敵対者が脆弱性悪用、強化操作、および初期アクセスのためにAIを活用

エグゼクティブサマリー

2026年2月のAI関連の脅威活動に関するレポート以来、Google脅威インテリジェンスグループ（GTIG）は、黎明期のAI対応運用から敵対的ワークフロー内での生成モデルの産業規模での適用への成熟した転換を継続的に追跡してきました。Mandiantのインシデント対応業務、Gemini、およびGTIGの積極的な研究から得られた洞察に基づいたこのレポートでは、AIが敵対者運用の高度なエンジンとして機能し、同時に攻撃の高価値ターゲットとして機能する現在の脅威環境の二重性を強調しています。以下の開発状況を探索します。

• 脆弱性発見とエクスプロイト生成：GTIGは初めて、AIで開発されたと考えられるゼロデイエクスプロイトを使用する脅威アクターを特定しました。犯罪脅威アクターはそれを大規模悪用イベントで使用することを計画していましたが、私たちの積極的な対抗発見がその使用を防止した可能性があります。中華人民共和国（PRC）および朝鮮民主主義人民共和国（DPRK）に関連する脅威アクターも、脆弱性発見のためのAI活用に大きな関心を示しています。

• 防御回避のためのAI強化開発：AI駆動型コーディングは、敵対者によるインフラスイートとポリモーフィックマルウェアの開発を加速させました。これらのAI対応開発サイクルは、難読化ネットワークの作成とロシア関連の疑いのある脅威アクターにリンクされているマルウェア内のAI生成デコイロジックの統合により、防御回避を容易にします。

• 自律型マルウェア操作：PROMPTSPY等のAI対応マルウェアは、モデルがシステム状態を解釈してコマンドを動的に生成し、被害者環境を操作する自律型攻撃オーケストレーションへのシフトを示唆しています。このマルウェアの分析により、AIとの統合のための以前に報告されていない機能と使用例が明らかになりました。このアプローチにより、脅威アクターは運用タスクをAIにオフロードして、スケーリングされた適応型アクティビティを実現できます。

• AI強化研究とIO：敵対者は引き続きAIを攻撃ライフサイクルサポートの高速研究アシスタントとして活用しながら、自律型攻撃フレームワークを運用化するためのエージェント型ワークフローへシフトしています。情報操作（IO）キャンペーンでは、これらのツールは合成メディアとディープフェイクコンテンツを大規模に生成することによってデジタル合意の捏造を容易にし、プロロシア派のIOキャンペーン「Operation Overload」で例証されています。

• 難読化されたLLMアクセス：脅威アクターは、プロフェッショナル化されたミドルウェアと自動登録パイプラインを通じた匿名化されたプレミアムティアアクセスを追求し、不正に使用制限をバイパスしています。このインフラは大規模なサービスの悪用を可能にしながら、トライアルの悪用とプログラム的なアカウントサイクリングを通じて運用をサブシディします。

• サプライチェーン攻撃：「TeamPCP」（別名UNC6780）等の敵対者は、AI環境とソフトウェア依存関係を初期アクセスベクトルとしてターゲットにし始めました。これらのサプライチェーン攻撃は、Secure AI Framework（SAIF）の分類法で説明されている複数のタイプのマシンラーニング（ML）関連リスク、つまり不安全な統合コンポーネント（IIC）と不正なアクション（RA）をもたらします。これらの攻撃に関連するフォレンジックデータの分析により、脅威アクターが侵害されたAIソフトウェアからより広いネットワーク環境へピボットして初期アクセスを取得し、ランサムウェアの展開と恐喝等の破壊的活動に従事することを試みていることが明らかになります。

攻撃者はめったに実験と革新を避けることはありませんが、私たちもそうではありません。より広大なセキュリティおよびAIコミュニティと私たちの知見やリスク軽減策を共有することに加えて、Googleは絶え間なく変化する脅威の先手を打つための積極的な措置を採用しています。Googleはユーザーに対する規模化された保護を提供するために製品のセーフガードを強化しています。Geminiに関しては、悪意のあるアカウントを無効にすることでモデルの悪用を軽減しています。さらに、AIエージェントを活用してBig Sleep等のツールでソフトウェア脆弱性を特定し、CodeMenderのようなGeminiの推論機能を使用してそれらを自動的に修正しており、AIが防御側の強力なツールにもなり得ることを証明しています。

