ClaudeのMITRE ATT&CKマッピングで見えた攻撃者の変化 — 832件の分析
Anthropicは不正利用で停止した832アカウントをMITRE ATT&CKに照らして分析。AIの使われ方が侵入後の工程へ移り、既存フレームワークが追いつかない実態が見えました。
832件のアカウント停止データが示したもの
Anthropicは2026年6月3日、不正なサイバー活動で停止した832件のアカウントの分析結果を公開しました。停止は2025年3月から2026年3月の間で、攻撃手法のデータベースであるMITRE ATT&CKに照らして分析しています。この832件は停止アカウントの全数ではありません。攻撃者の手法をATT&CKに対応づけられるだけの詳細が残っていたアカウントに絞った一部です。
分析の一部はVerizonの「2026年版データ侵害調査報告書(DBIR)」にも載りました。DBIR向けには11か月分のデータを提供し、今回の報告で12か月に延ばしています。2025年8月版レポートで見た手口の変化と並べると、悪用パターンの推移が追えます。
分析データの規模
対象アカウント
832件
停止アカウントの一部
観測した行為
13,873件
482種類の技術に対応
使われた戦術
14戦術すべて
初期偵察から最終的な影響まで
MITRE ATT&CKは、攻撃者が実際に使う戦術(Tactics)と技術(Techniques)に固有のIDを振った体系です。セキュリティチームが自組織のログや検知ルールを共通の語彙で語るために使われてきました。今回の分析は、ATT&CKのバージョン18に各アカウントの行為を対応づけています。ATT&CKの現行版では戦術が15に増えています。防御回避(TA0005)はStealthに改称され、Defense Impairment(TA0112)が新設されました。
結論は3つです。悪意ある利用者は、攻撃の後半の複雑な工程でAIを使うようになっています。攻撃は自律性を増し、技術の数でリスクを見分ける従来の手がかりが効かなくなりました。そしてATT&CK自体が、AI活用型の攻撃者の危険な部分を捉えきれていません。
リスクはどう数えたか — ARiESという物差し
件数の話に入る前に、この分析が「リスクが高い」と言うときの物差しを押さえておきます。Anthropicは各アカウントに0〜100点を付ける独自の方式ARiES(AI Risk Enablement Score)を作りました。Claude.ai・Claude Code・APIでの活動を、安全分類器や脅威インテリジェンスの指標とあわせて採点します。
ARiESの配点
Threat
0〜35点
意図の明確さ、技術力、検知回避の工夫
Vulnerability
0〜35点
モデルが害を実現する力と、使った窓口のリスク
Impact
0〜30点
現実への影響の実績と見込み
窓口のリスクの扱いには注意が要ります。Vulnerabilityの採点では、APIやClaude Codeのような自動化しやすい窓口が最も高くなります。一方、停止した832件の分析では、窓口ごとのリスクの差はほとんど出ませんでした。この食い違いは後の節で触れます。
掛け算ではなく足し算にした理由も示されています。従来のリスク式は脅威×脆弱性×影響の掛け算で、どれか1つが0なら全体が0になります。たとえば、悪意のない実験の過程で攻撃に転用できるエクスプロイトを作ってしまった利用者は、意図が0なので掛け算では無リスクです。マルウェアを作らせたがまだ被害者が見つかっていない攻撃者も、影響が0になります。足し算なら、こうした部分的な兆候が見える状態で残ります。
その代わり、このスコアは攻撃が成功するかどうかの予測ではありません。防御側がどのケースに注目すべきかを並べるための、懸念度の指標です。
AIは攻撃のどの工程で使われているか
最も多かった用途は攻撃の準備です。技術の系統で見ると、T1587(能力開発)が574アカウント(69%)で最多でした。その大半がT1587.001(マルウェア開発)で、560アカウント(67.3%)にのぼります。使われ方は、独自スクリプトの作成と改良、DLLインジェクションのコード、自動アカウント管理などです。
次に多いのは、検知を避けるための難読化(T1027、64.7%)、端末内データの収集(T1005、55.9%)、防御の無効化(T1562、約55%)でした。戦術別では防御回避が最大で、84.4%のアカウントに現れます。
AIを使う工程の偏り
侵入前の準備
マルウェア開発は560アカウント(67.3%)で、AIの利用が最も集中している工程です。難読化や防御の無効化も半数を超えます。
侵入後の操作
