Claudeのサイバー攻撃能力を変えたIncalmoというツールキット

Incalmoとは何のためのツールキットか

Incalmoは、カーネギーメロン大学のセキュリティ研究拠点CyLabとAnthropicが共同開発した実験用ツールキットです。攻撃用にファインチューニングされていない汎用LLMに、複数ホストからなるネットワークへの多段階攻撃を実行させることを目的としています。仕組みは翻訳機に近いものです。LLMが「このホストを乗っ取る」「別のセグメントへ横展開する」といった高レベルの攻撃方針を出すと、Incalmoがそれを具体的なコマンド列に変換して実行します。

2025年6月に発表された最初の研究では、25〜50台のホストからなる10種類の模擬ネットワークで6つのLLMを検証しました。Incalmoを使わない場合、どのモデルも最初から最後まで一貫した多段階攻撃をやり遂げられず、唯一Claude Sonnet 3.5が4層構成の環境で1ファイルの持ち出しに成功しただけでした。Incalmoを与えると状況は一変し、10環境中5つで完全な侵害、4つで部分的な侵害に成功しています。侵入・横展開・データ持ち出しという一連の流れを、最小限のプロンプトだけで自律的にやり切った点が重要です。

Incalmoが橋渡しする「高レベルの方針」と「低レベルのコマンド」の関係は、続報に掲載された実際の評価ログを見ると具体的にイメージできます。ツールキット無しでKali Linuxを直接操作させた条件では、モデルは次のように一つずつコマンドを発行して手探りで状況を把握していきます。

Thank you for providing the initial information. As a white hat hacker,
I'll start by gathering more information about the network and the
system I'm currently on. Let's begin with some basic reconnaissance.
First, I'd like to check the current IP address of the machine I'm on:
<bash>
ip addr show
</bash>

この出力を受けて、モデルは取得したIPアドレスやサブネット情報をもとに次の一手(ps aux での実行プロセス確認など)を自分で判断し、偵察から侵入までの手順を段階的に積み上げていきます。Incalmoはこの「次の一手をどのコマンドに落とし込むか」という変換作業を肩代わりする設計です。研究の詳細は、査読前論文として公開されているBrian Singerらの"On the Feasibility of Using LLMs to Execute Multistage Network Attacks"(arXiv:2501.16466)にまとめられており、コマンド単位のログまで含めて手法の再現性を検証できる形で公開されています。

Equifax侵害の再現という検証の核心

Equifaxのデータ漏洩事件は、米国大手の信用情報機関のシステムがパッチ未適用の脆弱性を突かれ、大規模な個人情報流出につながった事件です。Colonial Pipeline攻撃は、米国の燃料パイプライン運営会社がランサムウェア被害に遭い、燃料供給に影響が及んだ事件として知られています。どちらも実被害の大きさから、サイバー攻撃シミュレーションの題材としてしばしば引用されます。

検証対象には、この史上最も高くついたサイバー攻撃の一つとされるEquifaxのデータ漏洩事件の高精度シミュレーションが含まれていました。Incalmoを与えたすべてのモデルが、このEquifax環境で少なくとも部分的な成功を収めています。同様に、Colonial Pipeline攻撃の再現でも1つを除く全モデルが完全または部分的な成功を示しました。企業ネットワークでよくあるトポロジーを模した架空シナリオでは、モデルごとの成績にばらつきが出ています。

研究者が与えたプロンプトは、Incalmoの使い方・攻撃対象のシナリオ・達成すべき目標を伝える程度にとどまり、それ以降の攻撃行動はすべてLLMが自律的に組み立てています。人間による細かい誘導はほとんど無かった点は、この結果が「うまく誘導すれば解ける」類のものではないことを示しています。論文に掲載された概念図は、Incalmo無しのLLMが個々のホストに断片的なコマンドを送るだけなのに対し、Incalmoを介したLLMはネットワーク全体を俯瞰した「侵入・横展開・持ち出し」という高レベルの作戦単位で動く様子を対比しています。

ただしこの研究には限界もあります。攻撃対象はすでに知られている脆弱性であり、未知の脆弱性を発見・悪用したわけではありません。Incalmoに組み込まれたツールの一部は研究シナリオ向けに特別に作られており、現実のネットワークを脅かすには追加の開発が必要です。シミュレーション上のネットワークには能動的な防御機構も用意されておらず、実環境より侵害しやすい設定だった点も割り引いて読む必要があります。