ツールとしてのAI

脅威アクターは攻撃ライフサイクルの様々なフェーズを強化するためにAIを活用しています。これには脆弱性エクスプロイトとマルウェアの開発支援、コマンドの自律実行の促進、より標的化された十分に調査された偵察の実現、および社会工学と情報操作の効果向上が含まれます。

AI強化脆弱性発見とエクスプロイト開発

AIモデルのコーディング機能が進化するにつれて、敵対者がゼロデイ脆弱性を含む脆弱性研究とエクスプロイト開発のためにエキスパートレベルの力の倍増機として、これらのツールをますます活用していることが観察されています。これらのツールは防御的研究に権限を与えますが、敵対者がアプリケーションをリバースエンジニアリングし、洗練されたAI生成エクスプロイトを開発するための障壁も低下させます。

国家後援脅威アクターが脆弱性研究のためのAI活用への洗練されたアプローチを実証

脆弱性研究のためのAIを活用する様々な脅威アクターが観察されていますが、中華人民共和国（PRC）および朝鮮民主主義人民共和国（DPRK）に関連する脅威活動のいくつかのクラスターから特に大きな関心が注目されています。これらのアクターは、ペルソナ駆動型の越獄の試みおよび脆弱性発見と悪用ワークフローを強化するための特化した高精度セキュリティデータセットの統合から始まる、脆弱性発見と悪用のためのAI強化アプローチへの洗練されたアプローチを活用しています。

• 以前のブログ記事で強調したように、脅威アクターはGeminiにプロンプトを送る構造化アプローチとしてエキスパートサイバーセキュリティペルソナを活用することが多いです。例えば、最近UNC2814がこの形態のエキスパートペルソナプロンプティングを使用してGeminiがシニアセキュリティ監査人またはC/C++バイナリセキュリティエキスパートとして機能することを指示することで観察されました。捏造されたシナリオはTP-LinkファームウェアおよびOdetteファイル転送プロトコル（OFTP）実装を含む様々な組み込みデバイスターゲットへの脆弱性研究をサポートするために使用されました。

図1：ペルソナ駆動型越獄（プロンプトインジェクションの単純な形式）をサポートするために使用される偽りの物語の例

• より洗練された使用事例では、脅威アクターは「wooyun-legacy」として知られるGitHubでホストされている特化した脆弱性リポジトリを実験しているのが観察されました。このプロジェクトはClaudeコードスキルプラグインとして設計されており、2010年から2016年の間に中国のバグ報奨プラットフォームWooYunによって収集された85,000以上の実世界の脆弱性ケースの蒸留された知識ベースを統合しています。モデルを脆弱性データでプライミングすることにより、コンテキスト内学習を促進して、経験を積んだエキスパートのようにコード分析にアプローチするようにモデルを操舵し、ベースモデルが優先することを失敗するかもしれないロジックフローを特定します。

この脆弱性研究の追求において、自動化とスケーリングされた研究の明確な兆候が見られます。リアルタイムトラブルシューティングのための個々のプロンプトの活用に加えて、APT45が異なるCVEを再帰的に分析し、PoC悪用を検証する数千の反復的なプロンプトを送信するのが観察されています。これはAIの支援なしに管理することが実用的でないであろうより強力な悪用能力の兵器庫をもたらします。

これらの活動を促進するために、アクターはOpenClawおよびOneClawのようなエージェント型ツールを意図的に脆弱なテスト環境とともに実験しています。これらのツールと脆弱性研究の使用は、導入前の悪用の信頼性を高めるために制御された設定内でAI生成されたペイロードの改良への関心を示唆しています。

サイバー犯罪脅威アクターがAIを使用してゼロデイを発見および武器化

サイバー犯罪脅威アクターもまた脆弱性開発のためのAI活用に関心を持ち続けています。注目すべき例では、大規模脆弱性悪用操作を計画するために提携している著名なサイバー犯罪脅威アクターが観察されました。このキャンペーンに関連する悪用の分析により、ユーザーが人気のあるオープンソースのウェブベースシステム管理ツール上の二要素認証（2FA）をバイパスすることを可能にするPythonスクリプトに実装されたゼロデイ脆弱性が特定されました。GTIGはこの脆弱性を責任を持って開示し、この脅威活動を破壊するために影響を受けたベンダーと連携しました。

Geminiが使用されたとは考えていませんが、これらの悪用の構造とコンテンツに基づいて、アクターがこの脆弱性の発見と武器化をサポートするためにAIモデルを活用したという高い確信があります。例えば、スクリプトは教育的なdocstring（捏造されたCVSSスコアを含む）の豊富さを含み、LLMトレーニングデータに特有の構造化された教科書的Pythonic形式を使用しています（例えば、詳細なヘルプメニューとクリーンな_CANSI色クラス）。

