究機関の官民連携が安全保障の領域でどう機能するかを示す一事例として位置づけられます。次にAnthropicがどの国立研究所と、どの重要インフラ分野で連携を広げるかが、この研究の続報を追ううえでの注目点です。