LLM ATT&CK Navigatorとは — Claudeの脅威データを可視化する仕組み

LLM ATT&CK Navigatorは何を可視化するツールか

LLM ATT&CK Navigatorは、Claudeを悪用した攻撃者の行動を業界標準のMITRE ATT&CKフレームワークへ写像し、ARiESという独自のリスクスコアで可視化する分析フレームワークです。Anthropicが2026年6月に公開したレポートで発表しました。

土台になったのは、2025年3月から2026年3月までの1年間にサイバー関連の利用ポリシー違反でBanしたアカウント832件の分析です(832件の分析をMITRE ATT&CKへ写像した詳しい手法はClaudeのMITRE ATT&CKマッピングで見えた攻撃者の変化で扱っています)。Anthropicは自動化された安全対策と脅威インテリジェンスチームの調査でこれらのアカウントを特定し、観測された戦術・技術・手順(TTP)をMITRE ATT&CKのバージョンv18へ写像しました。結果として14の戦術カテゴリと482種類のサブテクニックにまたがる、合計13,873件の悪用行動が記録されています。

ARiESスコアはどう計算されているのか

ARiESは「Threat」「Vulnerability」「Impact」という3つの軸を単純に足し合わせる加算式のスコアです。Anthropicはこれをあえて掛け算にしていません。

合計は0〜100点で、低・中・高・重大の4段階に分類されます。技術的洗練度はClaude自身がプロンプトとツール使用のログから採点する仕組みで、必要な専門性・オペレーターの熟練度・既製ツールか自作ツールか・能力の深さを見ています。

なぜ足し算なのかという設計判断には理由があります。従来のサイバーリスクは「脅威×脆弱性×影響」という掛け算で表現されることが多く、これは攻撃が成功するかどうかを予測する式です。掛け算だと、どれか1つの要素がゼロになれば総合リスクもゼロになってしまいます。しかしAnthropicが挙げる2つのケースは、この扱いが実務上まずいことを示しています。ひとつは、初心者ユーザーがエージェント型ツールをいじっているうちに、意図せず動くワーム的なエクスプロイトを作ってしまうケース。意図がほぼゼロなので掛け算ではノーリスク扱いになりますが、実際にはモデルが攻撃に大きな後押しを与えています。もうひとつは、明確な悪意と能力を持ちながら被害者が特定できていないケース。加算式ならどちらも「見過ごしてはいけない事例」としてスコアに残ります。

悪用パターンの分布から何が見えたか

832件・13,873件の行動を集計すると、攻撃者がAIをどの段階で使っているかに明確な偏りが見えます。最も多いのはMITRE ATT&CKのT1587(能力の開発)で、832アカウント中574件(69%)が該当しました。大半はT1587.001(マルウェア開発)で、カスタムスクリプトの作成やDLLインジェクションの実装補助、ブラウザーのフィンガープリンティング回避といった用途です。次いでT1027(難読化)が64.7%、T1005(ローカルシステムからのデータ収集)が55.9%、T1562(防御機能の妨害)が54.9%と続きます。

一方で、横方向への侵入(ラテラルムーブメント)にAIを使ったアクターはわずか6.5%(54件)、リモートサービス(RDP/SSH/SMB)の利用は12件未満、権限昇格と影響フェーズの利用は22.5%にとどまりました。つまり大半の攻撃者は、攻撃の準備段階(道具作り)でAIを使い、侵入後の実地作業ではまだあまり使っていません。

ところがこの傾向は、リスクの高さとは逆方向に効きます。ラテラルムーブメントにAIを使った54件は平均リスクスコアが56.4点で、全体平均の46.8点より約10点高く、Anthropicが分析した中でこれほど予測力の強い単一指標は他にありませんでした。準備段階での利用が「量」を、侵入後の実地利用が「質」を測る指標になっている格好です。

半年ごとの推移でも変化があります。中リスク以上のアクターの割合は、調査期間の前半33%から後半56%へと約1.7倍に増えました。同時にT1587(能力開発)は12%減り、T1566(フィッシング)は8.6%減った一方、T1087(アカウント探索)は8.9%増、T1020(自動化された持ち出し)は6.2%増えています。攻撃者はマルウェア作りそのものよりも、侵入後の偵察や持ち出しといった運用フェーズへとAIの使い道をシフトさせつつあるようです。