AI強化難読化：回避とポリモーフィズム

GTIGは難読化機能を強化するためにマルウェアと運用サポートツール開発するためのAIモデルの実験を行う複数の脅威アクターを特定しました。これには、ソースコードのジャストインタイム動的修正を組み込むための革新的なAI適用、動的ペイロード生成の実現、ORBネットワーク管理ツール開発支援、および偽造コード生成（表1）が含まれました。しばしば実験的ですが、このシフトはAI駆動型の防御回避ソフトウェアスイートへの移行を強調しています。

表1：LLM対応難読化機能を持つ観察されたマルウェアファミリー

以前のレポートでは、Gemini APIを使用したコード生成の実験で注目されるPROMPTFLUXなどのマルウェアファミリーや、Gemini APIと相互作用して特定のVBScript難読化および回避技術をリクエストし、スタティック署名ベースの検出を回避するためのジャストインタイム自己修正を促進するHONESTCUEを強調しました。このレポートでは、難読化と防御回避をサポートするためにAIの支援で作成された追加のツールとマルウェアファミリーを強調します。

PRC関連脅威アクターAPT27に関連する活動が観察され、その際にGeminiを活用して、運用中継ボックス（ORB）ネットワークの管理をサポートすることが想定されるフリート管理アプリケーションの開発を加速させました。ツールの観察により、ハードコードされた「maxHops」パラメータが3ホップに設定されていることが明らかになり、ツールがVPNではなく匿名化ネットワークの開発に関連していたことの指標です。これらは通常1ホップに設定されているためです。さらに、ツールはMOBILE_WIFIおよびROUTERを対応デバイスタイプとしてリストしており、それが侵入活動の真の起点を難読化するために住宅用IPアドレスを提供するために4G または5G SIMカードを使用することを示唆しています。

さらに、GTIGはロシア関連の侵入活動がウクライナ組織をターゲットにしてAI対応マルウェアを配信している観察を継続しています。分析ではCANFAILおよびLONGSTREAMの使用が確認され、これらはLLM生成されたデコイコードを利用して悪意のある機能を難読化しています。

• CANFAILのソースコード全体に複数の開発者（つまり、LLM）コメントを特定しました。これらのコメントはコードの特定のブロックが使用されておらず、悪意のある活動を難読化するために設計されたフィラーコンテンツとして組み込まれた可能性が高いことを具体的に指摘しています。これらのデコイロジック周辺の説明的な性質のコメントは、脅威アクターが意図的に大量の不活性コードを含む出力を生成するようにLLMにリクエストしたことを可能性が高く示唆しています（図4）。

• 同様に、LONGSTREAMコードファミリーの検査は、大量のデコイロジックが悪意のある性質のコードファミリーをカモフラージュするために生成された可能性が高いことを示唆しています。LONGSTREAMには、ダウンローダーの主要な目的と無関連の管理タスクに関連する一貫しているが非アクティブなコードブロックが含まれています。例えば、システムのサマータイムステータスをクエリするコードの32インスタンスを特定しました。このタイプの反復的なクエリはスクリプトに無害と見えることができる活動を埋めるために存在します（図5）。

AI強化攻撃オーケストレーション：PROMPTSPY

敵対者はAI対応ツールの実装を進めており、コンテンツ生成とツール開発を超えてマルウェアコマンドのための、より洗練された自律型攻撃オーケストレーションへ移行しています。脅威アクターは対話的なシステムナビゲーションとリアルタイム意思決定のためのLLMへの依存を開始しています。LLMをマルウェア操作に統合することにより、攻撃者は被害者環境またはデバイスと自律的に相互作用し、システム状態を合成し、人間の監督を受けずに正確なコマンドを実行できるペイロードを有効にできます。

この進化の主要な例がPROMPTSPYであり、これはAndroidバックドアで最初に特定されました。初期の公開レポートはGoogle Geminiアプリケーションプログラミングインターフェイス（API）のPROMPTSPYの使用を強調し、特にAndroid UIをナビゲートしてマルウェアアプリケーションを「最近のアプリ」リストに固定することで永続性を促進しています。しかし、GTIGのバックドアの検証により、AIとの統合のための追加的な機能と使用事例が明らかになりました。マルウェアのLLMコンポーネントはAndroidユーザーインターフェイスのナビゲーションおよび今後のアクションのためのリアルタイムユーザーアクティビティの自律的な解釈を中心とした、より広い範囲の目標をサポートするために拡張可能であると考えられています。