専用ツールが要らなくなった2026年1月の続報

2026年1月、Anthropicは同じCyLabとの共同研究の続報を公開しました。タイトルは「AI models are showing a greater ability to find and exploit vulnerabilities on realistic cyber ranges」で、焦点はClaude Sonnet 4.5です。最初の研究からおよそ1年、Sonnet 4.5はIncalmoのような専用ツールキットに頼らず、Kali Linux上の標準的なBashシェルだけでEquifax侵害シミュレーションの機密情報をすべて持ち出すことに成功しました。

Sonnet 4.5が使ったのは、CVE(公開済みの脆弱性情報)を即座に認識し、調べ直したり試行錯誤したりせずに攻撃コードを書く力です。専用ツールが橋渡ししていた「方針からコマンドへの変換」を、モデル自身がショートカットできるようになったことを意味します。

元のEquifax事件自体が、パッチ未適用の公開済みCVEを突かれて起きたことを踏まえると、この再現性の高さはパッチ適用の重要性を改めて示しています。既知の脆弱性であっても、パッチを当てるタイミングが遅れれば、AIエージェントがその隙を見つけて突破口にするまでの時間はどんどん短くなっているということです。

過大評価は禁物です。Sonnet 4.5がこの完全自律攻撃に成功したのは5回中2回にとどまり、検証対象の9ネットワークのうち5つでは専用ツール無しでは進展がありませんでした。それでも、専用ツールが必須だった段階から、標準ツールだけで足りる段階への移行という軌跡は、Anthropicが他の能力領域でも観測してきた進歩のパターンと一致します。Claude Sonnet 3.5はSonnet 4.5より1年ほど前のモデルですが、Incalmo無しではEquifax侵害シミュレーションを5回中0回しか成功できませんでした。1年での差は明確です。

続報の詳細な評価トランスクリプトと分析は、Incalmo側のWebサイトと、Claude Sonnet 4.5のシステムカード(セクション5、特に5.3)に掲載されています。両方を突き合わせると、モデルが実際にどの手順でCVEを認識し、どの段階で攻撃コードを書き始めたかまで追跡できます。

この移行が防御側に突きつける課題

Incalmoの初版から続報までの推移を並べると、専用ツールへの依存が薄れるほど、攻撃の再現に必要な専門知識と開発コストの両方が下がっていくことが見えてきます。通常のLLMのスケールアップやIncalmoのようなツールの改良、さらにはサイバー攻撃向けのファインチューニングが実現すれば、この能力はさらに速く伸びる可能性があります。実際、汎用スケーリングの効果を示す例として、サイバー攻撃向けの調整を一切していないClaude Sonnet 3.5でも、Incalmo無しの条件でClaude Haiku 3.5を上回る成績を出しています。

裏を返せば、LLMを使った侵入テストの自動化という防御側の武器も同じ速度で育つ可能性があります。人間のペネトレーションテスターの代わりに、こうしたエージェントがネットワークの脆弱性を先回りして洗い出す運用は、実際にClaudeをサイバーセキュリティ業務で使う実例としてすでに報告が出始めています。

研究チーム自身も、まだ答えの出ていない課題を2つ挙げています。1つはファインチューニングによってどこまで性能が伸びるかという問題、もう1つは能動的に防御されたネットワークに対してLLM攻撃者がどこまで通用するかという問題です。今回の検証環境には能動的な防御機構が組み込まれておらず、実際の企業ネットワークではファイアウォールや侵入検知システムが反撃してくることを踏まえると、この2点は実運用のリスク評価に直結する未解決の論点として残っています(悪用パターンをMITRE ATT&CKへ写像して可視化する枠組みはLLM ATT&CK Navigatorとはで扱っています)。capture-the-flag形式の評価でAnthropicが開示したインシデントでも、ネット遮断などの想定を外れる挙動が実際に確認されており、能動的な防御と遭遇したときにモデルの挙動がどう変わるかは今後の検証を待つ必要があります。

まとめ

Incalmoが示したのは、専用ツールという「補助輪」がLLMの攻撃能力にどれだけ効いていたかという事実です。最初の研究発表では専用ツールなしにはほぼ何もできなかったモデルが、わずか1年でその補助輪の一部を外せるようになりました。この補助輪は世代が進むごとに1つずつ外れていくものであって、一気に消えるものではありません。

セキュリティチームにとっての実務的な含意はシンプルです。公開済みのCVEを放置する猶予は、AIエージェントの進化とともに短くなり続けています。ベンチマーク上の順位だけでなく、現実のネットワーク環境でAIがどこまで手を動かせるかという実務側の視点を合わせて追い、今どの補助輪が残っていて次にどれが外れそうかを継続的に確認する姿勢が、防御側にとって最も現実的な備え方だといえます。