Anthropic は 2026 年 9 月 10 日、脅威インテリジェンスレポート「Detecting and countering misuse of AI: September 2026」を公開しました。2025 年 12 月から 2026 年 8 月までに同社が検知・遮断した Claude の悪用事例を、154 ページ・7 領域にわたって開示した文書です。
分量が多く、全編が英語で、しかも読み進めるほど「これは国家の話で、自社には関係ない」と感じやすい構成になっています。ですが実際に数字を並べ直すと、いちばん手前にあるのは国家の話ではありません。生成AIを使う企業が確認すべき、認証情報と、AIへの接続経路 の話です。
この記事では、レポートの 44 事例を 6 点の図解に落として要約し、御社の打ち手に変換するところまでを扱います。
結論：このレポートで崩れた3つの前提
先に結論を書きます。セキュリティの実務で長く共有されてきた前提のうち、3 つがこのレポートで崩れました。
- 攻撃の高度さは、攻撃者の資力を示す — 崩れました。レポートは「Sophisticated attacks no longer require sophisticated attackers（高度な攻撃に、高度な攻撃者はもう必要ない）」と書いています。AIが労働力とツールの差を埋めたため、学部生を含む小規模なグループや単独のハクティビストが、1 年前なら熟練者チームを要した多数被害のキャンペーンを完走しています。
- AIは攻撃者の助手である — 崩れました。サイバー領域の説明によると、取り上げた作戦の過半は、AIが直接実行または統括（orchestration）する形で成立しています。人間は標的の設定や、持ち出した成果の確認などに関与していました。
- AIは守るべき対象の内側にある — 崩れました。AIの認証情報と、その周辺にある連携基盤（サンドボックス、プロキシ、リセラー）そのものが攻撃対象になっています。ある攻撃者はAI企業約 30 社を約 4 日で攻撃し、別のキャンペーンは 1 か月間、盗んだAPIキーだけで完走しました。
3 番目が、日本企業にいちばん近い論点です。後半で詳しく扱います。
レポートの前提を押さえる
数字を読む前に、この文書の射程を確認しておきます。
- 対象期間は 2025 年 12 月から 2026 年 8 月までの 9 か月間
- 領域はサイバー、影響工作、監視、詐欺・不正、生物、通常兵器、不正蒸留の 7 つ
- 悪用に使われたのは Claude Haiku・Sonnet・Opus。Fable と Mythos 系は、不正蒸留の 1 件を除いて悪用事例が見つかっていない
- 事例には GTG（Generative Threat Group）という Anthropic 内部の識別子が振られている
- すべての事例で Anthropic はアカウントを停止し、得た知見を安全対策へ反映し、必要に応じて当局や業界パートナーへ情報を共有した
つまりこれは「起きうること」の想定ではなく、実際に観測された悪用と、Anthropicによる利用遮断などの対応をまとめた報告 です。数値には観測値だけでなく、当事者の自己申告や推定値も含まれます。また、アカウント停止は、すでに配備された外部システムの停止まで意味するものではありません。
7領域44事例の全体マップ
図1：7領域別の事例数
7領域別の事例数（2025年12月〜2026年8月）
レポートが個別ケースとして記述した事例の内訳です。件数の多寡は脅威の深刻度ではなく、Anthropicが開示対象に選んだ事例の分布を示します。
- 監視中国・イラン・西アフリカ。国家系と商用スパイウェア業者10件
- 影響工作ロシア・イラン・トルコ・湾岸・南アジア・アフリカ・欧州9件
- 不正蒸留すべて中国拠点のモデル開発ラボ7件
- サイバー国家系・金銭目的・政治目的の3系統6件
- 通常兵器中国3・ロシア2・イエメン16件
- 生物研究機関名・国名・対象病原体は非開示5件
- 詐欺・不正偽装出会い系アプリ網（GTG-15001）1件
レポートの個別事例・ラボを弊社で集計した値です（合計44件）。生物5件は番号のないケーススタディ、不正蒸留7件は7ラボを数えています。影響工作9件・通常兵器6件・生物5件・不正蒸留7ラボはレポート本文が件数を明記しており、サイバー6件・監視10件は弊社によるGTG番号の計数です。