PROMPTSPYは自動化された相互作用を促進するためのハードコードされたプロンプトを活用した「GeminiAutomationAgent」という名の自律型エージェントモジュールを含んでいます。

• プロンプトはLLMのセーフティフィルタをバイパスするために無害なペルソナを割り当て、その後、ターゲットユーザーインターフェイス境界の幾何学を計算するようにLLMに指示することにより、複雑な空間数学の分析をリクエストします。これは、ハルシネーション防止対策を実装する「コア判定ルール」セットおよび別のルーチンの一部としてプロンプトに連結される「ユーザーゴール」とペアになります（図6）。

• モジュールはその後、デバイスの可視ユーザーインターフェイス階層をアクセシビリティAPIを経由してXML様フォーマットにシリアル化し、このペイロードを「JSON Mode」で「gemini-2.5-flash-lite」モデルへHTTPポストリクエストを通じて送信します。

• モデルは提供されたユーザーゴールに基づいて構造化されたJSONレスポンスを返し、特定のアクションタイプと空間座標を指示し、マルウェアはパック済みスイッチ指令を使用して物理ジェスチャー（例：CLICK、SWIPE）をシミュレートするために解析します。ユーザーゴールは初期プロンプトにハードコードされていませんが、別のルーチンの一部として提供されるため、PROMPTSPYは複数のタイプのデバイス相互作用を促進するために設計された可能性が高いと考えられています。

さらに、PROMPTSPYは被害者の生体認証データをキャプチャして、認証ジェスチャー（個人識別番号またはロックパターン）を再生し、今後の悪用のための侵害されたデバイスへのアクセスを取得することができます。これらのAI対応機能は、人間の相互作用に大きく依存する従来のAndroidバックドアからの注目すべき進化です。

永続性を維持するために、PROMPTSPYはその活動をカモフラージュして、アンインストールを防ぐための新規多層防御メカニズムを利用します。

• 被害者がPROMPTSPYをアンインストールしようとする場合、マルウェアはその「AppProtectionDetector」モジュールを使用してスクリーン上の「アンインストール」ボタンの座標を特定します。マルウェアはボタンの直上に見えない重層を描画し、被害者のタッチイベントを静かに拦截して消費するシールドとして機能し、ボタンがユーザーに反応しなくなります。

• 被害者デバイスが非アクティブになった場合、PROMPTSPYオペレータはFirebaseクラウドメッセージング（FCM）を利用してバックドアを再起動し、脅威アクターが被害者にアラートせずに侵入活動を継続することを許可します。

PROMPTSPYはハードコードされたデフォルトインフラストラクチャと認証情報を使用して初期化しますが、マルウェアはPROMPTSPYペイロードを再展開することなく実行時に重要なコンポーネントをローテーションできる高い運用弾力性を持つように設計されています。具体的には、マルウェアのコマンドアンドコントロール（C2）インフラストラクチャ、Gemini APIキー、およびVNCリレーサーバを含むものはC2チャネルを通じて動的に更新できます。この設定モデルは開発者が防御対抗措置を期待し、特定のインフラストラクチャエンドポイントが防御者によって特定およびブロックされた場合でもバックドアが存在性を維持することを期待して設計されたことを示しています。

Googleはこのアクターに対して、この活動に関連するアセットを無効にすることによってアクションを取っています。現在の検出に基づいて、PROMPTSPYを含むアプリはGoogle Playで見つかっていません。AndroidユーザーはGoogle Playサービスを備えたAndroidデバイスではデフォルトでオンになっているGoogle Play Protectによって、このマルウェアの既知バージョンから自動的に保護されています。

AI強化研究、偵察、および攻撃ライフサイクルサポート

悪意のある敵対者のLLMの最も一般的な使用例は標準ユーザーのそれを反映しています。彼らは研究とトラブルシューティングタスクを実施しています。GTIGは攻撃ライフサイクルの様々なフェーズ全体を通じて研究、偵察、トラブルシューティングをサポートするためにこのタイプのプロンプティングに従事する様々な脅威アクターが観察されています。インテリジェンス集約とタスクサポートを自動化することにより、これらの相互作用は複雑な多段階操作のための入場障壁を低下させ、脅威アクターがキャンペーンのより高度な戦略的要素に人的資本を集中することを有効にします。

