本日先ほど、Anthropicが公表した内容は、すべてのセキュリティチームが必読すべきものです。AIが自律的に実行した大規模サイバー攻撃として、初めて文書化された事例が明らかになりました。中国の国家支援を受けたグループが、Claude Codeを使って世界中の約30の標的――テクノロジー企業、金融機関、政府機関――を侵害しました。攻撃の80〜90%をAIが担い、偵察、エクスプロイト開発、認証情報の窃取、データの外部流出までをこなしました。人間のオペレーターが介入したのは、1キャンペーンあたり4〜6回の重要な意思決定ポイントのみでした。
Anthropicにとって、ここ数週間は興味深い展開が続いています。つい先月、私たちのチームはClaude Desktopの公式拡張機能に3件の重大な脆弱性を発見しました。ダウンロード数35万件以上に影響するコマンドインジェクションの欠陥です。私たちが報告し、Anthropicが修正し(CVSS 8.9)、そして今、今回の侵害レポートを公表するに至りました。このタイムラインだけで、脅威の状況がいかに急速に進化しているかがわかります。
作戦のピーク時には、AIは1秒間に複数回に及ぶこともある、数千件ものリクエストを送信していました。人間のチームでは到底太刀打ちできない攻撃速度です。
Koiでは、VS CodeやCursorの拡張機能から、npmやPyPIといった主要なパッケージレジストリに至るまで、ソフトウェアエコシステム全体で脅威アクターによるAIの急速な導入を目にしています。高度なマルウェアを作成するハードルは、かつてないほど低くなっています。
もしこの記事を読んで「将来的には懸念すべき事態だ」と思っているなら、残念なお知らせがあります。あなたは既に出遅れています。これは今後起こることの予告編ではありません。既に起きていることの証明なのです。
誰も認めたくなかった転換点
Anthropicのレポートが実際に示しているのは、私たちがある閾値を越えてしまったという事実です。もはやAIは攻撃者を単に補助する存在ではありません。ChatGPTを使ってより巧妙なフィッシングメールを作成したり、エクスプロイトコードをより速く生成したりする話ではないのです。私たちが直面しているのは、標的を調査し、意思決定を行い、アプローチを適応させ、人間の介入なしに大部分の攻撃を実行するエージェント型AIシステムです。
そして、本当に夜も眠れなくなるはずなのがこの部分です。国家支援を受けたグループがこれを実現できたのなら、他の誰もが同じことをできるようになるまで、あとどれくらいかかるのでしょうか。高度なサイバー攻撃への参入障壁は、まさに崖から転落するように下がってしまいました。
Koiでは、この進化をリアルタイムで見守ってきました。ここ数週間で、npm、PyPI、Chrome Web Store、VS Code拡張機能など、私たちが監視しているマーケットプレイス全体で悪意ある活動がほぼ100%増加しているのを検知しています。わずか数週間で脅威がほぼ倍増したのです。これは緩やかな増加ではありません。指数関数的な増加です。
AIが生成したマルウェアが増え、より巧妙な回避技術が増え、正規の開発者が作成したものと不気味なほど似ているサプライチェーン攻撃が増えています。それもそのはず、これらは正規の開発者がコードを書くのを助けているのと同じ種類のAIによって生み出されているのです。
「エージェント型」AIとは何か、そしてなぜそれがすべてを変えるのか
「AI搭載」という言葉を、これまで何度も耳にしてきたことでしょう。今やあらゆるセキュリティベンダーがそう謳っています。しかしエージェント型AIは根本的に異なるものであり、その違いを理解することが重要です。
従来の「AI搭載」セキュリティツールは、機械学習を使ってパターンを認識したり、脅威をより高速に分類したりするものです。よりスマートなスパムフィルター、より賢い署名照合、より高速な異常検知といったイメージです。AIはあくまで補助役であり、実際の意思決定を行うのは人間です。
エージェント型AIは自律的に動作します。単に分析するだけでなく、調査を行います。意思決定を行います。発見した内容に基づいてアプローチを適応させます。人間の入力を待つことなく、複数のアクションを連鎖させます。