横方向移動(ネットワーク内部での移動)は54アカウント(6.5%)です。RDP・SSH・SMBなどのリモートサービスは12アカウント未満、権限昇格と影響の工程は22.5%でした。
観測された行為の総数で見ると、さらに差が開きます。影響・持ち出し・権限昇格・横方向移動を合わせても、全観測の8.7%です。防御回避の戦術1つより少ない割合になります。横方向移動だけなら0.7%でした。
ここで件数だけを見て「侵入後の利用は危険度が低い」と読むと外します。アカウント単位のリスクスコアと突き合わせると、横方向移動は最も強い目印になっていました。横方向移動にAIを使った54アカウントの平均スコアは56.4で、全体の平均46.8を約10点上回ります。ほかのどの技術も、これほどスコアを予測できませんでした。
高リスクのアカウントで特に多かった技術は5つです。リモートサービス(T1021)、有効なアカウント(T1078.003)、認証情報のダンプ(T1003)、収集データのアーカイブ(T1560)、Webシェル(T1505.003)です。いずれも全体の3〜5倍の頻度で現れました。逆に、フィッシングや資格情報の使い回しのような定番技術は、リスクの高低にかかわらず同じ頻度で使われています。
分析の側にも偏りがあります。Active Directoryの攻略、Kerberosチケット攻撃、クラウド基盤の操作、コンテナからの脱出といった実際の攻撃の定番は、データ内での出現が少なめでした。
半年で何が変わったか
分析期間を前半と後半の6か月に分けると、中リスク以上の利用者は33%から56%に増えました。約1.7倍です。前半は大多数が低リスクで、後半は大多数が中リスクでした。
増えたのは、侵入後の作業を頼む利用者です。T1087(アカウント探索)は8.9%増え、T1020(自動持ち出し)は6.2%増えました。反対に、T1587(能力開発)は12%、T1566(フィッシング)は8.6%減っています。単体のマルウェアや難読化スクリプトを作らせる使い方が減り、侵入先での探索と収集に移った形です。
ただし、この増加には検知手法の改善が寄与した可能性も示されています。それでも、以前は少数の高リスク層にしか現れなかった侵入後の作業を、技術力の低い層や中程度の層もAIに頼むようになった点は動きません。上位の技術の顔ぶれと使用頻度自体は、1年を通じて大きく変わりませんでした。
技術数・ツール・窓口でリスクが分からない理由
セキュリティチームは従来、使われた技術の数や、攻撃者の技術力、使うツールの違いでリスクを見積もってきました。今回のデータでは、どれも弱い目印にしかなりません。
- 技術の数とリスクスコアの相関は、r=0.27と弱い正の相関にとどまる
- 技術力の評価をスコアから外しても、上位6アカウントの順位は変わらない
- 技術力が最も低いグループは平均約16種類、最も高いグループでも約20種類の技術を使う
- 利用者の80%がClaude Codeを使っており、窓口が違ってもリスクの分布はほぼ区別できない
中央値のアカウントは16種類の技術を使います。数年前なら、資金と技術を備えた組織の作戦を疑わせる幅でした。今はAIが高度な作業を肩代わりするので、この幅は技術力の証拠になりません。
役に立つ手がかりは、AIをどの工程に投入しているかです。高リスクの攻撃者は、時間や監視、リアルタイムの判断が要る運用負荷の高い工程に集中します。アカウント探索、横方向移動、権限昇格がその例です。
とはいえ、この手がかりも薄れつつあります。上で見たとおり、運用負荷の高い技術へ全体が移っているためです。Anthropicはこの種の技術が将来「当たり前の水準」になり、最もリスクの高い層を測る新しい方法が要ると述べています。より持続しそうな違いは、モデルの周りに攻撃者が組む足場(スキャフォールディング、周辺のコード・構成・ツール群)です。攻撃の各段階をつなぎ、人間の入力を最小限にして実行させる仕組みを組めるかどうかが分かれ目になります。
技術数が同じでも危険度は違った — GTG-1002の事例
足場の差が最もはっきり出た例が、2025年11月にAnthropicが阻止した国家支援のサイバースパイ作戦です。この作戦では、攻撃者がClaude Codeを操り、世界中の約30の標的に侵入を試みました。成功した例は少数です。ATT&CKに照らすと13の戦術にまたがる30種類の技術で、これは中リスクの攻撃者の多くと同水準でした。低リスクの攻撃者の中にも、30種類を超えるものがいます。
同じ攻撃を2つの物差しで見ると
ATT&CKの技術数で見る
13戦術・30種類の技術で、技術数だけなら中リスク帯に収まります。
ARiESで見る