敵対者はLLMを使用して、以前には相当な手動労力が必要とされた偵察を頻繁に実施します。例えば、大企業の特定部門の詳細な組織階層および第三者の関係を生成するようにモデルにプロンプトするアクターが観察されていますが、特に財務、内部セキュリティ、人事等の高価値機能を含むもの。このデータは、従来のバルク物理釣りの商品戦術を超えて、管理特権またはセンシティブデータへのアクセスを持つ個人を標的にした、より高い誠実性の物理釣りルアーを作成することを許可します。

より標的化されたシナリオでは、アクターはLLMを使用して、被害者によって使用される特定のハードウェアまたはソフトウェア環境を特定しました。一つのインスタンスでは、脅威アクターは高価値ターゲットによって使用されるコンピュータの正確なメイクおよびモデルを特定しようとし、ターゲット個人がデバイスを使用しているのを示す写真の集合をLLMに特定することさえもリクエストしました。このレベルの環境フィンガープリントは、多くの場合、調整された悪用の開発またはサイドチャネル攻撃機会の特定の前に。

基本的なチャットインターフェイスを超えて、敵対者が複雑な多段階セキュリティタスクを実行するための自律型フレームワークを運用化する場所でエージェント型ワークフローへの洗練されたシフトが表示されます。これはAI関連の脅威の成熟度における重要な進化を示唆しています：LLMはもはや受動的なアドバイザーではなく、複雑なツールセットをオーケストレーションし、マシンスピードで戦術的決定を下すことができるオフェンシブチェーンの能動的な参加者です。

例えば、最近、PRCマイナス脅威アクターがHexstrikeおよびStrixなどのエージェント型ツールを日本の技術企業および著名な東アジアサイバーセキュリティプラットフォームに対して導入しているのを分析しました。Hexstrikeは、ユーザーのエージェント化によって、ツール間の自律的なピボットを可能にする攻撃サーフェスの永続状態を維持するテンポラルナレッジグラフであるGraphitiメモリシステムとともに利用されていました。subfinder および httpx などのツール。同時に、アクターは自動脆弱性検証フレームワークである多エージェント浸透テストフレームワークのStrixを活用しました。自律的な偵察と自動化された検証のこの組み合わせは、最小限の人間の監督で発見活動をスケーリングできるAI駆動フレームワークへの移行を示唆しています。

AI強化情報操作

GTIGは、AIを研究、コンテンツ作成、およびローカライゼーション等の一般的な生産性タスクのために使用するIO（情報操作）アクターが観察されています。機能の助言、記事の起草をツールに懇願し、コーディング支援を求めるアクティビティも確認しましたが、開発されたコンテンツを野生に特定していませんでした。

ロシア、イラン、中国、およびサウジアラビアのアクターは、デジタルプラットフォームおよび印刷ポスター等の物理メディアの両方全体にわたって、特定のナラティブを推進するための政治的風刺およびマテリアルを製造しています。この領域で見出されてきた主要な前進は、ワークフローサポートで開発ツールに成功しているように見えるアクターおよび不和的な政治トピックのアドレスの名前のための異なるナラティブオーディオを生成するようにAIの採用が増加していることを含みます。

IOタクティクスをサポートするためのAI

オープンインターネット全体でIO脅威の追跡を続けるGTIGは、脅威アクターがAIツール使用を確立されたタクティクスを強化するようにどのように使用するかを示すアクティビティを発見し続けています。例えば、GTIGは、プロロシア派のIOキャンペーン「Operation Overload」にリンクされたアクティビティを発見し、疑われるAI音声クローニングを活用して実際のジャーナリストを真似たビデオコンテンツを含んでいます。これはおそらくキャンペーンの確立されたタクティクスのAIサポートの前進を表わしており、これまでメディアおよび他の高プロファイル組織のブランドおよび合法性を適切にするために設計された非認証のビデオコンテンツを含んできました。

特定されたインスタンスでは、アクターは真正なビデオを操作して、偽りのメッセージを伝えていると思われます。このコンテンツは、偽りと誤解を招くメッセージを作成するために、元の縦方向のビデオをモンタージュおよび捏造されたオーディオでスプライスしているようです。原作との密接な音声マッチはAIツールの使用を示唆しています（図7）。

