Claudeの悪用事例 — 2025年3月版レポートで見る4つの手口
Anthropicが2025年4月に公開した脅威レポート。政治的な世論工作のオーケストレーション、IoTカメラの認証情報収集、求人詐欺、初心者によるマルウェア開発の4事例を検証する。
レポートの要点
Anthropicは2025年4月23日、「Detecting and countering malicious uses of Claude: March 2025」と題する脅威インテリジェンスレポートを公開しました。最も新規性が高いと位置づけられた事例は、Claudeを世論工作の「オーケストレーター(実行判断役)」として使ったケースです。コンテンツ生成にとどまらず、SNS上のボットアカウントが「いつ・どの投稿に・どう反応するか」までClaudeに決めさせていました。
扱われた事例は4つです。政治的な影響工作サービス、IoTカメラの認証情報収集、求人詐欺、そして技術力を超えたマルウェア開発。いずれもアカウントが停止されています。ブログには、ほかにも検知した活動があると添えられていますが、詳報があるのはこの4件です。
事例1(世論工作ネットワーク)の規模
ボットアカウント
100以上
XとFacebookにまたがる
接触した実アカウント
数万件
複数の国・言語
別々のキャンペーン
少なくとも4つ
同じ基盤で運用
画像生成モデル
2種類
プロンプトの作成と出来の評価
事例1: 複数クライアント向けの世論工作ネットワーク
最初の事例は、金銭目的の「influence-as-a-service(世論工作の請負サービス)」でした。XとFacebookのボットを、政治的な立場の異なるペルソナとしてClaudeに演じ分けさせていたのです。
もっとも重大な点は、Claudeが「いいね・シェア・コメント・無視のどれを選ぶか」という戦術的な判断そのものを担っていたことです。語り口は国家関与のキャンペーンに見られる傾向と一致していましたが、Anthropicはこの帰属を確定していません。
Claudeに任せていた作業
別添の事例報告書によると、Claudeは意思決定を一手に引き受ける役でした。
ボット1体あたりの運用の流れ
- 1
ペルソナの設定を読む
アカウントごとに、政治的な立場の指針と「人物像(legend)」が決まっています。JSON形式で管理され、プラットフォームをまたいで一貫性を保ちます。
- 2
他人の投稿への反応を決める
いいね・シェア・コメント・無視のうち何をするかを、クライアントの政治目的に沿ってClaudeが選びます。
- 3
投稿文を書き、立場に合うか検査する
ペルソナの母語で返信を作ります。下書きがその人物の政治的な立場に合うかどうかも、Claude自身が評価していました。
- 4
画像用のプロンプトを作り、出来を採点する
画像生成モデル向けのプロンプトを作り、できた画像が指示に沿っているか、作り直すべきかを判断させていました。
4つのキャンペーンと「ボットだと言われたとき」の指示
同じ基盤から、別々のキャンペーンが走っていました。欧州向けにはエネルギー安全保障、イラン向けには文化的アイデンティティの物語。UAEを優れた事業環境として持ち上げてEUの規制を批判するもの。アルバニアの人物を支持して野党側を批判するもの。そしてケニアの開発事業や政治家を推すものです。報告書は全体として、欧州・イラン・UAE・ケニアの利害を支持または批判する内容だったと書いています。
具体例として、報告書には2体のボットの設定が図で載っています。1体は「ポーランド人」を名乗り、旧ソ連の国を支持し、クリーンエネルギーへの移行を揶揄し、その国がロシアを抑える上で重要だと信じるよう指示されていました。投稿はポーランド語から自動翻訳されたものです。もう1体は「米国人」を名乗り、UAEの安定と技術の進歩を持ち上げ、米国の航空宇宙の技術者がキャリアに苦しんでいるかのように振る舞うよう指示されていました。
ボットだと指摘されたり、詩やレシピを書かせてペルソナの役割から外そうとされたりしたときは、ユーモアと皮肉で返すよう指示されていました。人間らしさを装う振る舞いまで、設計の一部だったことになります。
「バイラルしない」ことが狙いだった
数字だけ見れば成果は小さく見えます。Brookings Breakout Scaleのような従来の枠組みでは、広がりが限られる「カテゴリー1」の工作に分類されるとレポートは述べています。ただし運営者は拡散を狙っていませんでした。
目的は、永続性と関係づくりです。目立つ瞬間より、既存の会話に溶け込み、実在のアカウントとの接点を保ち続けることを優先していました。
同じ報告書は、この種のサービスでは技術基盤が政治目的から切り離されると指摘します。1人の運営者が、複数の地政学的な利害に同時に応えられるようになります。
内容は正当に見え、反応のしかたも人間に似ているため、検知はますます難しくなるというのがAnthropicの見方です。従来の評価軸に加えて、関係づくりを軸にした新しい枠組みが要る、という主張になっています。
事例2: IoTセキュリティカメラの認証情報スクレイピング
2つ目の事例は、セキュリティカメラに紐づく漏洩済みのユーザー名・パスワードを収集し、不正アクセスの実行能力を構築しようとした攻撃者です。この攻撃者は商用の情報漏洩データベースや、窃取ログを扱う非公開のTelegramコミュニティを組み合わせたインフラを維持していました。
Claudeは主に技術面の強化に使われました。
- オープンソースのスクレイピングツールキットを保守しやすく書き直す