件数の分布そのものより、内訳の顔ぶれ に注目してください。国家の情報機関だけではなく、金銭目的の犯罪者、商用スパイウェア業者、国営プロパガンダ機関、政治的動機を持つ個人、そしてモデル開発ラボが同じ表に並んでいます。動機も資力もまったく違う主体が、AIを使って、それぞれの活動の速度や規模を拡大しています。
前提1：攻撃の高度さは、もう攻撃者の資力を示さない
従来、防御側は「これだけ精巧な実装なら、背後は国家だろう」と推定できました。攻撃の高度さが、攻撃者の資力の代理指標になっていたわけです。レポートはこの推定が使えなくなったと述べています。
実例を挙げます。
- GTG-10007（中国・長沙）は約 50 組織を狙い、常設のAI収集エージェント 13 体をスケジュール実行させ、1 か月でゼロデイ候補を 12 件超見つけました。実行者のうち 2 人は大学の学部生で、1 人はセキュリティ企業でのインターン経験者です。
- GTG-50029（フランス語圏のハクティビスト）は 42 の標的のうち少なくとも14に内部侵入し、推定12〜26 GB のデータベースを持ち出しました。国民の健康識別番号や司法データを数千万行規模で束ねた個人情報照会サイトを、ほぼ単独で構築しています。
- GTG-50027（マリ）では、国家安全当局向けに働くコンサルタント 1 人が、国内 3 キャリアすべてを対象に約 2,500 万回線を傍受できる基盤を設計しました。Claudeは監視結果の分析ではなく、その基盤のソフトウェア設計に使われています。
そして、これが速度としてどう表れるか。
図2：侵害スピード
ShinyHunters系アクター（GTG-50014）などが記録した所要時間
破線は24時間（1日）の位置です。防御側が朝の会議で状況を共有し終える前に、どこまで進むかを示します。
- 盗んだ開発者トークン1本からクラウド環境の管理者権限までその後、内部データストアを反復的に収集約3時間
- Azure ADトークン2,100件超・40テナント超をセッションストアから収集作業のほぼすべてをAIエージェントが実行約34時間
- AI企業 約30社へ同種の手口で攻撃（GTG-50020）評価用サンドボックスから本番APIキーを窃取約4日
レポート原文の記述はroughly three hours / about 34 hours / about four daysです。4日は96時間として弊社で換算しました。同アクターは別の侵害でも、初期アクセスから大量データ窃取まで数時間で到達しています。
この 3 時間という数字の意味を、運用の言葉に置き換えます。開発者のトークンが 1 本漏れた事実に気づき、担当者を集め、影響範囲を確認し、失効の承認を取る。この一連の手順に3時間以上かかる場合、対応中に侵害が進むおそれがあります。自社の検知から失効までの所要時間を確かめる必要があります。
もうひとつ、防御の経済性に関わる話があります。GTG-20006（ロシアの諜報活動。公開報告の Midnight Blizzard との関連づけに整合するとされています）は、自分の道具がセキュリティ製品に検知されると、AIが自動で作り直して再配備するワークフローを組んでいました。
従来、防御側が検知シグネチャを作ると、攻撃側は道具を作り直すコストを払わされました。この「コストを課す」構図が、静的な検知だけでは成立しなくなります。レポートはこれを「AIがコストを防御側へ反転させた」と表現しています。
前提2：AIは助手ではなく、指揮官になった
レポートは、AIの関与が質問応答から統括へ移ったと書いています。多エージェント構成が偵察・攻撃・持ち出しを実行し、人間は標的設定と成果確認に退いた形です。
具体的にはこうなります。
- エージェント群（agent swarm） が偵察作業を分解し、並列のサブエージェントへ割り振る
- 常設の収集フリート が定期実行で標的サイトを巡回し、別のパイプラインが取得内容を要約・採点して配信ポータルへ流す
- キャンペーン記憶 がセッションをまたいで維持され、作業が途切れない
注目すべきは、この運用モデルの伝播速度です。Anthropic が 2025 年 11 月に国家系キャンペーンの手口として報告した運用モデルは、10 か月後の本レポートでは調査したすべての攻撃者層へ広がっていました。PentAGI のような公開の攻撃エージェント基盤が、同じ足場をダウンロードする誰にでも提供してしまうためです。
前提3：AIの鍵と連携基盤そのものが標的になった
ここからが、御社の話です。