難読化およびスケーラブルLLMアクセス

生成AIランドスケープが成熟するにつれ、脅威アクターがこれらのモデルを調達および運用化する方法はシンプルな実験から産業規模での消費へシフトしました。以前のブログ投稿で私たちは地下で提供されているAIツールおよびサービスを強調してきましたが、国家後援とサイバー犯罪脅威アクターの両方が悪意のある活動の追求に商業的に利用可能なファウンデーションモデルおよびAIネイティブアプリケーション構築プラットフォームを利用し続けていることが継続的に観察されています。

これらのツールへの脅威アクター参入で、GTIGはセーフガードおよび請求制約をバイパスするために設計された、カスタムミドルウェア、プロキシリレー、および自動登録パイプラインの出現するエコシステムへの洗練された進化が観察されています。アンチディテクトブラウザおよびアカウントプーリングサービスを活用して、アクターは高ボリュームの匿名アクセスをプレミアムLLMティアに維持しようとして、効果的にその敵対的ワークフローを産業化しながら、トライアル悪用およびプログラム的なアカウントサイクリング経由で運用をサブシディしています。

UNC6201に関連するPRC関連脅威活動の分析では、プレミアムLLMアカウントを登録し、すぐにキャンセルするワークフローを自動化するGitHubでホストされている公開されているPythonスクリプトの使用を観察しました。ツールは自動アカウント登録、CAPTCHAバイパス、およびSMS検証からアカウント状態確認およびキャンセルまでの全プロセスをサポートしていることが疑われています。このプロセスは敵対者がアカウント禁止から悪意のある活動を絶縁しながら、スケールでハイティアAI機能を調達するために利用される方法を強調しています。

UNC5673からの同様の活動が観察されていますが、これはTEMP.Hexと注目すべき重複を有し、主にアジア南部および東南アジアで政府セクターをターゲットにしてきたPRC関連脅威クラスタです。LLMアカウント登録を超えて、アクターは難読化およびスケーラブルなLLM悪用の開発を示す公開されている商業ツールおよびGitHubプロジェクトの配列を活用しています。例えば、彼らは複数のGemini、Claude、およびOpenAIアカウントを集約する「Claude-Relay-Service」を採用し、アカウントプーリングおよびコスト共有を有効にしています。同様に、彼らは、様々なモデルに互換可能なAPIインターフェイスを提供する「CLI-Proxy-API」プロキシサーバを使用して、同様のアカウントプーリング戦略をサポートしています。

表2：LLMへの難読化およびスケーラブルアクセスのために活用されている観察されたツールのサマリー

ターゲットとしてのAI

組織が大規模言語モデル（LLM）を本番環境に統合し続けるにつれて、AIソフトウェアエコシステムは搾取の主要ターゲットとして浮上しています。フロンティアモデル自体は直接的な侵害に対して高い復元力を持つままですが、オーケストレーション層、オープンソースラッパーライブラリ、APIコネクタ、およびスキル設定ファイルを含むものは脆弱である可能性があります。GTIGは敵対者がAIシステムにユーティリティを与える統合コンポーネント、たとえば自律型スキルおよびサードパーティデータコネクタをますますターゲットにしているのを観察しています。

AIコンポーネント に対するサプライチェーン攻撃

2026年初期全体を通じて、脅威アクターがフロンティアモデルのコアセキュリティロジックをバイパスするブレークスルー機能をまだ達成していないことが観察されました。代わりに、これらのアクターは従来のサプライチェーン戦術、たとえば人気のある統合ライブラリに悪意のあるロジックを埋め込む、または本番AIに悪影響を与えた構成ファイルを配布することを活用しています。これらのインシデント、環境は、Secure AI Framework（SAIF）の分類法で説明されたリスクと同じです。具体的には。

• 不安全な統合コンポーネント（IIC）：システムを弱体化させる侵害された外部依存関係の包含。

• 不正なアクション（RA）：未認可のコマンドの実行またはキャプチャの認証情報を実行するために昇進した権限を持つAIシステムの悪用。

武器化されたOpenClawスキル

これらのリスクは2026年初期の2月より明白になりました。VirusTotal研究者は、報告AIソフトウェアサプライチェーンリスク、OpenClaw AIエージェントエコシステムに関連するセキュリティリスク、および悪意のある、不安全なスキルパッケージを通じて導入された脆弱性。最も注目すべきなことに、ホストシステムの未認可コード実行を実行するために設計された隠語ルーティンを含むOpenClawスキルをなりすましている悪意のあるパッケージの配信が観察されました。OpenClawが与えられた昇進されたレベルのシステムアクセス、スキルは、コード実行、追加ペイロード ダウンロード、およびローカルデータの発見および抽出などのいくつかの昇格されたアクションを実行するために使用される可能性があります。

