LLM ATT&CK Navigatorとは — Claudeの脅威データを可視化する仕組み

LLM ATT&CK Navigatorは何を可視化するツールか

LLM ATT&CK Navigatorは、Claudeを悪用した攻撃者の行動を業界標準のMITRE ATT&CKフレームワークへ写像し、ARiES(AI Risk Enablement Score)という独自のリスクスコアを付ける分析フレームワークです。Anthropicが2026年6月3日のレポートで公開しました。

数字

分析の規模

• 分析したアカウント

  832件

  サイバー関連のポリシー違反で利用停止

• 観測した悪用行動

  13,873件

  14の戦術すべてにまたがる

• 中リスク以上の割合

  33% → 56%

  調査期間の前半から後半へ

832件は、自動化された安全対策と脅威インテリジェンスチームの調査で見つけた中から、手口をATT&CKに写像できるだけの詳細が残っていたアカウントです。停止したアカウントの全数ではなく、一部にあたります。各アカウントの活動を要約し、そこから戦術・技術・手順(TTP)を抜き出して写像しました。写像の詳しい手法はClaudeのMITRE ATT&CKマッピングで見えた攻撃者の変化で扱っています。

ARiESスコアはどう計算されているのか

ARiESは「Threat」「Vulnerability」「Impact」の3軸を足し合わせる加算式で、合計0〜100点です。点数に応じて低・中・高・重大の4段階に分かれます。Claude.ai、Claude Code、APIのどこでの活動も対象で、安全分類器とオープンソース・社内の脅威インテリジェンス指標を材料にします。

Threat軸の技術的洗練度は、Claude自身がプロンプトとツール使用の記録から採点します。見ているのは必要な専門性、オペレーターの熟練度、既製ツールか自作ツールか、能力の深さです。

では、なぜ従来の掛け算ではなく足し算なのか。

くらべる

掛け算と足し算で、見落とすものが変わる

脅威×脆弱性×影響

掛け算(従来のリスク式)

攻撃が成功するかを予測する式です。どれか1つがゼロなら総合もゼロになります。

意図がほぼゼロの初心者がエージェント型ツールを試すうち、ワーム化できるエクスプロイトを偶然作ってしまう場合は「リスクなし」と出ます。

0〜100点

足し算(ARiES)

欠けている次元があっても、残りの次元の信号が消えません。

悪意と能力は明確でも、まだ配備や被害の証拠がないマルウェア開発は、影響がゼロでも早期に拾いたいシグナルとして残ります。

代償もあります。ARiESは攻撃が成功する確率の予測ではなく、AIが関わった悪用がどれだけ懸念に値するかを測る物差しです。高得点は被害の発生を意味しません。

レポートの数字を引用する前に揃えておきたい点

同じレポートの中で、数字の書き方が揃っていない箇所があります。引用や社内資料に転記するときにずれやすい点を並べます。

もう1つ、割合の分母に注意が要ります。横方向への移動(ラテラルムーブメント)は、アクター単位では832件中54件の6.5%です。ところが防御回避の節では、観測された行動全体の0.7%と書かれています。権限昇格と影響フェーズも、アクター単位では22.5%、観測件数では権限昇格2.4%・影響2.8%です。

アクターの何割がその技術を使ったのかと、行動の何割がその技術だったのかは別の指標です。「ラテラルムーブメントは0.7%しかない」と書くと、6.5%のアクターが使った事実が消えます。

増加の読み方にも前提があります。中リスク以上の割合の伸びについて、レポートは検知技術の改善が寄与した可能性にも触れています。同時に、以前は少数の高リスク層にしか現れなかった実地作業を求めるアクターが増えたことも挙げています。増加の全部が攻撃者側の変化だとは書かれていません。

悪用パターンの分布から何が見えたか

13,873件の行動には明確な偏りがあります。最も多いのはT1587(能力の開発)で、832アカウント中574件(69%)が該当しました。内訳はT1587.001(マルウェア開発)が560アカウントで、カスタムスクリプトの作成、DLLインジェクションの実装、キャンバスフィンガープリンティングの回避、アカウント管理の自動化といった用途です。

次いでT1027(難読化)が64.7%、T1005(ローカルシステムからのデータ収集)が55.9%、T1562(防御機能の妨害)が54.9%と続きます。戦術単位では防御回避が最大で、84.4%のアクターが該当しました。

防御回避の中身は、XORやbase64によるエンコード、ポリモーフィック(実行ごとに形を変える)な亜種、検知回避用のラッパーといった難読化です。エンドポイントセキュリティ製品の回避・無効化・改ざんにAIを使ったアクターが54.8%、DLLインジェクションやプロセスホローイングのような悪性コードの作成が30.3%(T1055)でした。

逆に、現実の攻撃で定番のActive Directory攻略、Kerberosチケット攻撃、AWS・Azure・GCPのクラウド基盤操作、コンテナ脱出は、データセットでの出現が少ない領域です。

一方で、AIを侵入後の実地作業に使うアクターは少数です。リモートサービス(RDP・SSH・SMB)の利用は12アカウント未満でした。大半の攻撃者は、AIを攻撃前の道具作りに使っています。

高リスクを分けるのは何か

この少なさが、リスクの高さとは逆方向に効きます。ラテラルムーブメントを使った54アカウントの平均スコアは56.4点で、全体平均の46.8点を約10点上回りました。使わなかったアクターとの差は10.5点です。単独の技術としては最も強い指標で、レポートは他に並ぶものがないと書いています。

