攻撃者はAIを使ってマルウェアの再構築を加速し、ハッシュ値を変えて検知をすり抜けようとします。しかし、AIを使っても消えない痕跡は残り、防御側はそれを手がかりに脅威を無力化できます。
最新の調査によると、AI生成マルウェアをめぐる最近の不安は、やや過剰である可能性があります。
先月、Anthropicは、ロシアと関係するサイバースパイ集団Midnight Blizzardが、セキュリティツールにバックドアを悪意あるものと判定されるたびに、Claudeを使ってマルウェアを再構築していたと詳しく報告しました。
同社はレポートで、Midnight Blizzard（別名APT29、Cozy Bear）をGTG-20006と呼び、次のように述べています。「GTG-20006は、カスタマイズしたAI駆動のワークフローで活動していることを確認しました。開発、インフラの調達、フィッシング、コマンド&コントロールによる永続化、データ窃取に至るまで、運用の多くを自動化していました」
同グループが運用の一部にAIを使っていること自体も注目に値しますが、関係者を驚かせたのは、それを検知回避戦略に組み込んでいた点です。Anthropicは次のように報告しています。「監視役のAIエージェントが、展開済みのマルウェアのいずれかがセキュリティ製品に検知されたと判断すると、エージェントはマルウェアを自律的に改変・再構築し、既存の検知を回避する作業に取りかかります。エージェントは、GTG-20006のツール群が検知されなくなるまで、改良を繰り返すよう設計されていました」
検知の監視からマルウェアの再構築、回避性能の微調整までを自律的に回すこのループは、ポリモーフィック型のAIマルウェアの出現を想起させます。ポリモーフィック型とは、中核となる機能を保ったまま、コードの構造を自動的に書き換える悪意あるソフトウェアのことです。
ところが、脅威インテリジェンス企業のReversingLabs（RL）は、その後に公開したレポートで、同社のテレメトリと振る舞いベースの脅威ハンティングにより、このキャンペーンで使われたGo製バックドアのPowerShellステージャーを、Anthropicが9月10日にレポートを公表する数週間前の8月1日に悪意あるものと判定していたと説明しています。
RLはその後の25日間で、同じステージャーの5つのバージョンを確認しました。ハッシュ値はそれぞれ異なっていましたが、5つとも同じように動作していました。先週公開されたReversingLabsの技術ブログによると、こうした一貫した振る舞いのプロファイルが、どの世代のマルウェアも検知される余地を残していました。アナリストは、マルウェアが何をするのか、そのファイルやインフラがどう結び付いているのかを引き続き追跡できたためです。
つまり、AIによる再構築を使った検知回避は、当初懸念されたほど万全ではない可能性があります。
使い古された手口の変種
検知を逃れるためにファイルを書き換えるのは、この世界で最も古い手法の一つです。ポリモーフィック型マルウェアも、シグネチャを回避するために数十年前から使われてきました。
マネージド検知・対応（MDR）企業Huntressのサイバーセキュリティアドバイザーチームでマネージャーを務めるBen Bernstein氏は、次のように話します。「Midnight Blizzardの活動で際立っているのは、手間のかかる作業をLLMに任せている点です。セキュリティツールを監視し、人手を介さずに新しい亜種を自動生成するAIエージェントを組み込んでいました。単純なスクリプトによる自動化でも同様のことはありましたが、大規模言語モデル（LLM）を使えば、リファクタリングがより洗練され、速くなります」
Huntressも、AIによってマルウェアの再構築は速くなるものの、悪意ある振る舞いの特徴までは変えられないというReversingLabsの主張を支持しています。
Bernstein氏は「モデルは、静的解析を回避するためにコード構造を入れ替えたり、変数を置き換えたりする作業が非常に得意です」と述べます。「ただし、AIが新たなエクスプロイトを生み出しているわけではありません。ファイルのハッシュ値が変わるように、同じスクリプトを書き直す単純作業を自動化しているにすぎません」
Bernstein氏は端的に、「見た目の包装は変わっても、ペイロードの中核となる目的はまったく同じです」と指摘します。
AI支援によるマルウェア開発の悪用実験
