Anthropic 脅威レポート2026年9月版 — 攻撃の「高度さ」ではなく「経済性」が変わった

要約

Anthropic の Threat Intelligence チームは 2026-09-10、2025年12月〜2026年8月に検知・停止した Claude 悪用事例をまとめたレポートを公開しました。約154ページ。2025年3月・8月・11月に続く4本目です。

対象は7つの被害領域です。サイバー作戦、影響工作（influence operations）、監視、詐欺・不正、生物学的悪用、通常兵器開発、蒸留（distillation）。悪用に使われたのは Claude Haiku / Sonnet / Opus で、Fable / Mythos クラスは違法な蒸留事例1件を除いて確認されていません。

このレポートの中心的な主張は、「攻撃が高度になった」ではありません。「攻撃の経済性が変わった」です。

レポートは、ハクティビスト（GTG-50029）、認証情報を収集する金銭目的の集団（GTG-50014）、国家系のスパイ活動（GTG-20006）が、いずれも同じ方法論を取っていたと指摘します。使われた手口自体は目新しくありません。 盗まれた認証情報、未パッチのエッジ機器、SQL インジェクション、フィッシング。新しいゼロデイが使われたわけではない、と明記されています。

変わったのは、従来なら潤沢な資源を持つ組織だけが実行できた労働集約的な部分です。偵察、侵害、ツール開発、データ処理。これらがすべて AI へ委譲され、ハーネス上で機械速度かつ並列に走るようになりました。 結果として、侵害完了まで2〜3時間、1人の攻撃者が数十の標的を並行して扱うという数値が出ています。

自律性は段階的な幅を持つという整理も示されました。会話的な補助（マルウェアやフィッシングキットの作成支援）から、人が標的を判断しつつ Claude が実行する段階、そして人の監督がほぼ無いまま多段エージェントが偵察・侵害・窃取を並行実行する段階まで観測されています。盗んだアクセストークンを定期ジョブで更新し続け、被害者のクラウドストレージを人手なしで回収し続けていた事例も報告されました。

影響工作は9件で、ロシア・イラン・トルコ・湾岸諸国・南アジア・アフリカ・欧州を起点に、6大陸の受け手を標的としました。偽の SNS アカウント群と、丸ごと偽のニュースサイトを構築して出自を隠す手口が中心です。関与していたのは政府、国家系のプロパガンダ機関や国営メディア、影響工作を商品として販売する民間企業、国内の政治工作者、亡命中の反体制勢力でした。

生物学的悪用については、AI 事業者が自社モデルの生物兵器関連の悪用検知を公表した初の事例とされます。チクングニア熱ウイルスの機能獲得研究に関する助成金申請の草案、パンデミック能力を持つ鳥インフルエンザ変異株の探索などが含まれます。Anthropic は「生物学の能力はデュアルユースであり、ワクチン開発と兵器開発を切り分けるのは難しい」と述べたうえで、攻撃者がそのデュアルユース性を「もっともらしい否認」の手段として意図的に使っていると指摘しています。

各事例で Anthropic はアカウントを停止し、学んだ内容を安全策へ反映し、当局・業界パートナーと情報を共有したとしています。

何が変わったか

• 2025-12〜2026-08 の悪用事例が、7領域・脅威グループ ID 付きで公開された
• 新しい脆弱性ではなく、攻撃の経済性が変わったという整理が示された
• 国家系と小規模犯罪集団が同じ方法論を取っており、両者を分けるのは能力ではなく意図だけになった
• 侵害完了 2〜3時間、1人で数十標的の並行処理という具体的な数値
• 自律性が**「会話的補助 → 人が標的判断 → 完全自律」**の連続的な幅として整理された
• **公開されている攻撃用エージェントフレームワーク（PentAGI 等）**が、足場を誰にでも提供している
• 影響工作9件、影響工作を商品として売る民間企業の存在
• 生物兵器関連の悪用検知を AI 事業者が公表した初の事例

業務インパクト（一般企業向け）

このレポートが崩しているのは、「うちは狙われるほどの規模ではない」という前提です。

従来、攻撃の高度さは攻撃者の資源に比例していました。国家系の高度な攻撃は限られた標的に向かい、それ以外は機械的なばらまきに当たる。だから「自社の規模ならこの程度の防御でよい」という見積もりが成り立っていました。

レポートが示すのは、その比例関係が消えたということです。1人の攻撃者が数十の標的を並行して扱えるなら、「手間がかかるから狙われない」という守りは機能しません。 手間がかからなくなったからです。規模の小さい組織ほど、この変化の影響を強く受けます。

では何をすべきか。逆説的ですが、レポートの内容は「基本を固めろ」という結論を支持しています。

使われた手口は、盗まれた認証情報、未パッチのエッジ機器、SQL インジェクション、フィッシングです。新しい攻撃に対する新しい対策が必要なのではなく、既知の穴が、より速く、より多く突かれるようになったという話です。多要素認証、エッジ機器のパッチ適用、認証情報の棚卸し。目新しさはありませんが、これらが未了のまま高度な AI 対策を検討するのは順序が逆です。

加えて、検知の前提を変える必要があります。

「2〜3時間で侵害完了」という速度は、日次のログレビューでは間に合わないことを意味します。週明けに気づく運用では、週末に入られた場合に何も残りません。検知から対応までの時間を、攻撃の速度に合わせて設計し直す必要があります。これは人を増やす話ではなく、自動化と通知設計の話です。

自社が AI エージェントを使う側としての論点もあります。

レポートに出てくる「多段エージェントが人の監督なしに並行実行する」という構成は、攻撃側だけのものではありません。 自社で業務用エージェントを組むときにも同じ形になります。外部から取得したコンテンツを読ませながら、同一セッションで操作権限を与える構成は、そのままプロンプトインジェクションの経路になります。攻撃側の事例は、自社の設計を点検するチェックリストとしても読めます。

副業・個人活用視点

個人事業者にとって、このレポートの実務的な含意は明確です。標的の選別コストが下がった以上、「小さいから安全」という前提を捨てる必要があります。

具体的に効くのは、派手な対策ではありません。使い回しのパスワードをやめる、主要サービスに多要素認証を入れる、使っていない API キーとアクセストークンを消す。 レポートに出てくる侵入経路は、ほとんどがこの3つで塞がる種類のものです。一度棚卸しして、以後は月1回確認するという運用を決めてしまうのが現実的です。

顧客のデータを預かる立場なら、話はもう一段重くなります。

受託で顧客の環境やデータに触れる場合、自分の端末とアカウントが顧客への侵入経路になります。 「自分が狙われる理由がない」という判断は、顧客を経由した価値を見落としています。委託元から情報セキュリティ要件を問われる場面は今後増えますから、最低限の対策を済ませてあること自体が受注条件になっていきます。

発信・教育の観点では、このレポートは扱いやすい素材です。

154ページの一次資料で、具体的な事例と数値が入っています。「AI で攻撃が高度化した」という漠然とした話ではなく、「経済性が変わった」という構造の説明ができるのは、他と差がつくポイントです。情報システム担当者向けの研修や、経営層向けの説明資料で、根拠のある危機感を共有するために使えます。

ただし、扇動的に使わないでください。 レポート自身が「これらは典型的な悪用ではなく、最も注目すべき新規性のある事例である」と断っています。例外的な事例を平均像として提示すると、受け手の判断を歪めます。 「基本的な対策が未了のまま、AI 特有の脅威を心配するのは順序が逆」という結論まで含めて伝えるのが、誠実な使い方です。