レポートは、攻撃者がAIの認証情報を手に入れると 3 つを同時に得ると整理しています。
図3：盗まれたAI認証情報の3つの価値
3 つ目の Cover が、実務上いちばん重い意味を持ちます。御社の鍵が悪用されると、AIサービス上では御社のアカウントによる利用に見える可能性があります。利用料金が御社に請求されるおそれもあります。
そして攻撃対象は鍵だけではありません。レポートは「AIのAPIキーとセッショントークンは標的であり、顧客が構築するサンドボックス・プロキシ・リセラーといった連携基盤は攻撃面の一部である」と明記しています。GTG-50020 は、あるAIベンダーの評価用サンドボックスを侵害したとき、まず本番のAPIキーを取りました。
日本企業にいちばん近い論点：顧客の会話が、第三者へ中継されていた
レポートで最後に置かれた「不正蒸留」の節が、日本企業にとって最も直接的です。
Anthropic は、中国を拠点とする 7 つのモデル開発ラボによる蒸留攻撃を検知・遮断したと報告しています。本稿の「不正蒸留」は原文の illicit distillation を指し、司法判断として違法性を認定する表現ではありません。ここでは、偽アカウント網を使ってフロンティアモデルの能力を無許可で抽出し、別のモデルへ複製する産業規模のキャンペーンを指します。
ここからは各社の実名が出ますが、以下はすべて Anthropic による帰属判断 です。2026年9月13日時点で、7社の名称と本レポートを対象に英語・中国語のWeb検索および公式ドメイン指定検索を行いましたが、本レポートへの各社の公式反論・声明は確認できませんでした。検索で見つからないことは、声明が存在しないことを意味しません。
CNBC は 2026 年 9 月 11 日の記事で、Alibaba・Moonshot・DeepSeek・Xiaomi のいずれもコメント要請にすぐには応じなかったと報じています。
問題は、蒸留そのものよりも、その過程で起きたことです。Anthropic の調査によると、DeepSeek・Moonshot AI・Xiaomi は、顧客と自社モデルとの会話をClaudeへ中継・再送していた とされています。顧客への通知や認識については、会社ごとに異なる記述があります。Moonshot と DeepSeek については、ユーザーが自社モデルを使っているつもりで送った要求が Claude に転送され、その応答が自社モデルの出力として表示されていた、という記述です。Xiaomi はやや異なり、Claude の応答を顧客へ配信した形跡はなく、自社モデルと顧客とのやり取りを保存して後から Claude へ再生していたとされています。
中継された内容として、レポートは次の例を挙げています。
- ある製薬企業の、拠点ごとの設備投資見積り（2026 年から 2028 年の建設計画）
- ある開発者の、稼働中のボットトークンとAPIシークレット
- 中国の大手国有企業の技術者が明かした、複数の大手技術企業の内部コードと稼働中の認証情報
- ある中国系技術企業の、主力AIプログラムの全仕様・組織構成・戦略目標
- ロシア国防省関連機関のデータベースに対する、稼働中の認証情報
- 中国の市公安局向け案件管理システムの開発内容（国民識別番号で人の移動を照合する機能）
これらは第三者のモデルを介して別の第三者へ渡っており、レポートは「Moonshotが顧客に通知したかは不明」「これらの慣行は、プライバシー法や各社自身の利用規約と整合しない可能性が高い」と書いています。
日本の読者にとって見逃せないのは、Moonshot が使った偽アカウント網 5,380 件について、レポートが 大半はシンガポールと日本に所在するように見えた と記している点です。そして中継されたトラフィックの多くは、米国と欧州の利用者が日常的に使うモデルルーティングサービス経由でした。
図4：不正蒸留に使われた偽アカウント数
ラボ別の偽アカウント数（Anthropicが観測・帰属した値）
いずれも居住地制限や利用制限を回避するために、プロキシサービス網を通じて作られたアカウント群です。
- Moonshot AI（Kimi）大半がシンガポールと日本に所在するように見えた5,380
- Alibaba（Qwen / Tongyi Lab）第1プール。停止後は第2プールへ即時に切り替え約5,000
- Xiaomi（MiMo）第三者のモデルルーティング経由が多数1,500超
