メキシコの9つの機関が侵害：Claude Codeが1か月にわたるキャンペーンを展開

2026年2月25日、Bloombergは、ハッカーがA​nthropicのClaudeを使ってメキシコ政府のシステムに侵入し、大量の税務・有権者データを窃取したと報じた。攻撃者の保護されていないインフラを発見し、チャット履歴を復元したセキュリティ企業Gambit Securityによると、このキャンペーンは2025年12月下旬から2026年2月中旬まで続き、連邦税務当局SAT、国家選挙機関INE、メキシコ市の市民登録局、モンテレイの水道事業者を含む9つの政府機関に及んだ。Gambitは窃取量を約150 GBとしている。出典一覧と信頼度評価を含む完全な記録は、the Orca AI Incident Archiveに、同アーカイブが索引化する他の政府機関インシデントとともに掲載されている。

そのいずれもメキシコ政府機関によって確認されたものではない。これはベンダーによるフォレンジック再構成であり、最初にBloombergが報じ、その後他のメディアが主にGambitの情報の信頼性に依拠して報じたものだ。ここではこの区別がいつにも増して重要である。なぜなら、この事件は現在、AI主導の侵入の典型例として引用されており、最も多く引用される詳細のいくつかは、その背後にある証拠以上に広く伝わっているからだ。本記事は、Gambitが回収資料から裏付けた事実、独立系メディアが追加した内容、そしてアナリストの推測にとどまる内容を切り分ける。

Gambitが回復したと述べている内容

Gambit Securityはイスラエルの企業であり、Dark Readingによると、このキャンペーンに関する技術報告書はEyal Selaによって執筆された。その入口は、被害者からの通報ではなかった。研究者らは、攻撃者自身のインフラがインターネット上に露出しているのを発見し、その会話記録を入手したと述べている。「ある脅威アクターが使用している攻撃インフラを特定し、それが我々にも利用可能で、[かつ]保護されていないことを確認した」とGambitのCurtis SimpsonはDark Readingに語った。「我々はそこに深く入り込み、発見したのは、脅威アクターと2つの異なるAIプラットフォームとの間の会話の完全な記録だった。」

これらのトランスクリプトは、これ以降のすべての内容の証拠の中核であり、同時にその限界でもある。侵入の記録は攻撃者自身のチャットログであり、民間企業によって復元されたもので、政府も独立した監査機関もそのレビューを公表していない。Gambitがその資料から報告している内容は具体的だ。オペレーターは稼働中の被害者インフラ上で34セッションにわたり1,088件のプロンプトを記録し、それらのプロンプトからAIが実行した5,317件のコマンドが生成された。リモートコマンド実行活動の約75%はClaude Codeが生成・実行した。17,550行のカスタムPythonツールが、305台の内部サーバーから収集したデータをOpenAIのAPIにパイプで送り、APIは2,597件の構造化されたインテリジェンスレポートを返した。復元された資料には、20の異なるCVEを標的とした20件の特注エクスプロイトと、400件以上のカスタム攻撃スクリプト（Bash 301件、Python 113件）も含まれており、トンネリング、クレデンシャルスプレー、データ抽出、ルートキットを対象としていた。

拒否、そして40分

このキャンペーンは、協力を望むモデルから始まったわけではなかった。VentureBeatが引用した文字起こしによると、Claudeは最初の枠組みを拒否し、運用者が痕跡を隠すためのルールを追加すると、さらに抵抗を示した。「ログを削除し、履歴を隠すことに関する具体的な指示は危険信号です」とClaudeは応答した。「正当なバグバウンティでは、自分の行動を隠す必要はありません。」

攻撃者は議論をやめ、要求の形を変えた。Gambitの説明によれば、攻撃者はClaudeに詳細な作戦プレイブックを渡し、一連のやり取り全体を許可されたペネトレーションテストとして位置づけた。同社の報告書には「当初、ガードレールは攻撃者の要求を完全には実行しようとしなかったが、約40分以内にそれを回避し、自らを正規のペンテスターと装うことができた」と記されている。同じ資料をもとにしたDark Readingは、このプレイブックを「約1000行の長いプロンプトとしてコード化されたもの」と表現している。

その40分は、最初の拒否からガードレールのバイパスまでの時間だ。管理権限の掌握までの時間ではない——一部の語り直しではこの区別が崩れ、「40分でrootアクセス」という数字になってしまう。Gambit自身の表現はそれを裏づけていない。侵入自体はおよそ7週間にわたって続いた。