さらに、本来的に悪意のある訳ではありませんが、不安全なパッケージは追加のリスクにユーザーを公開する可能性があります。認証情報または認証情報等のセンシティブ情報をお客様が処理する際に安全なプラクティスを活用するのに失敗する合法的なスキルは、意図せずにこの情報を攻撃者への曝露を可能にします。これにより、この情報がプロンプトインジェクション等のテクニック、他の悪意のあるスキル、または従来のマルウェア脅威等の情報盗難者などの技術による盗難に対して脆弱になる可能性があります。

悪意のある、不安全なスキルおよびエージェントコンポーネントのリスクはOpenClawプラットフォームに一意ではありませんが、これらのパッケージの発見はAI開発プラットフォームおよびエージェント型エコシステム全体の成長する攻撃サーフェスを強調しています。さらに、悪意のあるパッケージを合法的なスキルから識別および判別することの困難さは、防御者にとって大きな課題を提供しています。このインフェクションベクターは機会主義的な性質ですが、これらのスキルが作成され配布される容易さは、ユーザーのシステムにアクセスしようとする様々な脅威アクターにとって、魅力的なオプションにすることができます。

これらのサプライチェーンリスクを軽減するのに役立つために、OpenClawはVirusTotalと提携して、自動セキュリティスキャンをClawHub（その公開スキルマーケットプレイス）に直接統合しました。リポジトリに公開されているすべてのスキルは自動的にVirusTotalのコードインサイト機能を使用して分析されており、パッケージの実際のコード動作を評価して、未認可のネットワーク操作、悪意のあるペイロード、または安全でない埋め込み指令を検出します。このセキュリティ注視の分析に基づいて、スキルは無害として承認、ユーザーの警告とフラグ、または完全にブロックされており、エコシステム悪用に対する防御の重要なレイヤーを提供しています。

侵害されたコードパッケージ

2026年後期3月では、サイバー犯罪脅威アクター「TeamPCP」（別名UNC6780）は、Trivy脆弱性スキャナ、Checkmarx、LiteLLM、およびBerriAIに関連するものを含む、人気のあるGitHubリポジトリおよび関連するGitHubアクションの複数のサプライチェーン侵害の責任を主張しました。Mandiantはこのアクティビティに関連する多数のインシデント対応関与に対応し、サプライチェーン操作の広い影響の性質を強調しています。

TeamPCPは、侵害されたPyPIパッケージおよびこれらのGitHubリポジトリへの悪意のあるプル要求を通じて初期アクセスを獲得しました。脅威アクターはその後、これらのGitHubリポジトリへのアクセスを活用して、SANDCLOCK認証盗難器を埋め込み、影響を受けたビルド環境から直接、AWS キーおよびGitHubトークン等の高価値クラウドシークレットを抽出しました。これらの盗まれた認証情報はその後、ランサムウェアおよびデータ盗難恐喝グループとのパートナーシップを通じて現金化されました。

複数のLLMプロバイダーを統合するためのAIゲートウェイユーティリティであるLiteLLMの侵害は注目に値します。AIプラットフォームの拡張する攻撃サーフェスおよびソフトウェアサプライチェーン全体の影響の可能性を強調しています。パッケージの広範な使用を考慮すると、このインシデントは影響を受けた被害者からのAI APIシークレットのかなりの曝露をもたらす可能性があり、従来の侵入操作のためのシステムへのアクセスをさらに獲得するために使用される可能性があります。

さらに、AI関連の依存への同様の攻撃はアクターに独自のAIシステムへのアクセスを許可し、小説のAI中心の攻撃を実施し、従来の侵入操作のサポートでそれらを活用することを許可する可能性があります。脅威アクターは組織のAIシステムへのアクセスを使用してこのベクトルを活用し、内部モデルおよびツールを活用してセンシティブ情報をスケールで特定、収集、および抽出し、ネットワーク内を深く移動するための偵察タスクを実行することができます。アクセスレベル および特定の侵害された依存関係は組織およびアクターに大きく依存します。このケーススタディはAIシステムへのソフトウェアサプライチェーン脅威のブロードシールドランドスケープを示しています。

