本日、Anthropicが公表した内容は、すべてのセキュリティチームにとって必読と言える内容でした。AIの自律性によって実行された大規模サイバー攻撃としては、初めて文書化された事例です。中国の国家支援を受けたグループがClaude Codeを使い、テクノロジー企業、金融機関、政府機関など、世界中の約30の標的を侵害しました。攻撃の80~90%はAIが担い、偵察、エクスプロイト開発、認証情報の窃取、データの持ち出しまでをこなしていました。人間のオペレーターが介入したのは、1つのキャンペーンにつき4~6回の重要な意思決定ポイントのみでした。
Anthropicにとって、ここ数週間はなかなか興味深い展開が続いています。つい先月には、私たちのチームがAnthropic公式のClaude Desktop拡張機能に存在する3件の重大な脆弱性を発見しました。ダウンロード数35万件以上に影響を及ぼすコマンドインジェクションの欠陥です。私たちがこれを報告し、Anthropicが修正(CVSS 8.9)し、そして今度は今回の侵害レポートを公表する運びとなりました。この一連の時系列こそが、脅威の状況がいかに急速に変化しているかを物語っています。
この攻撃活動のピーク時には、AIは1秒間に複数回に及ぶこともある頻度でリクエストを送出しており、その速度は人間のチームでは到底太刀打ちできないものでした。
Koiでは、VS CodeやCursorの拡張機能から、npmやPyPIといった主要なパッケージレジストリに至るまで、ソフトウェアエコシステム全体で脅威アクターによるAIの急速な導入が進んでいるのを目の当たりにしています。高度なマルウェアを作り出すための障壁は、かつてないほど低くなっています。
この記事を読んで「なるほど、将来的には懸念材料だな」と考えている方には、残念なお知らせがあります。あなたはすでに後れを取っています。これは今後起こりうることの予告編ではありません。すでに起きていることの裏付けなのです。
誰も認めたくなかった転換点
Anthropicのレポートが実際に示しているのは、私たちがある閾値を越えてしまったという事実です。AIはもはや攻撃者を単に補助する存在ではありません。ChatGPTを使ってより巧妙なフィッシングメールを書いたり、エクスプロイトコードを素早く生成したりする話ではないのです。ここで問題になっているのは、標的を調査し、意思決定を行い、アプローチを状況に応じて調整し、人間の介入をほとんど受けずに攻撃を実行する、自律型(エージェント型)のAIシステムです。
そして、本当に夜も眠れなくなるような話がここにあります。国家に支援されたグループがこれを実現できたのなら、他の誰もが同じことをできるようになるまで、あとどれくらいかかるのでしょうか。高度なサイバー攻撃への参入障壁は、まさに崖から転落するように下がってしまいました。
Koiでは、この進化をリアルタイムで注視してきました。ここ数週間で、私たちが監視しているnpm、PyPI、Chromeウェブストア、VS Code拡張機能といったマーケットプレイス全体で、悪意ある活動がほぼ100%増加しているのを検知しています。わずか数週間で脅威がほぼ倍増するという事態です。これは緩やかな増加ではありません。指数関数的な増加です。
私たちが目にしているのは、AI生成のマルウェアの増加、より巧妙な検知回避技術、そして正規の開発者が作成したものと不気味なほどよく似たサプライチェーン攻撃の増加です。それもそのはず、これらは正規の開発者のコード作成を助けているのと同じ種類のAIによって作り出されているのですから。
AIを「エージェント型」たらしめるもの(そしてなぜそれがすべてを変えるのか)
「AI搭載」という言葉を頻繁に耳にしたことがあるのではないでしょうか。今やあらゆるセキュリティベンダーがそれを謳っています。しかし、エージェント型AIは根本的に異なるものであり、その違いを理解することが重要です。
従来の「AI搭載」セキュリティツールは、機械学習を用いてパターンを認識したり、脅威をより高速に分類したりするものでした。優れたスパムフィルター、賢い署名照合、より高速な異常検知といったイメージです。AIはあくまで補助役であり、実際の意思決定を行うのは人間でした。
一方、エージェント型AIは自律的に動作します。単に分析するだけでなく、調査を行います。意思決定を行います。発見した内容に基づいてアプローチを調整します。人間の入力を待たずに複数のアクションを連鎖させます。
