重要インフラをAIで防御する — Claudeが示した脆弱性発見の高速化
AnthropicとPNNLが、ClaudeベースのエージェントALOHAで水処理プラントへの攻撃再現を3時間に短縮した実証実験を解説します。
電力網や燃料パイプラインへのサイバー攻撃は、すでに現実の被害を出しています。水道システムへの侵入も起きています。Anthropicは2026年1月8日、太平洋岸北西部にある国立研究所PNNLとの共同研究を公表しました。ClaudeベースのエージェントAIが水処理プラントの高精度シミュレーションを攻撃し、その再現にかかる時間を数週間から3時間に縮めたという内容です。防御側もAIで加速できることを示した実証実験です。
なぜ「攻撃の再現」が重要インフラ防御の鍵になるのか
サイバー防御の実務では、攻撃を検知するだけでは足りません。特定の脅威アクターや攻撃手法をネットワーク上で再現し、検知の穴を洗い出す作業が要ります。これをアドバーサリー・エミュレーションと呼びます。対策を打った後に同じ攻撃をもう一度再現できれば、対策が効いたかどうかも検証できます。
再現は人手がかかる作業です。PNNLのLoc Truong氏によると、攻撃が起きたとき防御側に届くのは、多くの場合その攻撃を説明した文書だけです。誰かが攻撃の全工程を実装し直さなければなりません。PNNLはこの作業を、数週間と数万ドルがかかりうるものと説明しています。複雑な攻撃チェーンは、20種類の戦術にまたがる100のステップに及ぶことがあります。プログラマーは数百のツールをかき分けて、攻撃とその環境を組み直します。
攻撃レポートが届いてから防御を更新するまで
- 1
レポートを受け取る
攻撃の内容を説明した文書が防御側に届きます。
- 2
ALOHAで攻撃を再構築する
防御担当者が攻撃の説明を文章で入力し、再現を指示します。
- 3
元の標的に対して試す
再構築した攻撃を、隔離したオフライン環境の標的システムにぶつけます。新しい防御で止まるかを見る段階です。
- 4
必要なら防御を更新する
標的の反応を見て防御を固め、もう一度攻撃します。このやりとりを繰り返します。
攻撃側のAI活用は広がっています。PNNLのKristopher Willis氏は、直近のDEF CON(世界最大級のハッカーカンファレンス)のCapture the Flag決勝に出場しました。「決勝に出た全チームが攻撃にAIを使っていた」と言います。
再現作業が数週間単位のままでは、攻撃の変化に防御が追いつきません。AIが悪用された例はClaudeのAIスパイ悪用を阻止した内幕にあります。
ALOHAは攻撃再現の何を3時間に縮めたのか
PNNLはClaudeを使い、ALOHA(Agentic LLMs for Offensive Heuristic Automation)というエージェントを作りました。自然言語の指示を、ネットワーク上の具体的な操作に変換する「スキャフォールド(雛形生成の仕組み)」が中核です。コード化した「ツール」をあらかじめ用意しておき、Claudeがそれを通してネットワークを操作します。開発はPNNLの投資プログラム「Generative AI for Science, Energy, and Security」の資金で進められ、Truong氏とWillis氏が率いました。
検証の舞台は、水処理プラントの模擬環境です。PNNLはControl Environment Laboratory Resource(CELR)というプラットフォーム群を、CISA(米国のサイバーセキュリティ・インフラセキュリティ庁)のために運用しています。その一つがこの模擬環境で、サイバーと物理の両面を模したモデルです。
水処理プラント模擬環境での結果
再現にかかった時間
約3時間
PNNLの見積もり
従来の目安
数週間
同じ規模の攻撃を再現する場合
攻撃チェーンの長さ
100ステップ超
複雑な攻撃の例として挙げられた規模
ある検証での出力量
100万トークン
平易な文章の指示から生成
速度差の源は、人間と機械の操作単位の違いです。Truong氏は「攻撃チェーンの中の一つの操作は、ALOHAならミリ秒、人間なら数分かかる」と説明しています。複雑な攻撃ほど差が開きます。
ALOHAは既存ツールのCalderaと何が違うのか
ALOHAはCalderaの代わりではなく、併用する位置にあります。PNNLの発表によると、ALOHAはMITREのオープンソースソフトウェア「Caldera」と連携して動きます。Calderaは攻撃の再現を自動化する仕組みですが、攻撃が特定のプラットフォーム向けにカスタマイズされている場合、多くのパラメータを手で入れる必要があります。
再現作業で人が担う部分
Calderaだけの場合
攻撃の内容に合わせて、多くのパラメータを人が設定します。再現した攻撃を繰り返し走らせると新しいエラーが出るので、そのたびに人が対応して手で直します。
ALOHAを加えた場合
人は攻撃の内容を平易な文章で伝えます。エラーが出ると、ALOHAが自分で修正を生成します。PNNLは「ほぼ全工程を自動化する」と説明しています。
Willis氏は「攻撃を検知するプログラムは他にも多くあるが、ALOHAはさらに踏み込む」と述べています。対象のハードウェア・ソフトウェア・環境に合わせて攻撃を適応させ、守る最善の方法を示し、攻撃を繰り返して穴を見つけるという説明です。Truong氏は「欲しいものを平易な英語で説明すれば、生成AIが自動的に攻撃を実行する」と言います。
3時間という数字をどこまで読めるか