- Zhipu / Z.ai（GLM）10日間でCoT抽出パイプラインを運用273
DeepSeek・SenseTime・MiniMaxはアカウント数が報告されていないため除外しました。規模の比較には表1のやり取り件数も併せて読んでください。
アカウント数だけを見ると Moonshot が最大ですが、やり取りの総量では桁が変わります。
表1：不正蒸留 ラボ別一覧
| ラボ | GTG | 観測期間 | 観測やり取り件数 | 偽アカウント数 |
|---|---|---|---|---|
| Alibaba（Qwen / Tongyi Lab） | 16005 | 2026年5〜7月 | 1億5,100万回超 | 約5,000（ピークは3,500超から約300万回／日） |
| Moonshot AI（Kimi） | 16002 | 2026年5〜7月 | 2,300万回超 | 5,380 |
| DeepSeek | 16001 | 2026年7月の14日間 | 1,210万回超 | 報告なし |
| Zhipu / Z.ai（GLM） | 16006 | 2026年6〜7月の17日間 | 340万回超 | 273 |
| Xiaomi（MiMo） | 16008 | 2026年3〜4月の20日間 | 40万回超 | 1,500超 |
| SenseTime | 16012 / 16003 | 記載なし | 第三者データ業者から購入した会話ログ | 報告なし |
| MiniMax | 16012 / 16003 | 記載なし | シェルカンパニー経由の自社プロキシ網 | 報告なし |
SenseTimeとMiniMaxのGTG番号は原文の共同見出しに記されたもので、各社と番号の対応は明示されていません。
観測期間が異なるため総量の単純比較はできませんが、Alibaba の 1 億 5,100 万回超について Anthropic は「当社が計測した中で最大の蒸留攻撃」と書いています。ピーク時は 3,500 超の偽アカウントから 1 日約 300 万回です。
Moonshot AI と DeepSeek については、共通する手口が報告されています。同レポートの説明では、Claude は推論過程そのものを返さず「thinking signature」という参照値を返す設計ですが、両社はこの参照値を保存して別セッションで再生し、要約されるはずだった推論過程を復元していました。Anthropic はこれを cross-session replay attack と呼び、対策として推論の要約化と、Fable 5.1 での preserved thinking 導入を挙げています。
なお Zhipu の事例には、能力の設計に関わる示唆があります。同社は当初 Fable のサイバー能力を狙いましたが、安全対策によって攻撃が劣化したため断念し、安全対策がより弱いと評価したモデルへ切り替えた とされています。安全対策の強度が、攻撃者の標的選択を実際に動かしたということです。
蒸留については以前にナレッジ蒸留とAIスキルの設計でも扱いました。技術そのものは正当な手法であり、問題は無許可・産業規模・偽装という3点にあります。
影響工作・監視・詐欺：1人が届く範囲が変わった
残る3領域は、規模の数字がそのまま論点になります。
影響工作（9件）
- GTG-54002（フランスの LKM Company）: 偽ニュースサイト約 70 件、連動する X アカウント約 70 件、コメント用の偽アカウント 250 件超を運用し、約 20 言語で少なくとも 8,913 本の記事を公開
- GTG-84005（イスタンブールの BBS Bilisim Teknolojileri）: 偽 X アカウント約 1,000 件。マレーシアの 222 選挙区を対象に、現職首相のアカウントへ「100 万回の人為的な閲覧」を発注した記録
監視（10件）
- 中国のある宗教問題インテリジェンス収集部門は、かつて多数のアナリストチームを抱えていた体制が 1 オフィスに縮小 し、AIアシスタントで月に数千件の調査を生成
- GTG-34007（イラン）: Anthropicは関連する16アカウントを停止しました。関係組織は年間6,388人を監視・プロファイルしたと主張しています。詳細事例では、Claudeを使う分析パイプラインが15万5,216件の投稿を処理し、反体制派や国外在住者の39アカウントを特定したと報告されています
詐欺・不正（1件）