Anthropicのレポートに登場する攻撃者たちは、これを次のように使っていました。Claude Codeは脆弱性をスキャンして報告するだけにとどまりませんでした。標的を特定し、そのインフラを調査し、エクスプロイトコードを書き、うまくいかない場合は別のアプローチを試し、認証情報を収集し、盗み出したデータを情報価値に応じて分類し、そのすべてを文書化しました。しかも、人間による監督はほとんどありませんでした。AIは自律的に何千もの意思決定を行っていたのです。
これこそが「エージェンシー(自律性)」です。そして、これはまさに私たちが防御側でWingsに実現させようとしてきたことでもあります。
Koiのリスクエンジンである「Wings」は、不審なパッケージを検知した際、それを単に人間によるレビュー用にフラグ付けするだけではありません。何を発見したかに基づいて、次に何を調査すべきかを自ら判断します。難読化されたコードが見つかれば、Wingsは自動的に隔離されたサンドボックス内での動的解析へとエスカレーションします。インストール中にネットワーク接続が発生すれば、Wingsはそれを追跡し、接続先を分析し、データが持ち出されていないかを見極めます。他のパッケージにも類似のパターンを発見すれば、Wingsはそれらを結びつけ、攻撃キャンペーン全体を特定します。
あらゆる判断のたびに人間が介在するわけではありません。アナリストがアラートをトリアージするのを待つ必要もありません。ただ、毎日何百万ものソフトウェア成果物にわたって、機械の速度で自律的な調査が行われるだけです。
これこそが、今回のAnthropicの侵害事例が重要である理由です。エージェント型AIが攻撃活動においても機能することが証明されたのです。そして、攻撃者がそれほどの自律性とスピードで動いているのであれば、防御側もそれに見合ったものでなければなりません。
火には火を(あるいは、私たちがWingsを開発した理由)
ここに、居心地の悪い真実があります。AIに対抗するにはAIが必要だということです。単なる「AI搭載機能」ではありません。「機械学習で強化された検知」でもありません。攻撃者と同じ方法で動作するエージェント型AIシステムが必要なのです。
だからこそ私たちは、Koiのエージェント型リスクエンジンである「Wings」を開発しました。これはパッケージを分析するだけのツールではありません。脅威を自ら調査する自律型システムです。
Wingsは、npm、PyPI、Chromeウェブストア、VS Code拡張機能をはじめとする多数のプラットフォームにわたり、毎日何百万ものソフトウェア成果物を分析しています。しかし、これをエージェント型たらしめている要素は次の通りです。
自律的に調査を行う。Wingsは不審なパッケージを検知した際、単にチェックリストに沿って処理するのではありません。発見した内容に基づいて、次にどの分析を行うべきかを自ら判断します。静的解析で難読化されたコードが見つかれば、Wingsは自動的に隔離されたサンドボックスでの動的解析へとエスカレーションします。インストール中のネットワーク接続を検知すれば、Wingsはその接続先と送信されているデータを追跡します。
アプローチを状況に応じて調整する。パッケージはそれぞれ異なります。攻撃手法も日々進化しています。Wingsは決まった手順に従うのではなく、複数の分析手法を連鎖させ、観察した挙動に基づいて戦略を調整します。攻撃者と同じやり方です。
自律的に意思決定を行う。Wingsはすべてを人間によるレビューに回すわけではありません。リスクスコアを割り当て、ブロックの判断を下し、施行ポリシーを自動的に作成します。マルウェアが機械の速度で生成されている以上、防御側も機械の速度で動く必要があるからです。
発生源で動作する。Wingsは、ソフトウェアがマーケットプレイスにアップロードされた時点で分析を行います。つまり、あなたのネットワークに到達する前の段階です。私たちは脅威が皆さんのエンドポイントに到達するのを待っているわけではありません。被害が及ぶ前の、境界の段階で脅威を食い止めているのです。
Anthropicのレポートが描き出す状況、つまり人間の介入を最小限に抑えながら何千ものアクションを実行し、発見した内容に応じて適応するAIシステムに対抗するには、この方法しかありません。静的なツールでは、こうした脅威に対抗することはできません。
Anthropicのレポートが本当に意味すること
昨日公表された内容が実際に何を示しているのか、はっきりさせておきましょう。