公開されている2つの文書は、同じ実験を少し違う強さで書いています。PNNLのリリースは冒頭で「数週間ではなく数分」と書き、本文では100ステップ超の攻撃に3時間かかったと書きます。Anthropicの記事は、3時間という値を「PNNLの見積もり」と明示しています。
Anthropicはこの結果を、レッドチーム演習(攻撃側の視点で防御を試す演習)の反復を速められることを示す概念実証と位置づけています。読むときの前提は4つあります。
- 対象は水処理プラントの模擬環境で、実際の施設ではない
- 使ったモデルはClaude Sonnet 4で、実験は2025年の夏に行われた
- 3時間は、数週間かかる再現との比較に使われた見積もりである
- 100万トークンの出力は「ある検証で」と書かれており、3時間の実行と同じものかは示されていない
従来の再現には数万ドルかかりうるとPNNLは書きますが、ALOHA側の費用は書かれていません。実行の回数や、再現した攻撃が防御で止まった割合も、2つの文書のどちらにも載っていません。
Claudeはツールの失敗にどう対応したか
この実験では、Claudeが想定外の失敗に対応する場面がありました。研究チームが用意したツールの一つに、Windowsのセキュリティ機能であるユーザーアカウント制御(UAC)を回避する仕組みがありました。このツールは常に成功するわけではなく、失敗することもありました。
あるテストの実行中、Claudeはツールの失敗報告を受け取ると、別の既知のUAC回避手法を自分で選んで目的を達成しました。手順をなぞるだけでなく、失敗を検知して代替手段に切り替えたわけです。PNNLのリリースも、ALOHAはエラーに遭遇すると自動で独自の修正を生成すると書いています。UAC回避の切り替えは、この性質が表に出た例の一つと読めます。Anthropicはモデルの能力が上がるほど、こうした臨機応変さは増えると見ています。使われたClaude Sonnet 4は、すでにAnthropicのフロンティアモデルではありません。モデルの能力向上は攻撃側にも防御側にも働きうるので、重要インフラの安全を高める取り組みが重要だとAnthropicは述べています。
防御側の高速化は「攻撃側優位」をどこまで変えるか
Anthropicはこの研究を、サイバー防御にAIを使う試行を呼びかけてきた取り組みの実践例としています。背景には、攻撃者によるAI利用の増加があります。
AIによる攻撃の高度化は、防御が追いつかなくなる話として語られがちです。一方PNNLのリリースによると、Truong氏とWillis氏のような防御側も、自律的な防御を広げて先行を保とうとしています。この実験が示したのは逆向きの効果で、再現と検証の周期を短くできるという点です。対策を打って同じ攻撃で確かめる作業が週単位から時間単位になれば、悪用される前に塞げる余地は増えます。
ただし、攻撃側が同じ種類のエージェントを使えば、速度の優位は縮まる可能性があります。Anthropicは、モデルの能力向上が攻撃側にも防御側にも働きうると述べています。AIが攻撃と防御の両方に使える二重用途の技術だという点が、この研究の前提です。
連携の理由は、お互いに足りないものを持っていたからです。AnthropicがClaudeという最先端のモデルを提供し、PNNLがAI企業には用意しにくい、サイバーと物理の両面を持つ検証環境を提供しました。「どちらの組織も、相手なしにはこの実験をできなかった」とAnthropicは書いています。PNNLの発表は、この提携がAnthropicにとって、自社の技術を厳しい試験にさらして悪用を防ぐ機会にもなると説明しています。Anthropicのnational security policy leadを務めるMarina Favaro氏は、成果が自社の安全性対策の工程とClaudeの作り方に直接つながると話しています。
Anthropicはこれまでにも、核セキュリティを所管する米NNSAと、核のリスクに関する評価と緩和策を作ってきました。エネルギー省の「Genesis Mission」にも、民間の協力企業の一社として参加しています。今回の実験はこうした政府機関との協業の一つとして位置づけられています。
次の課題として、Truong氏は「さまざまな種類のシステムでALOHAを試し、より多くのユースケースにさらすこと」を挙げています。水処理プラントの1件を超えて、ほかの種類のシステムでも同じ結果が出るかが焦点です。PNNLは従来の再現作業について、大きな費用をかけた企業ほど、同じ標的になりうる他の組織に詳細を共有する動機が弱くなると説明しています。
Anthropicが重要インフラの防御に関わるのは、今回が初めてではありません。電力・水道・医療分野の組織が対象のProject Glasswingの拡大や、Claudeをサイバーセキュリティ業務で使う実例も、防御側の能力を底上げする方向です。
一方でAnthropicは、評価環境からClaudeが実インフラに到達したサイバー評価インシデントも開示しています。
まとめ — 誰がこの研究を追うか
重要インフラの運用に関わるセキュリティ担当者が持ち帰る点は、再現の速さそのものより、対策のたびに同じ攻撃で再検証する周期を短くできるという発想です。数字は模擬環境で、現在はフロンティアから外れたモデルで得られた1件の例なので、自組織への当てはめは、PNNLが次の段階として挙げる他システムでの試験の結果を待つのが妥当です。AIラボと政府系研究機関の協業の実例として追う立場なら、次にどの国立研究所と、どの分野へ広がるかが続報の注目点です。