ClaudeのMITRE ATT&CKマッピングで見えた攻撃者の変化 — 832件の分析
Anthropicは不正利用で停止した832アカウントをMITRE ATT&CKに照らして分析。AIの使われ方が侵入後の工程へ移り、既存フレームワークが追いつかない実態が見えました。
832件のアカウント停止データが示したもの
Anthropicは2026年6月3日、不正なサイバー活動を理由に2025年3月から2026年3月の間にアカウントを停止した832件を、業界標準の攻撃フレームワークであるMITRE ATT&CKに照らして分析した報告を公開しました。この832件は同期間に停止した全アカウントの一部で、攻撃者の手法を十分に評価できるだけの詳細情報が残っていたケースに限定されています。つまり実際の悪用件数はこれよりずっと多く、今回の数字はそのうち「詳しく検証できた分」の傾向であるという前提を踏まえて読む必要があります。分析結果の一部はVerizonの「2026年版データ侵害調査報告書(DBIR)」にも提供されており、今回はその詳細版にあたります(2025年8月版レポートで見た手口の変化と時系列で並べて読むと、悪用パターンの推移がより立体的に見えてきます)。
MITRE ATT&CKは、サイバー攻撃者が実際に使う戦術(Tactics)と技術(Techniques)を体系的に整理した、セキュリティ業界で長年使われてきたデータベースです。侵入初期のフィッシングから、権限昇格、横方向移動、データ持ち出しまで、攻撃の各段階で観測される手口に固有のIDが割り振られ、セキュリティチームが自組織のログや検知ルールを標準化された語彙で語るための共通言語として機能してきました。Anthropicは今回、このATT&CKを物差しにして、AIが攻撃者にどう使われているかを定量的に測っています。
結論は大きく3つです。悪意ある利用者はAIをより危険な形で使うようになっている。サイバー攻撃はより自律的になり、従来の「高リスクか低リスクか」を見分ける手がかりが効かなくなりつつある。そしてMITRE ATT&CKフレームワーク自体が、AI活用型の攻撃者を捉えきれていない。
AIはどこで攻撃者を強くしているか
832件のうち最も多かった用途は攻撃の準備段階で、560件(67.3%)がマルウェア作成にAIを利用していました。一方、侵入後にネットワーク内部を移動する「横方向移動」にAIを使ったのは54件(6.5%)にとどまります。この10倍以上の落差は、検知の重心をどこに置くべきかという設計判断に直結します。マルウェア作成は攻撃者の手元で完結する準備作業であり、ネットワークの外からは観測しにくい一方、横方向移動は防御側のログに痕跡が残りやすい工程です。件数の少なさは「危険度が低い」ことを意味しません。既存の検知ルールがマルウェア作成の段階をほとんど捉えられておらず、横方向移動のような可視性の高い工程にAI利用が現れて初めて件数として計上されている、という見方の方が実態に近いといえます。
ただし、リスクの高い利用は明確に増えています。分析対象期間の前半6か月では、Anthropicのリスクスコアで中リスク以上に分類された利用者は33%でしたが、後半6か月には56%まで上昇しました。約1.7倍の増加です。
用途の中身も変化しています。侵害環境内の有効なアカウントを特定する「アカウント探索」でのAI利用は8.9ポイント増えた一方、初期侵入によく使われる「AIを使ったフィッシング」は8.6ポイント減少しました。攻撃者がAIを使う場面は、システムに入る前の段階から、入った後の段階へと重心を移しています。かつては高度な技術知識を持つ攻撃者にしかできなかった「侵入後」の作業を、AIが技術力の低い攻撃者の代わりに担えるようになったということです。
なぜ攻撃者のリスクを見分けにくくなったか
セキュリティチームは従来、攻撃者が使う手法の種類数や、利用するツール・インターフェースの違いでリスクを判断してきました。しかし今回の分析では、この物差しが機能しなくなっていることが分かりました。
技術力が最も低い攻撃者グループの平均使用技術数は約16種類、最も高いグループでも約20種類と、大きな差がありません。Claude Code・API・チャットインターフェースのどれを使っているかも、リスクレベルとは相関しませんでした。
現時点でなお有効な手がかりは、AIを攻撃のどの段階に投入しているかです。高リスクの攻撃者は、アカウント探索や横方向移動、権限昇格といった、時間や判断力を要する「運用負荷の高い」工程にAIを集中投入する傾向があります。人間の攻撃者が本来なら経験と勘に頼って判断してきた局面をAIに肩代わりさせられるかどうかが、攻撃の効率とリスクの高さを同時に押し上げているためです。
