AIプラットフォームが日常業務の一部となる中、攻撃者はプラットフォームそのものを侵入経路として利用する新たな手口を見出しています。Huntress Security Operations Center(SOC)によると、日常的により大きなリスクとなっているのは、AI企業やモデル自体への攻撃ではなく、人々がすでに信頼し依存しているAI機能を攻撃者が悪用するケースだといいます。
過去9か月間、Huntressは攻撃者が共有可能なAIコンテンツ、公開されているミニアプリ、そしてスポンサー付き検索結果を武器化し、AIユーザーを狙ってマルウェアを配布する事例を追跡してきました。
正規機能の乗っ取り
Huntressは、攻撃者がAIプラットフォームの正規機能をいくつか悪用しているのを確認しています。具体的には以下の通りです。
-
Claude Artifacts: Claudeがチャットのプレビューペインに生成・表示するコンテンツで、ユーザーが公開リンクとして発行・共有できる機能。
-
claude.ai/shareリンク: ユーザーがClaudeの会話を公開する際に生成される共有用URL。フォーラムやSNSなどクロール可能な場所に投稿されると検索エンジンに表示されることがあります。
-
ChatGPTおよびGrokの会話: chatgpt.comやgrok.comでホストされる共有・インデックス可能な会話で、トラブルシューティング系の検索で上位表示されることがあります。
これらの機能はいずれも信頼境界の内側に位置しています。ユーザーはプラットフォームやブランド、周囲のコンテンツを見覚えのあるものと認識するため、悪意のある指示やダウンロードも正規のものに見えてしまいます。こうしたキャンペーンは、プロバイダーがコンテンツを削除するまで数時間から数日しか稼働しないことが多いものの、それでも被害者を欺き、発覚を逃れるには十分な時間です。
もしランサムウェアの被害に遭ったら、あなたはどうしますか？
ファイルが暗号化され、業務が停止し、攻撃者が身代金額を提示してあなたの返答を待っています。支払いますか？交渉しますか？そもそも応じるべきでしょうか？
Huntressが実際の企業を狙った攻撃で確認してきた手口をもとに構築された、模擬ランサムウェアインシデントの中で次の一手を選んでみてください。ランサムウェアの攻撃者が主導権を握っていると考えているときにどう振る舞うのか、そして交渉段階に至る前に攻撃を検知するためにどのような対策が取れるのかを体感できます。
FakeAgent：Claude Artifactを悪用したマルバタイジング
Huntressは7月、29を超える組織を標的にしたFakeAgentと呼ばれるキャンペーンを確認しました。発端は、実在のclaude.aiドメイン上でホストされていた悪意のあるClaude Artifactでした。
公開Artifactsは本来、軽量なデモ用途を想定しており、Anthropicによる審査も一般的な免責事項の表示程度にとどまっています。攻撃者はこの点を突いて、Claude Desktopの説得力あるフェイクダウンロードページを作成しました。
Bingで「Claude desktop app」を検索した被害者はこの偽ページにたどり着き、一見正規に見えるダウンロードリンクをクリックしました。すると、外部ドメインへとリダイレクトされ、SectopRATマルウェアが配布される仕組みになっていました。
HuntressはこのArtifactを報告し、Anthropicは7月22日までにこれを削除しましたが、同一のリダイレクトドメインに関連するインシデントは8月に入っても続きました。
claude.ai/shareに潜む偽インストールガイド
別の事例では、Googleで「Claude on Mac」を検索した被害者が、Apple Supportのインストールガイドを装ったclaude.ai/shareリンクへと誘導するスポンサー付き検索結果をクリックしてしまいました。このページはAnthropic自身のドメイン上に存在していたため、見た目が本物と異なるURLや証明書の警告といった通常の危険信号は一切ありませんでした。
この偽ガイドは、被害者にcurlコマンドをターミナルに貼り付けるよう指示するもので、これをきっかけに6段階の攻撃チェーンが始まり、MacSyncスティーラーが展開されました。このマルウェアは、Cookie、認証情報、キーチェーンのシークレット、Telegramのセッション情報、SSHおよびクラウドの鍵情報などを窃取しました。
ChatGPTとGrokを介したAIポイズニング
3つ目のパターンは、AIが生成するトラブルシューティング助言そのものを標的にしています。12月、「clear disk space on macOS」という何気ない検索を行ったところ、ChatGPTとGrokの会話が検索上位に表示されましたが、その内容は本来の解決策ではなく、ClickFix型の手口に従った指示でした。
攻撃者はあらかじめ会話を作り込んだ上で「共有」ボタンを押し、プラットフォームの信頼されたドメイン上に公開URLを生成。さらにSEOポイズニングを使って、そのリンクをGoogleの検索結果上位に押し上げました。
これらのリンクは実在するchatgpt.comやgrok.comのドメイン上にあったため、被害者はその助言を信頼し、提示されたターミナルコマンドを実行してしまいました。その結果、AMOSスティーラーが配布されました。
防御側が取るべき対策
これらの攻撃はいずれも、AIプラットフォームのセキュリティそのものを突破したわけではありません。むしろ、ユーザーが見慣れたブランドや実在のドメインに寄せる信頼を悪用したものです。
防御側は、クリップボード経由でのスクリプト実行やAI支援によるトラブルシューティングをセキュリティリスクとして扱うべきです。クリップボードからのスクリプト実行を制限し、アプリケーションの許可リスト（アローリスト）を徹底してください。新規のスケジュールタスクやアンチウイルスの除外設定の変更にも注意を払い、ClickFix型の誘導を見抜けるようユーザーを教育しましょう。不審なAIホスト型コンテンツを見つけた場合は、速やかにプラットフォーム提供元に報告することも重要です。
こうしたキャンペーンは短命であることが多いものの、迅速な報告と多層的な対策を組み合わせることで、攻撃者に与える悪用の機会を狭めることができます。
こうした攻撃手法に関心があり、攻撃者がどのように戦術を進化させているかをさらに知りたい方は、毎月開催しているTradecraft Tuesdayで専門家による詳細な解説にぜひご参加ください。
