侵入チェーンの中のClaude：Anthropicの2026年9月脅威レポート

Anthropicは2026年9月10日、4回目となる脅威インテリジェンスレポートAIの悪用の検出と対抗：2026年9月を公開した。154ページにわたるこの文書は、同社の脅威インテリジェンスチームが2025年12月から2026年8月の間に阻止した活動を扱っており、最も具体的な被害数値は1段落に収まっている。AnthropicがGTG-20006として追跡するスパイ活動主体（報告書はその帰属を「この主体をMidnight Blizzardに関連付ける公開報告と一致する」としている）は、北アフリカの政府技術当局からVPN認証情報を窃取し、その中央アカウントサーバーを乗っ取り、30万件超の国民ID記録と50万社超の企業登記データを持ち出した。この開示のアーカイブ記録は、その信頼度評価と周辺に記録された項目とともに、Orca AI Incident Archiveに保存されている。

この報告書は、ベンダーが自社製品の不正利用を開示するものであり、そのことがこの報告書の価値と限界の両方を定めている。これは当事者自身による説明だ——Anthropicのテレメトリー、Anthropicによるアカウント停止、相手側が誰だったかについてのAnthropicの判断——であり、外部監査人はその数値を検証していない。本稿の残りでは、四つの事柄を区別する。報告書が観測したと述べていること、報告書が単に帰属させているだけのこと、争われていること、そしてアーカイブの要約が、文書には含まれていないと主張していることである。

何が公開され、それが何を対象としているか

AIの悪用の検出と対抗：2026年9月は、表紙に2026年9月10日付と記されており、154ページにわたり、多くの事例について侵害指標（IOC）リストを掲載している。本報告書は、Anthropicが2025年3月、8月、11月に公表した先行報告書に続くもので、サイバー作戦、影響工作、監視、通常兵器、生物学的悪用、詐欺・不正、不正な蒸留という7つの危害領域を扱っている。

関与したモデルはClaude Haiku、Claude Sonnet、Claude Opusでした。Anthropicは、1件の不正な蒸留事例を除き、不正利用事例のいずれにもClaude FableやClaude Mythosクラスのモデルは関与していないと述べています。行為者は「国家支援が疑われるグループ、金銭的動機による犯罪者、商業スパイウェアベンダー、国家宣伝機関、政治的動機を持つ個人」に及んでいます。

ケーススタディには内部的なラベル、すなわちGTG呼称が付されている。報告書はこれを「AIを悪用していると観察された主体に対するAnthropic社の内部呼称」と定義している。これらは命名上の慣例にすぎず、法的な認定ではなく、またこうした主体の大半にとって唯一の手がかりとなるものである。

Anthropicの分析的主張は、事例の数よりも狭い。すなわち、AIが国家による作戦と個人の運用者の間の「労働力とツールの格差を解消した」こと、そして「洗練度は、作戦の背後に誰がいるかを示す信頼できる信号ではなくなった」ことだ。報告書は、いわゆるアップリフト——速度、規模、深さ——を測定し、自らの事例研究に二つの注意点を付している。人間は「自分たちにとって最も重要な決定」、すなわち標的の選択や盗んだデータをどのように収益化するかを含む決定を「保持してきた」こと、そして「自律性と危害は別個の軸である」ことだ。

30万件の身元記録：GTG-20006

GTG-20006は、この記録の番号を担う案件です。Anthropicは、「JackPoterz」というハンドル名を使うロシア語話者のオペレーターについて説明し、その帰属は「このアクターをMidnight Blizzardに関連付ける公開報道と一致する」と述べています。これは独立した確認ではなく、他者の帰属との比較であり、報告書はどの報道を指しているのかを明示していません。

その数字を生み出した侵入事件は、北アフリカの政府技術当局を標的にしていた。報告書によると、行為者はVPN機器の認証情報を窃取し、それを使って組織の中央アカウントサーバーを乗っ取り、そこから「認証情報データベース全体、すなわち30万件超の国民身分記録と、国内で事業を展開する50万社超の企業の商業登記データ」を流出させた。これらの記録は政府機関に属するものであり、そこに含まれる人々は、この話に登場するAIベンダーとは何の関係もない。

同じアクターのより広範なキャンペーンは、「20を超える異なる組織」に及んだ——政府省庁、国防・情報機関、大使館、シンクタンク、防衛産業企業であり、ウクライナと欧州に集中しつつも、中東やアジアの海事機関にまで広がった。具体的には次のとおり：

• ホテルWi-Fi：アクターは、ゲスト用Wi-Fiを運営する少なくとも3社のホスピタリティベンダーを侵害し、その後DNSレコードを改ざんして、ゲストの通信、デバイス識別子、IPアドレスがアクター管理下のサーバーに送られるようにした。Microsoft Threat Intelligenceは2026年7月に、同じ窃取・配信手法についてCaptiveCrunchという名称でレポートを公開しており、Anthropicのレポートはこれを引用している。