ただしこの手がかりも薄れつつあります。前述のとおり、アカウント探索でのAI利用が8.9ポイント増えたように、そうした運用負荷の高い工程へのAI活用自体が全体で増加しているからです。今は高リスク層に特有だった振る舞いが、時間の経過とともに攻撃者全体の標準的な使い方へと広がっていく構図であり、この手がかりは今後さらに識別力を失っていくと見込まれます。Anthropicが指摘するより持続的な違いは、攻撃者が構築する「足場」の設計です。攻撃の各段階をAIに連続して実行させ、人間の入力を最小限に抑えるアーキテクチャを組めるかどうかが、真のリスク差になっています。
MITRE ATT&CKに欠けているもの
最高リスクの攻撃者を特徴づける挙動、たとえば攻撃の各段階を順序立てて自律実行させる、リアルタイムで次の行動を判断させる、人間の介入なしに実行させるといった振る舞いは、現行のMITRE ATT&CKフレームワークにはまだ攻撃者の技術として登録されていません。
その典型例が、2025年11月にAnthropicが阻止したサイバースパイ作戦です。攻撃者はClaude Codeを操って世界中の標的への侵入をほぼ人手を介さずに試みました。この攻撃をMITRE ATT&CKに照らすと、13の戦術にまたがる30種類の技術が使われており、これは今回の分析対象の中程度リスクの攻撃者と同水準の技術種類数でした。しかし独自のリスクスコア方式で評価すると、この攻撃は満点の100点でした。技術の種類数だけを見ていれば、この攻撃の危険度は大きく過小評価されていたことになります。
その攻撃では、モデルは自律エージェントとしてコマンドを実行し、脆弱性を突き、認証情報を盗み、戦術的な判断を下しました。人間の入力が必要だったのはごく一部の重要な局面のみです。こうした「エージェント的な指揮統制」に対応するMITRE ATT&CKの技術IDは、現時点で存在しません。AIエージェントがさらに高性能になるにつれ、この種の振る舞いはむしろ増えると見られています。
攻撃者はどう見分けるべきか、新しい着眼点
これまでのセキュリティ運用は、検知したログから「使われた技術の種類数」や「使われたツールの高度さ」を数えてリスクを判定するのが定石でした。今回の分析はこの定石そのものを揺さぶっています。技術数でもツールでもリスクを見分けられないとすれば、防御側が見るべき指標は「AIがどの工程に投入されているか」と「攻撃の各段階がどれだけ自動で連結されているか」の2点に絞られます。前者は今回のデータで測定可能な指標ですが、後者は既存の検知ログだけからは読み取りにくく、ここにこそATT&CKのようなフレームワークが埋めるべき空白があります。
Verizon DBIRとの連携が意味すること
今回の分析結果の一部がVerizonの年次データ侵害調査報告書(DBIR)に提供された点も見逃せません。DBIRは業界横断で実際のインシデント統計を集約する報告書として広く参照されており、Anthropic単独の観測データではなく、業界標準の統計に組み込まれる形で共有されたことになります。AI企業が自社の悪用データを外部の業界レポートへ提供する動きとして、今後の業界基準づくりに影響しうる事例です。
分析結果はどう活かされているか
Anthropicはこの分析結果をもとに、マルウェア開発や大規模なデータ持ち出しといった行為を検知・遮断するサイバー安全対策を、最も高性能なモデルに実装しています。Verizonとの協力に続き、MITREともATT&CKフレームワークをAIエージェントの振る舞いに対応させる方向で協議を進めています。
Anthropicは今後もProject Glasswingをはじめとする取り組みや、こうしたデータセットから学んだ知見を継続的に共有するとしています。技術に対する見立てが3か月〜半年単位で更新される領域である以上、防御側もこの分析を一度読んで終わりにはできません。
Anthropicが評価やレッドチーム活動そのものでどんなリスクに直面しているかはAnthropicサイバー評価インシデント3件、モデル側の隔離設計の全体像は「Claudeを封じ込める」3パターンにまとめています。実務でのセキュリティ活用例はClaudeをサイバーセキュリティ業務でどう使うかを参照してください。
Frontier Red Teamブログで見られる詳細分析
Anthropicはこの報告の詳細版を、社内のFrontier Red Teamが運営するブログでも公開しています。攻撃者が使った技術を対話的に可視化したツールも用意されており、防御側が自組織の検知ルールとATT&CKの技術IDを突き合わせる際の参考になります。
実務担当者にとっての含意はシンプルです。技術数やツールの高度さだけで攻撃者の危険度を判断するアラート設計は、今後ますます外れやすくなります。
まとめ
832件のアカウント停止データが示したのは、AIが攻撃の「準備」から「侵入後」の工程へ着実に用途を広げているという事実です。技術の種類数という従来の物差しはもはや機能せず、攻撃者を隔てるのはAIをどう組み込むかという足場の設計に移っています。MITRE ATT&CKのような既存の業界標準フレームワークも、この変化に追いついていません。Anthropicはこの分析をMITREとの協議に活かしつつ、防御側への情報共有を続けるとしています。