GTG-15001 は、中国のアプリスタジオが 20 本超の出会い系アプリ網を構築し、AIペルソナで利用者と会話させた事例です。2026 年 4 月の 2 週間で、4,700 体超のAIペルソナが 2 万 5,000 人以上と会話し、メッセージは約 236 万通。サービスは「すべて人間が対応している」と広告されていました。
図5：偽装アプリのフィード構成
この事例で重要なのは、モデル側から見た景色です。レポートによると、事業者のシステムプロンプトは ごく普通のロールプレイ用途に見え、収益化と欺瞞は個々の会話の内側からは観測できませんでした。利用者が重い病気や強い苦痛を打ち明けた一部の会話では、モデル自身の推論が害に気づいていたにもかかわらず、出力は役柄を保ったまま続いています。
単一の会話だけを見て安全性を判断する仕組みには、構造的な限界があるということです。これは攻撃者の話ではなく、AIを組み込む側の設計論に直結します。
自社の打ち手：4段階で棚卸しから始める
ここまでの内容を、御社が月曜に着手できる形へ落とします。
図6：AIの鍵と経路を守る4段階
AIの鍵と経路を守る4段階
新しい製品を買う前に、いま持っている経路と鍵を確定させる順番です。
- 経路を棚卸しする誰がどのAIを、どの経路で使っているかを洗い出す。個人課金、モデルルーティングサービス、格安リセラー、検証用サンドボックスを必ず含める
- 正規の経路へ寄せる正規チャネル以外を止める。安さの理由が説明できない仲介は、価格ではなくデータの扱いで判断する
- 鍵を失効できる状態にするAPIキーとセッショントークンを本番の認証情報と同格で扱う。最小権限、定期ローテーション、そして漏えい判明後すぐに失効できる承認経路を用意する
- 検知と訓練を更新する静的シグネチャ前提の検知を見直す。エージェント連携そのものを攻撃面として資産管理へ登録し、キー漏えい時の手順を訓練する
静的な検知だけで攻撃者にコストを課す前提は崩れました。まず経路の正規化と、鍵の失効可能性を作るところから始めます。
2 段階目については、レポート自身が明確な提言を書いています。
AIへのアクセスは、正規の経路からのみ購入すべきである。未知の仲介者へトラフィックと認証情報を通すことを要求する割引は、利用者のデータとシステムに極めて大きなリスクを持ち込む。
Anthropic が偽リセラー網（GTG-50021）と、顧客会話の無断中継を同じレポートに並べた理由がここにあります。格安のAIアクセスや第三者サービスを選ぶ際にも、実際の処理先と認証情報の扱いを確認する必要があります。
図2 の約3時間は、侵害が短時間で進むことを示す個別事例です。「3時間以内なら安全」という基準ではなく、漏えいが判明したら速やかに失効できる体制が必要です。検知までの時間も含め、承認待ちや夜間対応でどれだけ遅れるかを訓練で確かめてください。
なお、この種の棚卸しをどの部署が持つかという問題については、AIガバナンスの持ち主と棚卸しで扱っています。金融機関向けの要請を一般企業のシステム対応に翻訳した内容は、金融庁・日銀のAIサイバー要請9項目にまとめました。
FAQ
Q. 自社は生成AIをまだ本格導入していません。関係ありますか？
関係します。本レポートで問題になっているのは、導入の規模ではなく経路です。従業員が個人で契約した格安APIや、無料のモデルルーティングサービスを業務で使っている状態は、公式に導入していなくても成立します。まず経路の棚卸しから始めてください。
Q. 中国製モデルを使わなければ安全ですか？
いいえ。レポートでは、第三者のモデルルーティングサービスを通じて利用した顧客の情報も中継されたと報告されています。これらのサービスが米国や欧州で一般に利用されていることと、漏えいした情報の本人の所在地は別です。Xiaomiの事例では、米国人のデータが露出した証拠はないとも明記されています。判断の軸はモデルの国籍ではなく、要求と応答がどの事業者を通り、どこに保存されるかです。
Q. APIキーの管理は、すでに他の認証情報と同じようにやっています。追加で何が必要ですか？
失効までの所要時間を実測してください。漏えいを検知してから該当キーを止め終わるまでに何時間かかるかを、訓練で計ります。レポートの事例では約3時間で管理者権限まで到達しています。加えて、AIエージェントが持つ権限の棚卸し（どのツール、どのデータストアへ到達できるか）が新しい作業として増えます。
Q. 検知シグネチャによる防御は、もう無意味ですか？