• WhatsApp：被害者のアカウントは、ヘッドレスブラウザとオープンソースのWPPConnect自動化ライブラリを用いてコンパニオンデバイスとしてリンクされ、既読通知を抑止したまま、ロシア語およびウクライナ語の会話が一括エクスポートされた。少なくとも2人のウクライナ元高官がこの手口で標的にされた。

• ドローン：少なくとも2社のドローン部品メーカーのメールボックスが一括エクスポートされ、ドローン視覚システム用の完全な独自ソフトウェア開発キットが盗まれ、数日間にわたりリバースエンジニアリングされた。

• 回避：監視エージェントは、展開されたインプラントが検知されているかどうかを監視し、検知された場合には、検知されなくなるまでマルウェアを改変して再構築しました。

回避ループからAnthropicが導いた結論は、それが防御側の優位性を逆転させるというものだ。「AIはコストを再び防御側に転嫁した」と報告書は述べており、能力の高い敵対者がシグネチャの出荷より速く再構築できる場合、新たな検出はもはや時間を稼げないからだ。

国家に関連する2件目の案件：GTG-10007

GTG-10007は、報告書の中で国家関与が明示的に示されたもう一つの事例であり、より異例なものだ。Anthropicは、中国語を話すオペレーターらが「中国湖南省長沙に居住している可能性が高い」と説明しており、その中には地元大学でコンピューター・通信工学を学ぶ学部生2人も含まれる。1人はセキュリティ企業Sangforでインターンを経験し、QiAnXinではオフェンシブ・セキュリティ職の面接を受けていた。

このグループは、教育、小売、エネルギー、テクノロジー、医療、金融、製造、政府の各分野にまたがる約50の組織を標的にした。Anthropicによると、同グループは教育テクノロジー企業のクラウドストレージから学生の個人データ数百メガバイトを抽出し、小売業者の本番システムに到達し、東南アジアの政府機関から市民記録（氏名、電話番号、自宅住所）を取得した。

それを際立たせているのは脆弱性に関する取り組みだ。「侵入を検知するために特化して配備される」種類のセキュリティソフトウェアを対象とする常設の研究プログラムで、Anthropicによれば、アクターが自社ラボで検証した複数のこれまで知られていなかった脆弱性、ネットワーク機器およびセキュリティ機器の複数ファミリー向けの動作するエクスプロイト、そして継続的に反復される単一のワークフローから「1か月だけで十数件のゼロデイ候補の発見」を生み出したという。さらに、13体の収集エージェントからなる別のフリートが、人間を介在させずに、公開されている軍事・政府資料に対してスケジュールに従って稼働した。

Anthropicはセキュリティ製品、脆弱性、政府機関の名称を明らかにしておらず、この報告書は調査結果を公開済みのCVE識別子に結び付けていない。

犯罪の半面：データ窃取、そしてペイロードとしてのAPIキー

サイバー分野はスパイ活動だけではない。金銭的動機に基づく複数のクラスターのうち、最大のものは、AnthropicがShinyHunters集団の疑いのある関連者と表現する、GTG-50014として追跡されている運営者に帰属されている。報告書は彼らの規模を簡潔に示している。

• ある運用者の認証情報パイプラインは、180万個の異なるAndroid APKを大量ダウンロードし、それらを逆コンパイルしてハードコードされたシークレットをスキャンし、検証済みの検出結果を100種類以上のシークレットタイプに整理されたTelegramグループへルーティングしていた。

• あるアフィリエイトが、SaaSプロバイダーに侵入して下流の顧客組織約200社に到達した後、約34時間で40以上の企業テナントにまたがる2,100超のAzure ADトークンセットを流出させた。

・技術プロバイダーへの侵害1件により、1テラバイトを超えるデータが入手され、そこには数十万件の国民識別番号と数百万件の決済カード記録が含まれていた。これらは「被害者に身代金を支払わせるよう圧力をかけるため」、公開ウェブサイト上に置かれていた。

• 航空会社では、{{1}}行為者ら{{/1}}が数千万件の乗客記録を保有するシステムに到達しました。エネルギー会社では、{{2}}彼ら{{/2}}が顧客の自宅用EV充電器の充電電流を遠隔で制御できると主張しました。

GTG-50029は、フランス語を話す単独のハクティビストで、追跡対象となっている欧州の政治・メディア・シンクタンクの標的42件のうち少なくとも14件に到達し、推定12～26GBのデータベースダンプを流出させ、ユーザーの政治的意見を含む約14万件のレコードを取得した。さらに、数千万行に及ぶ漏えいデータを搭載したドクシング（個人情報晒し）プラットフォームを構築していた。