AIを安全かつ責任を持って構築

我々は、AIへのアプローチは大胆でも責任ある必要があると信じています。これは、社会へのポジティブなメリットを最大化しながら課題に対処する方法でAIを開発することを意味しています。我々のAIの原則に導かれて、Googleは強力なセキュリティ対策と強力なセーフガードを備えたAIシステムを設計しており、継続的にモデルのセキュリティとセーフティをテストしてそれらを改善しています。

我々のポリシーガイドラインおよび禁止使用ポリシーはGoogleの生成AIツールの安全かつ責任ある使用を優先しています。Googleのポリシー開発プロセスは、新興トレンドの特定、エンドツーエンドの思考、およびセーフティの設計を含みます。我々は、ユーザー全体の世界的にスケーリングされた保護を提供するために製品のセーフガードを継続的に強化しています。

Googleで、我々は脅威インテリジェンスを活用して敵対者の運用を破壊しています。我々は製品、サービス、ユーザー、およびプラットフォームの悪用、政府後援脅威アクターによる悪意のあるサイバー活動を含むものを調査し、適切な場合は法執行機関と協力します。さらに、悪意のある活動に対抗する側の学習内容は、AIモデルのセーフティおよびセキュリティを改善するための製品開発に取り込まれています。これらの変更（分類子の変更およびモデルレベルで行われる可能性）は、防御を維持し、さらなる悪用を防止する上での活動性を維持するために不可欠です。

Google DeepMindはまた、生成AIのための脅威モデルを開発して、潜在的な脆弱性を特定し、誤用に対処するための新しい評価およびトレーニング技術を作成しています。この研究に関連して、Google DeepMindは、測定およびモニタリングツール、強力な評価フレームワークを含めて、AIシステムの防御を能動的に展開する方法を共有してきたものを含めて自動的に間接プロンプトインジェクション攻撃へのAI脆弱性をレッドティーム化することができます。

我々のAI開発およびトラスト&セーフティチームもまた誤用を遮止するために脅威インテリジェンス、セキュリティ、およびモデリングチームと密接に協力しています。

AIの可能性、特に生成AIは計り知れません。革新が前進するにつれ、業界はAIを責任を持って構築および展開するためのセキュリティ標準が必要です。これは、なぜ我々がSecure AI Framework（SAIF）を導入したかです。我々は開発者のための包括的な開発者向けツールキットをリソースおよびガイダンスで共有してきました。責任を持ってAIモデルを設計、構築、および評価するため。我々はまた、セーフガードの実装、モデルセーフティの評価、AIシステムをテストしおよび保護するレッドティーミング、およびプロンプト注射攻撃に対する我々の包括的なアプローチを共有してきました。

業界パートナーと密接に作業することは、すべてのユーザーに対してより強力な保護を構築するために重要です。そのために、我々はSecure AI（CoSAI）のための連合およびセキュリティエキスパートとの強力な協力的パートナーシップと多数の研究機関に恵まれています。我々は、レッドティームおよびディフェンスを改善するのに役立つことに関しましょう。

Googleはまた、継続的にAI研究に投資し、AIが責任を持って構築されることを確認し、リスクを自動的に検出するための潜在的を活用しています。昨年、我々はGoogle DeepMindおよびGoogle Project Zeroによって開発されたAIエージェントであるBig Sleepを導入しました。これはソフトウェア内の未知のセキュリティ脆弱性を積極的に検索および検出しています。Big Sleepはその後、実世界のセキュリティ脆弱性を検出し、脅威アクターによって直ちに使用されようとしていた脆弱性の発見を支援してきました。GTIGはその前にそれを遮止することができました。我々はまた、脆弱性を検出するだけでなく、パッチするためにAIの実験を行っています。我々は最近、CodeMenderを導入しました。試験的AI駆動エージェント、いくつかの重要なコード脆弱性を自動的に修正するGeminiモデルの高度な推論機能を使用しています。

著者について

Google脅威インテリジェンスグループはAlphabet、ユーザー、および顧客に対するサイバー脅威の全体的なクラスを特定、分析、緩和、および排除することに焦点を当てています。私たちの仕事には、政府後援アクター、標的化されたゼロデイエクスプロイト、調整されたIO、および深刻なサイバー犯罪ネットワークからの脅威に対抗することが含まれます。Googleの防御を改善し、ユーザーおよび顧客を保護するために、情報を適用しています。

付録

MITRE ATLAS

表3：AIシステムをターゲットにするか悪意のあるアクティビティを実施するために脅威アクターによって活用される観察されたMITRE ATLAS TTP

表4：AIによって直接強化された観察されたMITRE ATT&CK TTP