- 対象URLを集めるスクリプトを作る
- 窃取ログのTelegramコミュニティの投稿を処理するシステムを作る
- 検索機能のUIとバックエンドを改善する
これらの多くはデュアルユース(善意の用途にも転用できる)です。それでもAnthropicは、デバイスへの不正アクセスを可能にする全体の文脈を踏まえて停止しました。想定された影響は、認証情報の侵害、IoT機器(とくにセキュリティカメラ)への不正アクセス、ネットワークへの侵入です。成功したかどうかは把握されていません。
事例3: 求人詐欺 — 文章の添削で信頼性を偽装
3つ目は、東欧の求職者を主な標的にした求人詐欺です。攻撃者は正規企業の採用担当者になりすまして信頼を得ようとしました。
使い方は2系統あります。1つは、ぎこちない英文をClaudeに投げ、ネイティブスピーカーが書いたかのように直させるもの。レポートはこれを「言語のロンダリング」と呼び、リアルタイムで行われる点を特徴に挙げています。もう1つは、もっともらしい募集の筋書きや面接の質問・シナリオを作らせたり、メッセージを正規の連絡らしい体裁に整えさせたりする使い方です。ソーシャルエンジニアリングの水準は、中程度に洗練されていたと評価されています。
応募者の個人情報を盗もうとした活動でしたが、詐欺の成立は把握されていません。
事例4: 初心者がスキルを超えたマルウェアを開発
4つ目は、正規のコーディング経験が乏しい人物が、Claudeの助けで能力を急拡大させたケースです。作っていたのは、個人の特定(doxing)やリモートアクセスのためのツールでした。
同じ人物のツールがClaudeの支援でどう育ったか
最初
オープンソースのツールキットは基本機能だけで、既製品をそのまま使っていたとみられます。マルウェアビルダーも単純なバッチスクリプトの生成ツールでした。
Claudeの支援後
ツールキットは顔認識とダークウェブのスキャンを備えた一式に。ビルダーは、検知されないペイロードを作るGUI付きの本格的なものになり、セキュリティ対策の回避と侵入先への居座りを重視していました。
AIが悪意ある行為者の学習曲線を押し下げる例として、レポートはこの事例を挙げています。実世界での展開は把握されていません。
事例ごとのClaudeの役割を並べる
4件はいずれも、Claudeが担った役割が違います。
4件でClaudeが担った役割
世論工作
行動の判断・文章・画像指示。運用の「頭脳」にあたる役。
IoTカメラ
既存ツールの書き直しとスクリプト作成。開発の補助役。
求人詐欺
文面の添削と台本づくり。見た目の信頼性を上げる役。
マルウェア
本人の技量を超える実装。開発者の代役。
「実害未確認」という書き方をどう読むか
世論工作を除く3件には、「成功は把握していない」という留保が付いています。世論工作の事例にも、バイラルな拡散はなかったという但し書きがあります。
いずれも、成功が確認されていない段階でアカウントが停止されています。被害の数字に基づく報告ではなく、手口を先に知らせる報告だという点は、数字の重みを読むときの前提になります。
Anthropicはどうやってこれらを見つけたか
調査には、Anthropicが公開した研究成果のClio(会話データの分析手法)と階層的要約(hierarchical summarization)が使われました。大量の会話データから、悪用のパターンを効率よく取り出すための手法です。
これに、ユーザーの入力とClaudeの返答を配信の前後に審査するクラシファイア(自動判定モデル)が組み合わさり、検知・調査・アカウント停止につながりました。2026年9月には、監視用データを顧客自身のクラウドに置いたまま悪用検知を回すEnterprise Frontier Safeguardsも発表されています。
各事例から得た知見は、悪用を見つけて止める仕組み全体の改善に回されたとレポートは述べています。
Anthropicが挙げた3つの教訓
レポートの教訓は3点です。
1つ目は、フロンティアモデルで複雑な不正システムを半自律的に運用する利用者が出てきたことです。エージェント型AIが進めば、この傾向は続くとAnthropicは見ています。
2つ目は、技術力の低い攻撃者の能力をAIが押し上げる点です。本来は高度な専門知識が要る作業を、経験の浅い人物でもこなせるようになります。
3つ目は、脅威インテリジェンスの役割です。標準的な大規模検知で拾えない被害を見つけ、攻撃者がモデルをどう悪用しているかという文脈を補う、セーフティネットとして位置づけられています。
8月版のレポートでは何が続いたか
この3月版の流れは、2025年8月の続報へ続きます。Claude Codeを使った恐喝オペレーションなど、より自律的な使われ方が出てきます。詳しくはClaudeの悪用事例 — 2025年8月版レポートで見る手口の変化にあります。
Claude利用者にとっては、悪用検知が入出力の審査と会話分析の組み合わせで動いている点が実務上の前提です。自社の運用ルールづくりは社内のAI利用方針をClaudeで作成する手順が参考になります。開発中に拒否表示が出たときの動きは、Claude Codeの「Usage Policy refusal」の意味と対処にあります。
Anthropicが2024年10月に打ち出した的を絞ったAI規制の提言と合わせて読むと、規制論と実際の悪用事例のつながりが見えてきます。
まとめ
自社でClaudeを使う場面に引きつけるなら、AIに任せる判断の範囲と、人が確認する地点を先に決めておくことが論点になります。