脅威アクターがClaudeベースのAIワークフローを利用し、サイバー攻撃の自動化やデータ窃取の高速化を進めるとともに、複雑な侵入を実行するために必要な技術的専門知識のハードルを下げるケースが増えています。
Anthropicのレポートは、2025年12月から2026年8月にかけて阻止したサイバースパイ活動、金銭目的の恐喝、サプライチェーン侵害、ハクティビズム活動の詳細をまとめています。
攻撃者はAIチャットボットを単発的なコーディング支援として使うだけでなく、偵察の実施、露出したサービスの特定、認証情報のテスト、マルウェアの作成、コマンドの実行、データの収集、窃取データの持ち出し準備までをこなすマルチエージェント型フレームワークを展開していました。
脅威アクター、Claude AIエージェントでサイバー攻撃を自動化
攻撃対象の選定や窃取データの精査は概ね人間のオペレーターが管理しており、反復的な技術作業はエージェントがマシンスピードで処理していました。
データガバナンスコンサルティング
GTG-20006として追跡されているロシア国家に関連するとみられるスパイ活動クラスターは、攻撃チェーン全体を通じてカスタマイズされたAI駆動のワークフローを使用していたとされています。
Anthropicによると、このグループはウクライナおよび欧州の政府機関、外交組織、防衛関連企業、軍事用ドローンのサプライチェーンを標的にしていました。
この作戦では、インフラの調達、フィッシング用ドメインの登録、C2(コマンド&コントロール)の監視、認証情報の収集、ラテラルムーブメント、データ持ち出しまでが自動化されていたとみられています。
同グループのツールキットには、Windows向けインプラント、ブラウザの認証情報窃取ツール、モバイルマルウェア、フィッシング用インフラ、侵害済みアカウントの管理ツールなどが含まれていました。特に注目すべき点として、AIエージェントが展開済みのマルウェアがセキュリティ製品に検知されているかどうかを監視していたとされています。
検知が発生すると、ワークフローは検知を回避できるまで検体を修正・再構築・再展開し続けました。これにより、防御側が検知から回避までの間に持てる対応時間が大幅に圧縮されかねないプロセスとなっています。
あるキャンペーンでは、攻撃者はドローン部品メーカーのメールボックスを一括でエクスポートし、独自のドローン用ビジョンソフトウェア開発キット(SDK)を窃取しました。
その後、AIを活用した解析によって同製品のアーキテクチャ、ハードウェア部品表、サプライヤーの依存関係、さらには未発表製品に関する情報を逆行分析(リバースエンジニアリング)していました。
同じ攻撃者は、北アフリカのある政府系テクノロジー機関から、30万件を超える国民ID記録と、50万社以上の企業に関する商業登記データも窃取していたとされています。
金銭目的の攻撃者もAIを利用し、日和見的な侵害の規模を拡大していました。Anthropicは複数のクラスターをShinyHuntersの関連グループとみられる存在に結び付けており、これらはAndroidアプリケーション、コードリポジトリ、クラウド環境、企業システムから認証情報を収集していたとされています。
あるオペレーターは、10台のAmazon EC2ワーカーからなる群れを使って180万件のAndroid APKをダウンロード・逆コンパイルし、ハードコードされた機密情報がないかスキャンしていました。
攻撃者は被害者の環境からAI APIキーを窃取し、そのキーを作戦遂行の資源としてだけでなく、活動を隠蔽する手段としても利用していたとされています。
侵害されたAPI認証情報により、攻撃者は被害者側の負担でさらなるAI処理を実行しつつ、正規のアカウント利用に紛れ込ませることが可能になっていました。
レポートでは、AIを活用したエクスプロイト開発作戦GTG-10007についても記録されています。この作戦では中国語話者のオペレーターが、脆弱性調査、バイナリ解析、エクスプロイトの記述、マルウェア開発、外国政府に対する偵察のために、常時稼働するエージェント型ワークフローを運用していました。
ある自動化プロセスでは、ファームウェアの逆コンパイル、脆弱性仮説の構築、概念実証(PoC)コードの生成、実験環境でのエクスプロイトテストを繰り返すことで、ネットワーク機器を狙ったゼロデイの可能性がある発見を1か月で12件以上生み出していたとされています。
防御側にとって重要な変化は、攻撃の「運用経済性」にあります。AIは必ずしもまったく新しい攻撃手法をもたらすわけではなく、フィッシング、露出した認証情報、パッチ未適用のエッジデバイス、安全性の低いAPI、ソフトウェアの脆弱性といった従来からの侵入経路が依然として主流です。
しかし、エージェント型ワークフローによって、攻撃者はこうした従来からの手法をより高速に、より多くの標的に対して、より少ない人員で実行できるようになっています。
組織は、AI APIキー、セッショントークン、エージェント連携、モデルゲートウェイ、評価用サンドボックスを本番環境レベルの機密情報として扱うべきです。
セキュリティチームは最小権限の原則を徹底し、露出したキーをローテーションし、異常なAPI利用を監視し、AI連携型のワークロードをセグメント化するとともに、自動化された偵察活動や大量のデータエクスポート、認証情報の悪用を検知できる管理策を適用する必要があります。
ソフトウェアサプライチェーン
SOCを常に最新の状態に保ち、マルウェアやフィッシングの出現から24時間以内に把握しましょう。 ANYRUNを試して、早期検知でインシデントを未然に防ぎましょう。