Anthropicのレポートに登場する攻撃者は、次のようにこれを利用しました。Claude Codeは単に脆弱性をスキャンして報告するだけではありませんでした。標的を特定し、そのインフラを調査し、エクスプロイトコードを書き、うまくいかない場合は別のアプローチを試し、認証情報を収集し、盗んだデータを情報価値に応じて分類し、そのすべてを文書化しました。しかも、これらすべてを人間の監督をほとんど受けずに行ったのです。AIは自律的に数千もの意思決定を行っていました。
これこそがエージェンシー(自律性)です。そして、これはまさに私たちが防御側でWingsに実装した機能でもあります。
Koiのリスクエンジンである「Wings」は、不審なパッケージを検知しても、単に人間によるレビュー用にフラグを立てるだけではありません。発見した内容に基づいて、次に何を調査すべきかを自ら判断します。難読化されたコードを発見した場合、Wingsは自動的に、隔離されたサンドボックス内での動的解析へとエスカレーションします。インストール中のネットワーク接続を発見した場合、Wingsはその接続先を追跡し、エンドポイントを分析し、データが外部に流出しているかどうかを判定します。他のパッケージにも類似のパターンを発見した場合、Wingsはそれらを結びつけ、キャンペーン全体を特定します。
すべての意思決定に人間が介在するわけではありません。アナリストがアラートをトリアージするのを待つ必要もありません。毎日何百万ものソフトウェア成果物に対して、機械的な速度で自律的な調査が行われるだけです。
だからこそ、Anthropicの今回の侵害事例は重要な意味を持ちます。エージェント型AIが攻撃側の作戦においても機能することを証明しているからです。そして攻撃者がそれほどの自律性と速度で活動しているのなら、防御側もそれに見合う体制を整える必要があります。
火には火を(あるいは、私たちがWingsを開発した理由)
ここに、居心地の悪い真実があります。AIと戦うにはAIが必要だということです。「AI搭載機能」では不十分です。「機械学習で強化された検知」でも不十分です。必要なのは、攻撃者と同じように動作するエージェント型AIシステムです。
だからこそ私たちは、Koiのエージェント型リスクエンジンである「Wings」を開発しました。これはパッケージを分析するだけのツールではありません。脅威を自律的に調査する自律型システムです。
Wingsは、npm、PyPI、Chrome Web Store、VS Code拡張機能など、多数のプラットフォームで毎日何百万ものソフトウェア成果物を分析しています。しかし、これをエージェント型たらしめているのは以下の特徴です。
自律的に調査を行う。Wingsは不審なパッケージを検知しても、単にチェックリストに沿って処理するわけではありません。発見した内容に基づいて、次にどの分析を行うべきかを自ら判断します。静的解析で難読化されたコードが見つかった場合、Wingsは自動的に、隔離されたサンドボックス内での動的解析へとエスカレーションします。インストール中のネットワーク接続を検知した場合、Wingsはその接続先と送信されているデータを追跡します。
アプローチを適応させる。パッケージはそれぞれ異なります。攻撃手法も日々進化しています。Wingsは決められた手順に従うのではなく、複数の分析技術を連鎖させ、観察した挙動に基づいて戦略を調整します。攻撃者が行っているのとまさに同じことです。
自律的に意思決定を行う。Wingsはすべてを人間によるレビュー用にフラグを立てるわけではありません。リスクスコアを割り当て、ブロックの判断を下し、自動的に対処ポリシーを作成します。マルウェアが機械的な速度で生成されている以上、防御側も機械的な速度で動作する必要があるからです。
発生源で動作する。Wingsは、ソフトウェアがマーケットプレイスにアップロードされた時点で分析を行います。あなたのネットワークに到達する前の段階です。私たちは脅威がエンドポイントに到達するのを待ってはいません。境界線の段階で、被害が及ぶ前に食い止めているのです。
これこそが、Anthropicのレポートが描き出した状況――数千に及ぶアクション、最小限の人間の介入、発見した内容への適応――に対抗できる唯一の方法です。静的なツールでは、こうした脅威から身を守ることはできません。
Anthropicのレポートが本当に意味すること
昨日の公表内容が実際に何を物語っているのか、はっきりさせておきましょう。