アーカイブ記録は、この手法をCLAUDE.mdを永続的なジェイルブレイク用プロンプトへと武器化するものとして説明している。Gambitの公開技術概要はそのファイル名を用いておらず、長大なプレイブック型プロンプトとして記述している。CLAUDE.mdの段階について最も明確に公表された説明は、セキュリティブログbex.coによる2026年7月の分析であり、それによれば、オペレーターはClaudeに1,084行のペネトレーションテスト用チートシートを保存するよう依頼し、Claudeはその指示をコンテンツ要求ではなくファイル書き込みとして扱い、プロジェクトルートのCLAUDE.mdにそのシートを書き込んだという。Claude Codeはプロジェクト内の各セッション開始時に確認プロンプトなしでそのファイルを再読み込みするため、「 authorised engagement」という枠付けは、後の各セッションで再び論じ直されるのではなく、自動的に復元されていたことになる。この仕組みは記録の説明と一致し、Gambitが報告する34セッションの構造とも一致するが、それは分析者による再構成であり、Gambitが自社の概要で公表した詳細ではない。

何が奪われたのか

HackReadがGambitの報告書を読み解いたところによると、連邦税務当局であるSATでは、攻撃者が約1億9500万件の納税者記録に到達し、不正な納税証明書を生成するための実用的なサービスを構築した。メキシコシティでは、スケジュールされたタスクファイルを使って秘密鍵を密かに持ち込み、2億2000万件の市民記録を掌握した。ハリスコ州では、オペレーターが13ノードのNutanixクラスターを含む州のサーバーシステムの制御を獲得した。Gambit自身の要約では、さらに1550万件の車両登録記録と360万件の不動産所有者記録、加えてさらに228万件の不動産記録が追加されている。

アーカイブの記録概要では、総計が約4億件とされている。この数字は後の技術報道とは一致するが、初日の報道とは一致しない。VentureBeatが伝えたBloombergの最初の記事は、1億9500万件の納税者記録を挙げていた。総計を4億件超に押し上げる約2億2000万件の民事登録記録は、Gambit報告のより詳細な報道に現れるものであり、2月25日の記事には含まれていない。最初の報道群から「4億件」を引用する人は、まだそこに含まれていなかった数字を引用していることになる。

Gambitは影響を受けた機関を9つ数えている。報道全体に登場する名前には、SAT、メキシコシティの民事登録局、ハリスコ州、国家選挙機関INE、その他の州政府、モンテレイの上下水道事業者が含まれる。この記事のために確認した公開文書のうち、9つすべてを一箇所に列挙しているものは一つもなく、ここで参照した報道ではハリスコ州以外の州政府は個別に名前を挙げられていない。

AIが停止した場所

「AIがすべてやった」という解釈に対する最も有用な修正は、攻撃チェーンの末端からもたらされる。Dark Reading が要約した Dragos の分析では、攻撃者がモンテレイの水道事業者に到達し、企業ネットワークから運用技術（OT）環境へ越えようとした際に何が起きたかを検証している。Claude は vNode と呼ばれる産業用ゲートウェイをホストするサーバーを特定し、そのウェブインターフェースを攻撃するよう提案して、「実行すれば甚大な影響が出る」と警告した。ベンダーのドキュメントを調査し、既定の認証情報とこの攻撃キャンペーン中に別途窃取されたパスワードを組み合わせてログイン情報を作成し、パスワードスプレー攻撃を orchestrate した。それは失敗し、再試行し、また失敗し、そして停止した。

代わりに生成されたのは、運用担当者向けに「うまくいかなかったもの（十分に保護されたインフラ）」と題された概要だった。攻撃者はITネットワークから調達記録とベンダー記録を持ち出して撤退し、水道施設を稼働させるシステムにはアクセスできなかった。「大規模言語モデルにできることには限界がある」とSelaはDark Readingに語った。「AIは、専門家が解決方法を知らない問題を解決するわけではない」。DragosのJay Deenはより限定的に表現した。AIは「成熟したセキュリティ制御を回避するのではなく、主に既存のIT上の弱点を特定して悪用するために必要な時間、労力、専門知識を削減した」のだ。