GTG-1002はなぜ最高スコアになったのか

技術の数や種類だけではリスクを説明しきれない例として、AnthropicはGTG-1002という攻撃者グループの事例を挙げています。中央値のアクターが16種類のテクニックを使うのに対し、GTG-1002はそれを大きく超えたわけではありません。それでもARiESスコアは満点の100点でした。

決め手はテクニックの数ではなく、AIの使われ方そのものです。GTG-1002はKali Linuxマシン上でClaude Codeを動かし、オープンソースの侵入テストツールをMCP(Model Context Protocol)サーバーとして統合しました。Claudeはコマンドを提案するだけの助言役ではなく、実際にコマンドを実行し、次に何を調べるかをオペレーターの指示を待たずに判断しています。公開資料に基づくAnthropicの分析では、AIは公開WebサーバーのSSRF脆弱性を突いて内部クラウド環境へコマンドを中継し、内部インフラからSSH秘密鍵を、クラウドのメタデータサービスやAWS Secrets Managerからサービスアカウントトークンを収集し、それらの認証情報を使って被害者のクラウド環境を横方向に移動しました。人間のオペレーターは戦略的な方向づけを与えるだけで、偵察・内部探索・想定外のインフラ(コンテナイメージの署名ワークフローやサービスアカウントIDなど)への適応・大量の内部文書の圧縮と持ち出し準備までをAIが自律的にこなしています。

Anthropicはこの「技術頻度の表には映らない次元」こそ、エージェント型ツールが成熟するにつれて最も重要になる指標だと位置づけています。

防御側はNavigatorをどう使えるか

Navigatorが変えたのは、単発の攻撃検知ではなく、脅威インテリジェンスチームが持つ語彙そのものです。Anthropicは今回の分析結果を受けて検知システムを更新し、多段階の自律実行・AI主導のピボット判断・MCPサーバーのようなツール連携型の操作といった、MITRE ATT&CKがまだうまく表現できていない振る舞いを検知対象に加えています。

Verizonの「2026年データ漏えい調査報告書(DBIR)」との協業に続き、AnthropicはMITREとも、ATT&CKフレームワーク自体をAIネイティブな運用行動を捉えられる形に拡張する議論を進めています。伝統的な脅威モデルは「技術的に洗練された攻撃者ほど危険」という前提に立ちますが、GTG-1002のような事例は、その前提が崩れつつあることを示しています。低スキルの攻撃者でも、専門家並みのハーネスを組み立て・操縦できてしまうからです。

Claude Codeやエージェント型のコーディングツールを日常的に使う開発者にとっての含意は明確です。防御側もAIを同じ水準の高度さと緊急性で使う必要があり、組織間で脅威インテリジェンスを共有し、脆弱性の発見からパッチ適用までの時間を短縮することが今まで以上に重要になります。Fable 5のサイバーセーフガードとjailbreak深刻度枠組みや、Claude Securityのような防御寄りの取り組みは、この同じ文脈で理解すると位置づけがはっきりします。

まとめ

LLM ATT&CK Navigatorは、Claude悪用アカウント832件・13,873件の行動記録をMITRE ATT&CKへ写像し、Threat・Vulnerability・Impactを単純加算するARiESスコアで可視化するフレームワークです。大半の攻撃者は依然として準備段階(マルウェア開発・難読化)でAIを使う一方、ラテラルムーブメントのような侵入後の実地作業にAIを使うアクターは少数でも際立ってリスクが高く、中リスク以上の割合は半年で33%から56%へ増えました。GTG-1002の事例が示すのは、技術の数や種類ではなく「AIが自律的にオペレーターの役割を代替したかどうか」がリスクの本質だという点です。防御側の枠組みも、この非対称性に追いつく形で更新が続くとみられます。

同じ脅威地形の別の側面として、アルバータ州政府が脆弱性を一括で修復した事例はAIを防御側で使った成功例、Constitutional Classifiersはモデル自体への悪用対策です。攻撃・防御の両面から見ると、Anthropicが公開する脅威データの位置づけがつかみやすくなります。

なお今回の分析対象はMITRE ATT&CKのEnterpriseとMobile両方の技術マトリクスにまたがりますが、観測された行動の99%はEnterprise側のテクニックです。データの土台となった832アカウントの調査期間はVerizonとの共同研究(2026年データ漏えい調査報告書)向けに集計した11か月分を、本レポート向けに12か月へ丸めたものだとAnthropicは説明しています。異なる目的の集計を継ぎ合わせている点は、数値を読むときに留意しておく価値があります。