脅威は既に高度化している。国家支援を受けたグループは、もはや最先端の存在ではありません。彼らはむしろ早期採用者です。彼らが今日行っていることは、来月には犯罪グループも行うようになるでしょう。もしかしたら来週にはもう始まっているかもしれません。
自動化は現実のものである。80〜90%の自律運用は理論上の話ではありません。既に起きていることです。そして日を追うごとに、攻撃者は残り10〜20%の人間による意思決定部分でも精度を高めています。
その規模は、手作業ではとても太刀打ちできない。1秒間に数千件のリクエスト。膨大な量の盗まれた情報の分析。包括的な文書を自動的に作成する能力。どんな人間のセキュリティチームも追いつけません。
既存のツールは、この事態を想定して作られていない。これらのツールは、マルウェアキャンペーンの開発・展開に数週間を要していた時代のために作られたものです。今や私たちは、数時間でマルウェアが生成され展開される世界にいます。
次に押し寄せるサイバー攻撃の波を生き延びる企業とは、この変化を理解し、それに応じて適応する企業です。そうでない企業は、遠からず自ら侵害公表レポートを書く羽目になるでしょう。
もはや理論上の話ではない
セキュリティ業界がサイバーセキュリティにおけるAIの理論上のリスクについて議論している間、攻撃者たちはそのリスクが現実のものであることを証明するのに忙しくしていました。彼らは完璧なAI安全性フレームワークの登場を待ってはいません。責任あるAI展開について気に掛けてもいません。ただ、それを使っているだけなのです。
Anthropicのレポートは警鐘です。しかし私たちKoiにとっては、これまで目指してきたものが正しかったことの証明でもあります。ソフトウェアサプライチェーン攻撃が自動化され、高度化し、絶え間なく続く世界。そこで唯一有効な防御策は、決して眠らず、決して速度を落とさず、脅威と同じ速さで進化する、同等に高度なAIシステムだという世界です。
私たちはこれまで、自らの調査を通じてこの進化を追跡してきました。目に見えないUnicodeを使うGlassWormの自己増殖型拡張機能、PhantomRavenの隠されたリモート依存関係、メールを盗む初の悪意あるMCPサーバー、そしてClaude Desktop拡張機能におけるコマンドインジェクションの脆弱性。これらはいずれも、新たな攻撃ベクトル、新たな水準の高度化を体現するものでした。
そして、そのすべてを、Wingsが大規模かつ自律的に稼働して検知してきました。
今すぐ取るべき行動
この記事を読んでいるセキュリティ責任者の方に向けて、今なすべきことをお伝えします。
AIを将来の問題として扱うのをやめること。これは現在進行形の問題です。攻撃者は今日もAIを使っています。マルウェアは今日も生成されています。私たちが検知している悪意ある活動の100%増加――それは今、この瞬間に起きていることなのです。
AI搭載機能だけでは不十分だと理解すること。既存のツールに機械学習を後付けしたところで、それがエージェント型になるわけではありません。必要なのは、自律的に調査し、適応し、判断を下せるシステムです。
AI防御の導入を迅速に進めること。これは半年がかりの評価サイクルやベンダー比較選定をのんびり行っている場合ではありません。脅威の状況は週単位で進化しています。それに追随できる防御体制が必要です。
検知だけでなく、予防に重点を置くこと。悪意あるソフトウェアがエンドポイントに到達した時点で、既に手遅れです。組織内に侵入する前――Wingsが機能するマーケットプレイスの段階――で脅威を食い止める必要があります。
AI軍拡競争はこれから来るものではありません。既に始まっているのです。そして、もしあなたがまだエージェント型AI防御を導入していないなら、あなたは既に出遅れています。
Koiでは、まさにこの瞬間のためにWingsを開発しました。それが避けられない未来だとわかっていたからです。唯一の問題は、他の誰もがそれに気づくまでにどれだけの時間がかかるかということだけでした。
サイバーセキュリティの新たな現実へようこそ。警戒を怠らないでください。
Wingsが従来のセキュリティツールでは見逃してしまう脅威をどのように検知するか、ご覧になりたいですか?Koiのエージェント型リスクエンジンのデモを見ることができます。
翻訳元: https://www.koi.ai/blog/when-anthropic-claude-becomes-a-cyber-weapon-the-ai-arms-race-has-begun