認証情報の使い回しやスピアフィッシングのような広く使われる技術は、最高リスク層と最低リスク層でほぼ同じ頻度でした。ありふれた技術の多さは、リスクの高さを示しません。

最高リスク層で多かった技術は、T1021(リモートサービス)、T1078.003(有効なアカウント)、T1003(OSの認証情報ダンプ)、T1560(収集データのアーカイブ)、T1505.003(Webシェル)です。いずれも全体の3〜5倍の頻度でした。

逆に、脅威インテリジェンスが普段頼る属性は予測力が弱いと報告されています。

• 技術的洗練度(スコアから除いた状態): 残りの要素との相関はr=0.28
• 使った技術の幅: リスクとの相関はr=0.27で、中央値は16種類
• 使った窓口: 80%がClaude Codeを使っており、会話型・API・エージェント型のどれに絞っても、リスクの分布は統計的に区別がつかない

最後の点は、Vulnerability軸との間に緊張があります。軸の設計ではAPIやClaude Codeが高得点になるのに、実データでは窓口の違いがリスクの差になっていません。差を生んでいたのは、どの技術をモデルに頼んだかでした。

準備から実地へ

半年ごとの推移では、使われる技術の中央値は前半も後半も16のままでした。変わったのは中身で、T1587(能力開発)が12%、T1566(フィッシング)が8.6%減り、T1087(アカウント探索)が8.9%、T1020(自動化された持ち出し)が6.2%増えました。侵入済みであることを前提にした技術が増えています。

GTG-1002はなぜ最高スコアになったのか

技術の数や種類では説明できない例が、2025年11月に公表されたサイバースパイ活動を主導したGTG-1002です。リスクスコアは満点の100点で、複数の国の政府機関や重要インフラの標的への侵入に成功しました。

ATT&CK上の記録は13の戦術にまたがる30種類の技術です。中央値の16種類の2倍近くですが、30種類を超える低リスクのアクターも複数います。数だけを見れば、中リスクのアクター数十件と同程度でした。

差を作ったのは、Kali Linux上でClaude Codeを動かし、オープンソースの侵入テストツールをMCP(Model Context Protocol)サーバーとして束ねた構成です。Claudeはコマンドを提案する助言役ではなく、実行まで自律的に担う操作役でした。次に何を調べるかも、オペレーターの入力を待たずに決めています。

流れ

GTG-1002の侵入の流れ

1. 1

   入口を突く

   公開Webサーバーの、サーバー側から任意の宛先へ要求を出させる脆弱性(SSRF)を突き、内部のクラウド環境へコマンドを中継しました。

2. 2

   認証情報を集める

   内部インフラからSSHの秘密鍵、クラウドのメタデータサービスやAWS Secrets Managerからサービスアカウントのトークンを集めました。

3. 3

   横へ移動する

   集めた認証情報で、被害者のクラウド環境内を横方向に移動しました。

4. 4

   想定外に適応して持ち出しを準備する

   コンテナイメージの署名ワークフローやサービスアカウントIDのような想定外の構成にも対応し、数万件の独自ワークフロー記録と設計文書を圧縮して持ち出しを準備しました。

5. 5

   最後だけ人間が実行する

   攻撃者のマシンへのダウンロードは、curlのMCPツール呼び出しによる人間の指示でした。重要な判断は人間が握り、運用作業をAIに任せています。

この人間とAIの分業を、レポートは技術頻度の表には映らない次元と呼び、エージェント型ツールが成熟するほど重要になると見ています。

防御側はNavigatorをどう使えるか

Anthropicが示したのは、単発の検知よりも、脅威インテリジェンスの語彙を広げる必要性です。Anthropicはスコアの高い技術に相関する検知を、分類器とプローブの両方で強化しました。さらに、多段階の自律実行、AI主導のピボット判断、MCPサーバーなどを介したツール連携型の操作といった、ATT&CKにうまく対応づけられない振る舞いの検知シグナルを開発中です。

最も有能なモデルには、ランサムウェア開発や大量のデータ持ち出しのような禁止行為を、リクエスト単位でリアルタイムに止める安全対策も入りました。二重用途の活動のうちリスクの高いものは、Cyber Verification Program(CVP)に回すことで、防御側の実務者が使い続けられる経路を残しています。Fable 5のサイバーセーフガードとjailbreak深刻度枠組みやConstitutional Classifiersは、この同じ流れにある取り組みです。

一般公開前の最有力モデルについては、Project Glasswingで攻撃面の能力を調べています。誤用が起きる前に、能力の行き先を把握して安全対策を設計する狙いです。

ATT&CKそのものについては、Verizonとの共同作業に続いてMITREと協議中です。提案しているのは、エージェント的・自律的・意思決定的な振る舞いを、複数の技術をまたいで記述できる横断カテゴリを足すことです。

防御側がAIを使う例として、アルバータ州政府が脆弱性を走査して修正した事例があります。Claude Codeで4億6,600万行のコードを約20時間で走査し、パッチは出す前にチームがレビューして承認しました。製品としてはClaude Securityも同じ文脈にあります。

まとめ

数字を引用するときは、アクター単位か観測件数単位かという分母と、窓口別のリスク差が小さいという前提を一緒に押さえておくと、読み違いを避けられます。