脅威アクターたちが、Claudeベースのエージェント型ワークフローを用いて、偵察、エクスプロイト、認証情報窃取、データ流出、マルウェアの再開発を自動化する動きが広がっています。
Anthropicによると、同社は攻撃者がAIを単なるコーディング支援ツールとしてではなく、サイバーキルチェーンの大部分を実行・反復できるオーケストレーション層として利用していた活動を妨害したとのことです。
Anthropicの調査は、2025年12月から2026年8月の間に妨害された悪意ある活動を対象としています。
調査の結果、国家の支援を受けていると疑われる攻撃者、金銭目的の犯罪者、ハクティビストらがClaude Haiku、Sonnet、Opusの各モデルを、自律型または半自律型の攻撃フレームワークに利用していたことが判明しました。
攻撃者たちは、チャットボットに個別のコードサンプルや技術的助言を手作業で求める代わりに、偵察の実施、露出したシステムの特定、認証情報のテスト、侵入ツールの開発、侵害後のタスク実行、盗んだデータの整理までこなせるマルチエージェント型フレームワークを構築していました。
人間のオペレーターは通常、標的の選定やキャンペーンの優先順位付け、結果のレビューを担当し続ける一方で、AIエージェントは反復的な技術タスクを並行してこなしていました。
資産の発見、エクスプロイト開発、フィッシングインフラの構築、マルウェアのエンジニアリング、大量データの処理といった、かつては専門家チームを必要としたタスクが、マシンスピードで動作するエージェントにますます委任されるようになっています。
今回の報告書で最も深刻な事例の一つが、Midnight Blizzardに関する公開報告と一致すると評価された、諜報活動に関連するクラスター「GTG-20006」です。
同グループは、政府機関、防衛、外交、そしてドローンのサプライチェーンを標的に、インフラの調達、フィッシング、永続化、コマンド&コントロール活動、認証情報の収集、データ流出をAI主導のワークフローで自動化していたとされています。
セキュリティソフトウェアがインプラントを検知すると、このAIワークフローは悪意あるコードを改変し、再構築した上で、検知を回避できるまで修正版の検証を繰り返し実行できました。
その後、攻撃者は更新されたペイロードを使い捨てのホスティングインフラに配置し、フィッシング、ClickFix、そしてDNSハイジャックによる活動に利用していました。
エンドポイントでの検知やシグネチャは依然として重要ですが、攻撃者は既存の検体が検知された後、代替ペイロードを生成するのに必要な時間を大幅に短縮できる可能性があります。
これらの攻撃者は、侵害されたSaaS環境における認証情報の収集、脆弱性の悪用、権限昇格、APIの悪用、大量エクスポート、テナント横断的なデータ収集を加速させるためにAIエージェントを利用していたとされています。
ある侵入事例では、攻撃者が盗んだ開発者トークンから管理者権限によるクラウド制御にまで至るのに、わずか約3時間しかかからなかったと報告されています。
また別のサプライチェーン侵害事例では、AI支援ツールがクロスサイトスクリプティングの脆弱性を悪用し、権限を昇格させ、特権トークンを生成または変換した上で、数千に及ぶ下流の顧客組織からのデータ収集を可能にしたとされています。
オペレーターは、環境へのアクセスを検証する、価値あるデータを取得するといった大まかな目標を与えるだけで、あとはAIが環境を評価し、スクリプトを生成・実行し、出力を解釈しながら、指定された結果に到達するまで反復処理を続けます。
中国語話者とみられるクラスター「GTG-10007」は、エンドポイントセキュリティ製品やネットワーク機器を標的に、自律型の脆弱性研究プログラムを運用していたとされています。
同グループのワークフローは、ファームウェアやバイナリを逆コンパイルツールに投入し、コードパスをマッピングし、脆弱性の仮説を立て、概念実証(PoC)エクスプロイトを作成した上で、これをラボ環境でテストしていました。
Anthropicによると、ネットワーク機器を対象としたあるワークフローは、わずか1か月の間に10件を超える可能性のあるゼロデイの発見事項を生成したとのことです。また同報告書は、AIのAPIキーやセッショントークンの価値が高まっている点も強調しています。
攻撃者たちは、公開リポジトリ、モバイルアプリケーション、コンテナイメージ、ウェブサイト、AI連携機能などから認証情報を収集していたとされています。
盗まれたキーは金銭化できるほか、被害者の負担で計算リソースを利用したり、悪意ある活動を正規のアカウント保有者が行っているように見せかけたりすることが可能になります。
組織は、AIのAPIキー、エージェント連携機能、モデルゲートウェイ、評価用サンドボックス、連携された自動化プラットフォームを、本番環境のセキュリティ資産として扱うべきです。
キーはソースコード、モバイルアプリ、コンテナ、クライアント側ソフトウェアに埋め込むのではなく、管理された秘密情報管理システムに保管する必要があります。
露出した認証情報は直ちにローテーションし、セキュリティチームには異常なモデル利用状況、不自然なトークン生成、大量エクスポート、予期しないデバイス登録、テナント横断的なAPI活動を調査させるべきです。
16,000以上の組織から得られる最新のインテリジェンスで、脅威の検知率を58%向上させましょう。TIフィードを統合することで、貴社のSOCを強化できます
翻訳元: https://cyberpress.org/hackers-turn-claude-ai-agents-into-autonomous-tools/