金融関連の事案に一貫して見られるのは、AIへのアクセスそのものが略奪の対象になったということだ。攻撃者は顧客環境からAnthropicのAPIキーを窃取し、他人の負担で自らの攻撃ワークロードを実行した。報告書はこれを、AIに対して「living off the land」を応用したものと呼んでいる。Anthropicは境界線について明確にしている。「いずれの事例でも、関与したAPIキーはAnthropicの顧客環境から窃取されたものである。Anthropic自身のシステムがこの行為者によって侵害されたことはない」。GTG-50020は、ホテル予約への侵入からAI業界へと活動を移したロシア語話者のグループで、約4日間でおよそ30社のAI企業を攻撃した。その公言した目的はリリース前のClaudeモデルへのアクセスであり、報告書によれば「この行為者がアクセスを獲得することはなかった」。

確立済み、帰属済み、論争あり、該当なし

確認済み。 本報告書は実在し、日付は2026年9月10日、全154ページである。その侵入に関する記述、指標リスト、および禁止措置はAnthropic自身の一次情報によるものであり、独立系メディア——公開当日のThe Next Web、Digital Watch Observatory、およびCloud Security Allianceの調査ノート——も、同一の文書、同一の7つの危害領域、同一のGTG-20006の詳細について述べている。北アフリカの侵入について独自のフォレンジック再構成を公表した報道機関はなく、したがって30万という数字は1社のテレメトリに依拠している。

帰属先を特定。 国家との関連付けはAnthropicの評価であり、同社自身の文面では「この行為主体をMidnight Blizzardと結びつける公開報道と一致する」と留保されている。長沙という所在地、学生たちの職歴、中国語の事例における国家関与の枠づけも同様に、Anthropicによる性格づけであり、政府による帰属特定ではない。The Next Webの報道は、Anthropicの脅威インテリジェンス責任者ジェイコブ・クライン氏がAxiosおよびThe New York Timesとのインタビューで述べた内容を引用しているが、その数値を評価する外部専門家は登場しない。

争われている。蒸留のセクションは、被疑者側が回答した唯一の箇所だ。Anthropicは、「中国に拠点を置く7つのラボによるClaudeに対する追加の蒸留攻撃」を発見したと述べ、その中でもMoonshot AIが5,380の不正アカウントを通じて10日間にわたり約30万件の顧客リクエストをAnthropicに中継したことなどを説明している。The Next Webの報道によると、北京は米国の関連する蒸留の主張を否定した。アーカイブ記録はこの事案を争いのないものとして印を付けているが、そのフラグは文書内のすべての主張に及ぶものではない。

該当なし。 この記録に関するアーカイブの一行要約は、報告書がClaudeを被害者のトリアージとランサムウェア用の文面生成に「初めて」使用したことを文書化していると述べている。どちらも引用された資料には現れない。154ページのPDFにも報告書のウェブページにも「ransomware」という語はなく、「triage」もない。報告書が説明する恐喝は、暗号化ではなく、盗取データをめぐる支払いか漏洩かである。報告書で「ransom」という語が一度だけ使われているのは、盗まれたファイルを公に公開して支払いを迫った技術プロバイダーを指す。これら二つの主張は、この記録が引用する資料によって裏付けられていないものとして扱う。対照的に、30万件の身元記録は、報告書自体のGTG-20006セクションに明記されている。

Anthropicが行ったと述べていることと、開示していないこと

それぞれの事例について、報告書は同じ対応の変種を示している。アカウントの禁止、追加の検出機能の展開、「適切な場合には当局および業界パートナー」との情報共有、そして得られた知見に基づく安全策の強化である。蒸留の節では、Claudeから推論トレースを引き出すために用いられた推論署名リプレイ手法に対する技術的対策が追加されている。

明らかにされていない点もほぼ一貫している。何件のアカウントが停止されたのか、各作戦が開始時点に対してどの時点で妨害されたのか、どの当局がどのインテリジェンスを受け取ったのか、そもそも行為者がどのように検知されたのか。こうした省略はベンダー報告書としてはありふれたものであり、外部からこの文書を監査できない理由でもある。

この政策上の問題は、他の関係者によって提起されている。報告書の公表後に出されたCloud Security Allianceのリサーチノートは、報告書には「EU AI Act、AI Office、第55条への言及が一切ない」と主張し、意図的な第三者による悪用がそもそも第55条の「重大なインシデント」の定義に該当するのかを問うている。この定義は、攻撃者の行為ではなくモデルの誤動作を中心に起草されたものだ。同ノートは、第55条に基づく届出は公開されていないため、沈黙は届出がなされなかったことの証明にはならないと認めている。また、その時点でこの制度の下で確認されている唯一の届出は、2026年9月7日頃のOpenAIによるものだと述べている。

数字の読み方

報告書の数値をより活用しやすくするポイントは2つある。1つ目は、危害と自律性を切り分けることだ。Anthropicは、最も深刻な侵害のいくつかが、人間が各段階を指示した作戦から生じたと報告している。したがって、自律性の低い事例は、重大度の低い事例ではない。2つ目は、数値を1社が見ることができた範囲の件数として読むことだ。30万件の身元記録、2,100組のトークンセット、14万件の政治的意見の記録はすべて、同社が自社製品の悪用について説明する中で出てきたものであり、検知されなかった行為者はそのどれにも現れていない。