とはいえ、AIを使ったマルウェアの再構築は、前例がないわけではないものの、マルウェア開発者の間で新たに広がりつつある手口です。
たとえばGoogleは、2025年後半にPromptFluxを記録しました。これは、Geminiに1時間ごとに自身のソースコードを書き換えさせる実験的なスクリプトです。また、APT28がウクライナに対して使用したPromptStealは、実行時にコマンドを生成します。
2026年3月には、Microsoftがレポートを公開し、北朝鮮系のクラスターCoral Sleetが、ペイロードの生成・テスト・展開にエージェント型AIツールを使っている実態を説明しました。
ReversingLabsでエンジニアリング担当SVPを務めるIgor Lasic氏は、「こうした事例の多くは初期段階か実験的なものです。Microsoft自身も、この能力は『信頼性、レイテンシ、運用上のリスクによって依然として制約されている』と評価しています」と話します。
しかしLasic氏によると、今回のMidnight Blizzardの事例は「記録に残る中で最も明確なもの」です。同じインフラについて、2つの独立した情報源が説明しているからです。1つは、7月31日にMicrosoftがCaptiveCrunchとして公表した情報で、CornFlakeとChocoShellというファイルを挙げています。もう1つは、9月10日のAnthropicのレポートで、攻撃者がClaudeをどう使ったかを把握していました。
Lasic氏は「どちらのレポートよりも前の7月6日と7月10日の時点で、当社は両方のファイルを保有していました」と話します。
なお残る限界
Lasic氏は、ReversingLabsの今回のレポートが示すのは、AIを使ったマルウェア再構築の現時点での到達点にすぎない可能性があると認めます。Midnight Blizzardの事例で見られた限界の一部は、より高度なモデルなら克服できるかもしれないからです。
Lasic氏は次のように説明します。「現状では、モデルはファイルをタダ同然で書き換えられますが、ビーコンを解析するサーバー側のコードの書き換え、ドメインの再登録、被害者への再フィッシングを安価に行うことはできません。そのため、生き残った指標は、2か所で同時に変更しなければならないものでした。運用全体にアクセスできる、より高性能なエージェントなら、こうした変更を調整できるでしょう。今後数年で、インフラ関連の指標は、ハッシュ値がすでにそうなったように、より早く陳腐化していくとみています」
コストや、より高度なモデルを利用できるかどうかは、AIを使ったマルウェア再構築の一時的な制約にすぎないかもしれません。一方で、より本質的に近い制約が2つあります。悪意あるコードの振る舞いと、攻撃キャンペーンの中で残される、検知につながる手がかりです。
Lasic氏は「認証情報を盗むインプラントは、何で作られていようと認証情報ストアを読み取る必要があり、外部と通信するものは接続を開く必要があります」と述べます。「難読化によって抽出は難しくなりますが、機能を失わずに要件だけを取り除けるような書き換えは存在しません」
さらに、モデルが変更できるのは次のビルドだけで、すでに観測され、タイムスタンプが付き、同じサーバーに紐付けられたビルドは変えられません。
Lasic氏は「再構築が速くなれば、アーティファクトも増えます。そしてそれぞれが、攻撃の運用へとたどれる新たな糸口になります」と締めくくります。
HuntressのBernstein氏も、AIを使ったマルウェア開発に対してさえ、振る舞いベースのハンティングは有効であり続けるというReversingLabsの評価を支持しています。
Bernstein氏は「悪意あるコードはいくらでも偽装できますが、スクリプトが認証情報をダンプしたり、永続化を確立したりしようとすれば、最新のEDR（エンドポイントでの検知・対応ツール）の大半は、その動作自体を検知します」と述べます。
AIを使ったマルウェア開発にはもう一つ限界があります。最新のモデルでも、悪用できるのは既知のセキュリティ脆弱性にとどまるという点です。
Bernstein氏は「AIモデルは既知のパターンを組み替えているだけで、ゼロデイを一から発想しているわけではありません」と結論づけます。「将来のモデルは、出力を実際の環境で能動的にテストして未知の欠陥を見つけられるようになれば、性能が上がるかもしれません。しかし現時点では、既知の手法を高速で使い回しているにすぎません」