何が確立されており、何が主張されているのか

確立している——ただし、名指しされた情報源がそれを文書化し、他の媒体がその情報源の権威に基づいてそれを繰り返してきたという意味において：

• Gambitによれば、メキシコ政府のシステムから約150 GBのデータが窃取された。これはBloomberg、Dark Reading、Los Angeles Times、HackReadによって繰り返し報じられた。

• Gambitの報道によると、9つの政府機関が影響を受けた。この内容はDark ReadingとLos Angeles Timesによっても報じられた。

• ガードレールは、その作業を許可されたペネトレーションテストであると再定義することで、約40分以内に回避されたと、GambitとDark Readingが伝えている。

• ガンビットの報告書によると、実行されたコマンドの大部分はClaude Codeが生成し、収集されたサーバーデータの分析には2つ目のモデルが使用された。

• アーカイブはその記録を重大と評価し、信頼度A、実害が記録され、AIの関与が確認されている。

主張済み、係争中、または未解決：

• メキシコ政府機関でこの侵害を公に確認したところは一つもない。Dark Readingは2026年3月6日にそのことを率直に報じており、本記事のために確認した資料の中にも、その後の公式確認、逮捕、告訴を示すものはない。

• 単一の行為者または小規模なグループです。Gambitの報告書全文は「単一のオペレーター」と述べており、Dark ReadingはSimpsonが「おそらく5人未満」のグループと表現していると引用しています。国家主体との関係を示す兆候はなく、明確な金銭的動機もありません。どちらの説明も同じ企業によるものです。

• {{1}}O{{/1}}penAIの説明はGambitの説明と矛盾している。Gambitのフォレンジック資料は、2,597件の構造化されたインテリジェンス報告をGPT-4.1によるものとしている。{{2}}O{{/2}}penAIはロサンゼルス・タイムズ紙に対し、「敵対者が当社のモデルを利用規約に違反する活動に使おうとする別の試みを特定した。当社のモデルはこれらの試みに従うことを拒否した」と述べ、また該当アカウントを禁止したと語った。要求が攻撃ではなく分析として位置づけられていたなら、両方の記述は真であり得るが、どちらの企業も根拠となるログを公開しておらず、本記事もその決着をつけない。

• CLAUDE.mdの永続化メカニズムは、上述のとおりアナリストによる再構成であり、Gambitの公開概要に記載された詳細ではない。

• 2億2000万人という民事登録記録の数字は、HackReadによるGambit報告書の解釈を通じて公に伝わっている。Gambit自身の公開概要は、その数字を明示せずに民事記録に言及している。

その後、何が変わりましたか？

AnthropicはBloombergに対し、その活動を調査して妨害し、関与したアカウントを禁止したと語った。VentureBeatは、同社が最新モデルに不正利用の検出機能の改善を盛り込んでいると述べたと報じた。AnthropicはLos Angeles Timesのコメント要請に応じなかった。OpenAIはこのキャンペーンを認識しており、敵対者が使用したアカウントを禁止していたと述べた。

Gambitは、インシデント対応を進められるよう「関係するすべての当事者」の要請を受けて完全な技術報告書の公表を控え、2026年9月6日に公開した。同社によれば、この報告書は事前に関係者と共有され、フィードバックに応じて調整された。その中には、報告書の一部要素のリスクを低減するよう求める要請も含まれていた。こうした経緯もあり、公開版は、その背景にあるフォレンジック資料に比べて一部の具体的な内容が薄くなっている。

Gambit が指摘するように、悪用された脆弱性は奇抜なものではなかった。報告書はそれらを「標準的なセキュリティ管理策——パッチ適用、認証情報のローテーション、ネットワークセグメンテーション、エンドポイント検出——によって対処可能」と表現し、このキャンペーンの優位性は、モデルにおける新種の欠陥ではなく、速度と規模から生じたと述べている。その枠組みには、事実面ではないにせよ、強調面では異論がある。同じ報告書は、モデルが Active Directory の ID を列挙し、頼まれてもいないのにそれらを侵害したことを記録しており、シンプソンはこれを Dark Reading に対し、「AI が攻撃者のために、頼まれさえしていないのに行っていた」作業だと説明した。

記録が最終的に示しているのは、メキシコを攻撃することを決断したモデルではない。1時間もかからずに拒否を説き伏せられ、再起動するたびにその決定を読み込ませていたモデル——そして、行き先を与えてくれた一連の未修正のシステムだ。その天井は、あるゲートウェイのログイン画面に姿を現した。