脅威はすでに高度化している。国家支援を受けたグループは、もはや最先端の存在ではありません。彼らはむしろ初期採用者にすぎません。彼らが今日行っていることを、犯罪グループは来月には実行しているでしょう。あるいは来週かもしれません。
自動化は現実のものである。80~90%の自律的な運用は、理論上の話ではありません。実際に起きていることなのです。そして日々、攻撃者たちは残り10~20%の人間による意思決定の部分についても、能力を高めています。
その規模は人手ではとても対応できない。1秒間に何千ものリクエスト。膨大な量の盗まれた情報の分析。包括的な文書を自動で作成する能力。どんな人間のセキュリティチームであっても、追いつくことはできません。
既存のツールはこの事態に対応できるようには作られていない。それらは、マルウェアキャンペーンの開発から展開までに数週間かかっていた時代のために作られたものです。しかし今や、私たちは数時間でマルウェアが生成・展開される世界に生きています。
次に押し寄せるサイバー攻撃の波を生き延びる企業とは、この変化を理解し、それに応じて適応できる企業です。そうできない企業は、遠からず自らの侵害開示レポートを書く羽目になるでしょう。
もはや理論上の話ではない
セキュリティ業界がAIによるサイバーセキュリティ上の理論的リスクについて議論を続けている間にも、攻撃者たちはそのリスクが現実であることを証明する作業に忙しく取り組んできました。彼らは完璧なAI安全性フレームワークの完成を待ってはいません。責任あるAI導入を気にかけてもいません。ただ、それを使っているだけなのです。
Anthropicのレポートは警鐘です。しかし私たちKoiにとっては、これまで目指してきた方向性が正しかったことの裏付けにほかなりません。ソフトウェアサプライチェーン攻撃が自動化され、高度化し、容赦のないものとなる世界。そこで唯一有効な防御策は、決して眠らず、決して速度を緩めず、脅威と同じ速さで進化する、同等に高度なAIシステムだけなのです。
私たちはこれまで、自社の調査を通じてこの進化を追跡してきました。目に見えないUnicodeを用いて自己増殖する拡張機能「GlassWorm」、目に見えない依存関係に隠された「PhantomRaven」、メールを盗む初の悪意あるMCPサーバー、そしてClaude Desktop拡張機能に存在したコマンドインジェクションの脆弱性。そのいずれもが、新たな攻撃ベクトル、新たな水準の高度化を象徴するものでした。
そして、そのすべてが、自律的かつ大規模に稼働するWingsによって検知されました。
今すぐ取るべき行動
もしあなたがセキュリティ責任者としてこの記事を読んでいるなら、今すべきことは次の通りです。
AIを将来の課題として扱うのをやめること。これは現在進行形の課題です。攻撃者は今日もそれを使っています。マルウェアは今日も生成されています。私たちが検知している悪意ある活動の100%増加、それは今この瞬間に起きていることなのです。
AI搭載機能だけでは不十分だと理解すること。既存のツールに機械学習を後付けしただけでは、エージェント型にはなりません。自律的に調査し、適応し、判断を下せるシステムが必要です。
AI防御の導入を迅速に進めること。これは半年がかりの評価サイクルやベンダー比較検討をのんびり行っている場合ではありません。脅威の状況は週単位で変化しています。それに追随できる防御態勢が必要です。
検知だけでなく、予防に重点を置くこと。悪意あるソフトウェアがエンドポイントに到達した時点では、もう手遅れです。組織に侵入する前、つまりWingsが動作しているマーケットプレイスの段階で脅威を食い止める必要があります。
AI軍拡競争は、これから来るものではありません。すでにここにあるのです。そして、もしあなたがまだエージェント型AI防御を導入していないなら、あなたはすでに後れを取っています。
Koiでは、まさにこの瞬間のためにWingsを開発しました。なぜなら、これが避けられない事態になることを私たちは分かっていたからです。唯一の疑問は、他の誰もがそれに気づくまでにどれだけの時間がかかるか、それだけでした。
サイバーセキュリティの新たな現実へようこそ。警戒を怠らないでください。
従来のセキュリティツールでは見逃してしまう脅威を、Wingsがどのように検知するかご覧になりたいですか? デモをお申し込みください。Koiのエージェント型リスクエンジンをご確認いただけます。
翻訳元: https://www.koi.ai/blog/when-anthropic-claude-becomes-a-cyber-weapon-the-ai-arms-race-has-begun