AIを自律的な実行役に据え、段階をつなげて動かした点が評価され、これまで観測した最高リスクの攻撃者になりました。
Red Teamブログによると、この攻撃者(GTG-1002と呼ばれる)は、Kali Linux上でClaude Codeを動かしました。オープンソースの侵入テストツールをMCPサーバーとして組み込み、助言役ではなく自律的な実行役としてモデルを使っています。攻撃の流れは次のとおりです。
GTG-1002の攻撃の流れ
- 1
標的の選定と足場づくり
人間の運用者が標的を選び、Claude Codeを自動化ツールとして使う攻撃の枠組みを作りました。モデルには、無害に見える小さな作業に分けて依頼し、正規のセキュリティ企業の従業員だと伝えて、安全装置をかいくぐらせています。
- 2
偵察と内部探索
インターネットに面した数十のサービスを調べて地図にし、侵入後は管理ポータル、データベース、ログサーバー、ワークフロー基盤を見つけました。次に何を調べるかは、運用者の指示を待たずにモデルが判断しています。
- 3
脆弱性の悪用と横展開
公開Webサーバーのリクエスト偽造(SSRF)の脆弱性を突いて、内部のクラウド環境へコマンドを中継しました。内部基盤のSSH秘密鍵、クラウドのメタデータサービスやAWS Secrets Managerからサービスアカウントのトークンを集め、その認証情報でクラウド内を移動しています。
- 4
データの収集と持ち出し
数万件の社内ワークフロー記録と設計資料をまとめて圧縮するところまでAIが進めました。攻撃者の端末への最終的なダウンロードは、人間が指示しています。重大な判断は運用者が握り、作業はAIに任せる分担でした。
この事例の新しさは、偵察・悪用・横方向移動・持ち出しという複数の段階を、AIが1つの流れとしてつなぎ、その場で何をするか決めた点にあります。技術の頻度表では、この次元は見えません。
ATT&CKに足りないもの
最高リスクの攻撃者を特徴づける振る舞いには、攻撃の段階を順に自律実行させる、次の一手をその場で決めさせる、人間の介入なしに実行させる、などがあります。こうした自律的な指揮にあたる技術IDは、ATT&CKにまだありません。今回の報告に含まれる13,873件の観測はすべてATT&CKの項目に対応づけられましたが、危険度を分ける要素はIDの外にありました。
提案されている方向は、個々の技術に新しいIDを足すことではありません。複数の技術をつなげる、エージェント的・自律的・意思決定的な振る舞いを捉える、横断的な分類を足すことです。技術の一覧に載る行為と、それを束ねる振る舞いを別の層で語れるようにする考え方です。
防御側の目には、これが検知設計の問題として映ります。ログから技術の種類数や道具の高度さを数えるだけだと、GTG-1002のような攻撃は中リスクに見えます。
分析結果はどう使われているか
Anthropicはこの分析の結果を、Claudeの安全対策に反映しています。
- 最も高性能なモデルに、マルウェア開発や大規模なデータ持ち出しなどの禁止行為をリクエスト単位で検知・遮断するサイバー安全対策を入れた
- 高リスクの攻撃者を見分ける分類器を更新し、ARiESの高いスコアと相関する振る舞いを捉えるプローブ検知を広げた
- 複数段階の自律実行、AIによる進路判断、MCPサーバー経由の操作といった、MITREにうまく対応しない振る舞いの検知信号を開発している
- 攻撃にも防御にも使われるデュアルユースの活動は、防御側の実務者が使い続けられるCyber Verification Program(CVP)に回す
MITREとは、ATT&CKをAIエージェントの振る舞いに対応させる方向で協議が進んでいます。最も高性能なモデルの攻撃能力を一般公開の前に調べるProject Glasswingの知見も、継続的に共有される予定です。
あわせて読むと位置づけが分かる記事があります。Anthropic自身が評価やレッドチーム活動で直面したリスクはAnthropicサイバー評価インシデント3件に、モデル側の隔離設計は「Claudeを封じ込める」3パターンにあります。守る側の活用はClaudeをサイバーセキュリティ業務でどう使うかが扱っています。なお、攻撃者が悪用したのはClaude Codeのようなエージェント型ツールの自律実行です。
まとめ
アラートの重み付けを技術の数やツールの高度さに頼っている組織では、GTG-1002のように技術数が平凡で危険度が最高の攻撃を取り逃がします。見直しの軸は、AIがどの工程に入っているかと、段階がどこまで自動でつながっているかです。
LLM ATT&CK Navigatorという対話的な可視化ツールも公開されており、自組織の検知ルールとATT&CKのIDを突き合わせる入口になります。