攻撃者は、AI をどこで使っているのか。Anthropic が、1 年間で悪用を理由に BAN したアカウント 832 件を、サイバー攻撃の世界標準の「地図」に重ねて分析した結果を公開した。結論をひとことで言うと、AI はもう「フィッシングメールを書く」みたいな入口の小細工じゃなく、攻撃のもっと奥のほうで使われ始めている。前にこのブログで Anthropic の封じ込め設計やセキュリティプラグインを取り上げたけど、今回はその「守る側」が、実際の攻撃データから何を学んだかの話。中身を整理する。
- 1年分の悪用アカウントを、攻撃の地図に重ねた
- AIは入口じゃなく、奥のほうで使われ始めた
- 危険度が半年で1.7倍、自律化が進んでいる
- 「腕前」より「設計」が怖い、という逆説
- 防御側は技術の数じゃなく、自律連鎖を見ろ
1年分の悪用アカウントを、攻撃の地図に重ねた
まず何をやったか。Anthropic は、2025 年 3 月から 2026 年 3 月までに、悪意あるサイバー活動で BAN した 832 件のアカウントを集めて、それぞれが「攻撃のどの段階で、どんな手口に AI を使っていたか」を分類した。
このとき物差しにしたのが MITRE ATT&CK。聞き慣れない人向けに説明すると、これは世界中のサイバー攻撃の「戦術（何のための段階か）」と「技術（具体的な手口）」を体系的にカタログ化した、業界標準のフレームワーク。偵察、侵入、権限昇格、横展開、データ持ち出し、といった攻撃の各段階に、既知の手口がずらりと整理されている。守る側がこれを共通言語にすることで、「いまどの段階を攻められているか」を擦り合わせやすくなる。攻撃を地図化するための、いわば座標系。
Anthropic は、自社で観測した AI 悪用の実例を、この座標系の上にプロットした。結果は、通信大手 Verizon が毎年出す権威あるレポート「2026 年データ漏洩調査報告書（DBIR）」にも掲載されている。自社観測のデータを、業界の標準的な物差しと外部の権威あるレポートに乗せた、というのがこの分析の信頼性の担保になっている。
AIは入口じゃなく、奥のほうで使われ始めた
いちばんの発見はここ。攻撃者は、AI をより後半の、複雑な段階で使うようになっている。
数字で見ると分かりやすい。BAN されたアカウントのうち、67.3%（560 件）がマルウェア（悪意あるソフト）の作成に AI を使っていた。これは攻撃の準備段階。さらに、6.5%（54 件）はネットワーク内部に侵入したあとの「横展開（lateral movement、侵入後に他のマシンへ侵食していく動き）」に AI を使っていた。
時系列の変化がもっと示唆的で、この 1 年で AI を使ったフィッシングは 8.6% 減り、逆に侵入後の「アカウント探索」は 8.9% 増えた。フィッシングみたいな入口の作業から、侵入後の深いところへ、AI の使いどころが移っている。
これ、守る側の感覚で言うとけっこう怖い。これまで「AI 悪用＝それっぽい詐欺メールの量産」くらいのイメージで語られがちだったけど、実態は侵入したあとの、本来なら熟練の攻撃者が手作業でやっていた工程に AI が入り込んでいる。攻撃のライフサイクルの、より価値の高い部分が自動化されつつある、ということ。
危険度が半年で1.7倍、自律化が進んでいる
もうひとつの発見が、危険度の上がり方。Anthropic はアカウントごとに攻撃のリスクを評価しているけど、最初の半年は中リスク以上が 33% だったのが、後半の半年では 56% に増えた。ざっくり 1.7 倍。たった 1 年で、観測される攻撃の質が目に見えて上がっている。
背景にあるのが自律化。AI が、攻撃の複数の段階を、人間の監督をほとんど受けずに連鎖させて実行するようになってきた。偵察して、侵入して、横に広げて、という一連の流れを、いちいち人が指示しなくても AI がつないでいく。Anthropic は「これによって従来のリスク評価の手法が時代遅れになりつつある」とまで書いている。
