はじめに
Anthropicが2026年9月に公開した脅威インテリジェンスレポート「Detecting and countering misuse of AI: September 2026」を読み、その内容を整理・まとめました。本レポートは、2025年12月から2026年8月までの間にAnthropicが検知・対処したClaudeの悪用事例をまとめたものです。サイバー攻撃、監視活動、影響工作（インフルエンスオペレーション）、通常兵器開発、生物学的リスク、詐欺・不正利用、蒸留（distillation）による不正利用の7分野をカバーしています。
原文はこちら:
Detecting and countering misuse of AI: September 2026 (Anthropic公式)
以下、レポートの要点をまとめます。
レポートの全体像
対象期間は2025年12月〜2026年8月の8ヶ月間で、Claude Haiku、Sonnet、Opusモデルが悪用に使用されたケースが報告されています。興味深いのは、蒸留関連の1件を除き、Claude Fable 5やMythos 5クラスのモデルを使った悪用は確認されなかったという点です [[18]]。これは、上位モデルほど安全策（セーフティガードレール）が強化されているためと考えられます。
注目のサイバー攻撃事例
GTG-20006: ロシア系スパイ活動（Midnight Blizzard関連）
ウクライナや欧州の政府機関、大使館、防衛関連企業を標的とした、国家関与型と見られるスパイ活動です [[46]]。特徴的なのは、AIを攻撃チェーンのほぼ全工程（偵察、フィッシング基盤の構築、マルウェアの再構築、データ抽出）で自動化していた点です。
特に、セキュリティ製品によってマルウェアが検知されると、AIエージェントが自動的にコードを改変して再デプロイし続けるという「検知と回避のいたちごっこ」を、人手を介さずに回していた点が印象的です。また、ホテルのゲストWi-Fiを乗っ取り、宿泊客の通信をDNSハイジャックで誘導してマルウェアを配布する手口（Microsoftが「CaptiveCrunch」と命名したキャンペーン）も報告されています [[25]]。
GTG-50014: ShinyHunters系の日和見型攻撃者
180万件のAndroidアプリを一括ダウンロードし、内部の機密情報（APIキーなど）をスキャンする大規模な認証情報収集パイプラインを運用していたグループです [[52]]。SaaS事業者、航空会社、エネルギー企業などへの侵入や恐喝が確認されています。
GTG-10007: 中国語話者グループによる自律型脆弱性研究
大学生を含むメンバーが、ファームウェアの逆コンパイルから脆弱性仮説の生成、エクスプロイトコードの作成・検証までを自動化するワークフローを構築していた事例です [[61]]。並行して政府機関への偵察や独自マルウェアの開発も行っていました。
AIサプライチェーン自体が攻撃対象に
もう一つの大きなトレンドとして、盗まれたAPIキーやセッショントークンそのものが、「戦利品」「計算資源」「偽装（なりすまし）」の三拍子が揃った資産として扱われている点が挙げられています。例えば、GTG-50020という攻撃者は、AIベンダーの評価用サンドボックスにプロンプトインジェクションを仕掛けて本番用APIキーを盗み出し、さらに未リリースのClaudeモデルへのアクセスを狙いましたが、これは失敗に終わっています [[68]]。
影響工作（インフルエンスオペレーション）の事例
この分野では、選挙のタイミングに合わせた事例が目立ちます。
- 中央アフリカ共和国: ロシア系のFIMI（Foreign Information Manipulation and Interference：外国による情報操作・干渉）工作として、ワグネル関連のラジオ局を使って反フランス・親ロシアのプロパガンダを配信。
- フランスの広告代理店（LKM Company）: 約70の偽ニュースサイトと300以上の偽SNSアカウントを使い、依頼主次第で政治的立場を使い分ける「影響工作 as a Service」を6大陸で展開。
- トルコ企業（BBS Bilisim Teknolojileri）: マレーシアの人種・宗教・王室といった、政治的にセンシティブな社会的断層（対立軸）を狙った選挙操作プラットフォームを販売。
- ロシア国営メディア: SputnikやRTのスタッフが個人的にClaudeを「編集デスク」として使用し、モルドバ大統領選前の偽情報などを実際の放送や記事に流用。
- イランの国家系機関: ICCOやIRGC系の「認知戦」司令部が、教義マニュアルやペルソナ設計、ターゲットデータベースの作成にClaudeを利用。
なお、これらの工作の多くは「実際のターゲット層への到達には失敗している」という点も指摘されています。Anthropic側は、コンテンツが実際に拡散する前の制作段階で検知できるケースが多く、そこで対処しているためです。
学んだこと・所感
- 「技術力の高さ＝攻撃者の正体（国家など）の手がかり」という前提はもはや崩れつつある。個人のハクティビストが、国家レベルの作戦規模を再現できてしまう時代になっている。
- AIの自律性が上がるほど、防御側とのコストの非対称性が攻撃側に有利に傾く。検知されたら即座に自己修正して再デプロイするというループが、人手を介さずに回る。
- 自律性の高さと被害の深刻さは必ずしも比例しない。実は最も深刻な侵害の一部は、人間が一つ一つの手順を指示していた「人間主導型」の攻撃だった。
- AIサプライチェーン（APIキーやセッショントークン）自体が新しい攻撃対象になっている。「格安Claudeアクセス」を謳う怪しいリセラーには要注意である。
- Claudeは最も過激な依頼（実在人物を武装勢力と名指しする、名誉毀損文書を作成するなど）は拒否しているが、一部の攻撃者はその都度表現を和らげて再依頼するなど、「ガードレール回避（jailbreak）」を試みる動きも見られた。
まとめ
AIの能力向上は正規のユーザーだけでなく、攻撃者側の生産性も等しく引き上げてしまうという、当たり前だが重い現実を突きつけるレポートでした。Anthropic自身が「攻撃の手口自体は目新しいものではなく、盗まれた認証情報や未パッチの機器、フィッシングといった従来型の手法ばかりだが、変わったのは『経済性』だ」と述べている点が印象的です。つまり、これまで人手や専門知識というコストがボトルネックだった部分をAIが肩代わりしたことで、これまで経済的に成立しなかった攻撃対象に対しても、攻撃が成立するようになってしまったということです。
詳細な各セクション（生物学的リスク、通常兵器、詐欺・不正利用、蒸留による不正利用など）は原文レポートに記載されていますので、気になる方はぜひ一次情報をご確認ください。
参考文献
- Anthropic, "Detecting and countering misuse of AI: September 2026," Anthropic, September 2026. https://www.anthropic.com/threat-intelligence-report-september-2026