去年 11 月に Anthropic が公表した、国家が関与したとされる大規模なスパイ活動（GTG-1002 と名付けられた中国系のグループとされる）が、まさにこの自律化の象徴だった。攻撃者は Claude を「防御目的のセキュリティ検証をしている会社だ」と思い込ませて安全機能をかわし、作戦の 8〜9 割を AI に自律実行させたとされる。攻撃を小さく無害そうなタスクに分解して、全体の悪意ある目的を AI に悟らせないまま実行させる、という手口。ただし、当時の Claude はときどき認証情報を幻覚（ハルシネーション）したり、実際は公開情報なのに「秘密を盗んだ」と誤申告したりして、完全な全自動にはまだ穴があった、というのも正直に報告されている。攻撃の自律化は進んでいるが、AI の不正確さが、皮肉にも当面の歯止めになっている格好。
なお、この 11 月の件は、公表当時にセキュリティ業界の一部から「主張が誇張では」という懐疑の声も出た。自社観測データに基づく分析である以上、Anthropic 自身のプラットフォームに偏った見え方になっている可能性は、読む側として頭の隅に置いておきたい。
「腕前」より「設計」が怖い、という逆説
今回の分析で個人的にいちばん刺さったのが、リスクの正体に関する逆説。攻撃者の腕前は、リスクの高さとあまり相関しなかった。
普通に考えれば、スキルの高い攻撃者ほど多くの手口を使って、危険度も高そうに思える。ところがデータでは、最もスキルの低い層が平均 16 個の技術を使い、最も高い層でも 20 個と、差が小さい。しかも、攻撃者が Claude Code を使ったか、API を使ったか、チャットを使ったかというプラットフォームの違いも、リスクとは相関しなかった。
じゃあ何が危険度を分けるのか。Anthropic の答えは、「AI に、個別の段階を自律的に連鎖させる仕組み（アーキテクチャ）を、攻撃者がどれだけ設計できているか」。つまり、本人の手の動きの巧みさじゃなく、AI を自走させる設計の巧拙が、攻撃の脅威度を決める。
これを裏づけるのが、さっきの 11 月のオペレーション。MITRE ATT&CK に当てはめると 13 の戦術にまたがる 30 の技術が使われていて、技術の数だけ見れば「中リスク」級。ところが Anthropic はこれに最大の 100 点のリスクスコアを付けた。技術の数では測れない危険さがそこにあった、ということ。これは同時に、ATT&CK のような従来の地図が、AI の自律的なオーケストレーション（指揮）を捉えきれていない、という限界の指摘でもある。Anthropic は「最も危険な攻撃者を特徴づける agentic な振る舞いを、いまの枠組みは捉えられていない」と書いている。
防御側は技術の数じゃなく、自律連鎖を見ろ
では守る側はどうすればいいか。Anthropic が挙げている指針は、現場にそのまま効く。
ひとつは、マルウェアの開発やデータの持ち出しを検知する仕組みを置くこと。AI 悪用が準備段階と侵入後に集中しているなら、そこを重点的に見張るのは理にかなっている。もうひとつが発想の転換で、「使われた技術の数」ではなく「自律的に段階が連鎖しているパターン」を監視しろ、という話。攻撃者の腕前や使ったツールを数えるより、AI が勝手に攻撃工程をつないでいる兆候を捉えるほうが、本当の脅威に近い。加えて、MITRE と協力して ATT&CK の枠組み自体を、agentic な攻撃に対応できるよう進化させる、とも表明している。
ここ最近の一連の動きと合わせて読むと、筋が通る。Anthropic は封じ込め設計で「賢さじゃなく構造で守る」と言い、セキュリティプラグインで「書いたコードを別の AI に叩かせる」仕組みを出し、Opus 4.8 では自分のコードの不備を見逃しにくくした。今回の分析は、その守りの努力が、実際の攻撃データという現実と地続きであることを示している。攻撃側が AI で自律化を進めるなら、防御側も同じ土俵で身構えるしかない。
AI を業務に組み込んでいる人にとって、この報告は他人事じゃない。自分たちが使っている Claude Code や API が、悪用される側の事例として淡々と数えられている、という事実は重い。まず、自社のログで「準備段階のマルウェア生成」や「不自然なデータ持ち出し」を検知できているかを点検したい。そして、AI エージェントを社内で動かすなら、それが暴走したときに段階を自律連鎖させない歯止め(権限の最小化、外向き通信の制御)を、最初から設計に入れておく。攻撃の地図が描き換わっている以上、守りの地図も更新し続けるしかない。今回の分析は、その更新のためのいい教材だと思っている。