無意味ではありませんが、それ単独で攻撃者にコストを課す前提が崩れました。GTG-20006 は検知されると道具を自動で作り直しています。静的な検知は残したうえで、振る舞いベースの検知と、権限の最小化・失効の速さへ比重を移す設計が必要です。
Q. レポート原文はどこまで読むべきですか？
経営層と情報システム責任者であれば、Overview（3ページ）とサイバー領域の Trends（5〜6ページ）、AIサプライチェーンの節（27〜30ページ）、そして不正蒸留の節（143〜154ページ）の4か所で、意思決定に必要な材料はそろいます。事例の詳細は必要に応じて参照する形で十分です。
まとめ
- Anthropic が 2026 年 9 月 10 日に公開した脅威レポートは、2025 年 12 月から 2026 年 8 月に遮断した悪用を 7 領域・44 事例で開示した
- 攻撃の高度さは、もう攻撃者の資力を示さない。学部生を含む小規模なグループや単独のコンサルタントが、国家級の規模に届いている
- サイバー作戦ではAIによる直接実行や統括が広がり、人間は標的設定や成果確認などに関与していた
- 盗まれたAI認証情報は Loot・Compute・Cover の 3 つを同時に与える。AIサービス上で鍵の所有者による利用に見え、料金を請求されるおそれがある
- 顧客の会話が第三者モデルへ中継・再送され、設備投資計画や稼働中の認証情報が露出していた。Moonshot AIの偽アカウント網の大半は日本とシンガポール所在に見えたと記述されている
- 打ち手は経路の棚卸し、正規の経路への集約、漏えい判明後すぐに失効できる状態、検知と訓練の更新の 4 段階
岡崎太としての見解
このレポートを踏まえ、私が導入支援の初回に確認すべきだと考えるのは、AIへの接続経路です。
「どのモデルを使うか」「どの業務から始めるか」に加えて、どの経路で誰が使っているか を確認します。例えば、公式契約とは別に、部署が契約したモデルルーターや、検証用に立てたままのプロキシが残っていないかを調べます。経路が増えるほど、鍵の数と、鍵が通る事業者の数が増えます。
もうひとつ重視したいのは、安全対策を「導入の摩擦」だけで評価しないことです。Zhipu が Fable への攻撃を断念して、安全対策が弱いと評価した別のモデルへ移った事例が示しているのは、対策の強度が攻撃者の標的選択を実際に動かすというAnthropicの分析です。これはモデル選定の基準そのものに関わります。安いことと、狙われにくいことは、別の軸で評価すべき項目です。
そして図2 の約3時間という数字は、御社の対応速度を点検するきっかけになります。新しい製品を買う前に、漏えいを検知し、いま持っている鍵を速やかに止められるかを確認する。この 1 項目だけでも、本レポートの内容は投資判断に翻訳できます。
弊社では生成AIの導入コンサルティングと、AIを組み込んだシステム開発の両方を手がけています。経路の棚卸しから、鍵と権限の設計、エージェント連携の攻撃面の洗い出しまで、現状の構成に合わせた進め方をご相談いただけます。
参考資料
- Anthropic「Detecting and countering misuse of AI: September 2026」（2026年9月10日公開、PDF 154ページ） — PDF / 紹介ページ
- Anthropic「Threat Intelligence」（脅威インテリジェンスの一覧）
- Anthropic「Detecting and preventing distillation attacks」（不正蒸留への対策）
- Anthropic「Disrupting an AI-orchestrated cyber espionage campaign」（2025年11月の前回レポート）
- TechCrunch「Anthropic details distillation campaigns from Alibaba, Moonshot AI, and DeepSeek」（2026年9月10日）
- CNBC「Chinese AI labs secretly used millions of Claude exchanges to train their models, Anthropic says」（2026年9月11日。各社がコメント要請に応じなかった旨の出典）
本稿の数値はすべて上記PDFの記述に基づきます。企業名を含む帰属判断はAnthropicによるものであり、本稿執筆時点で各社の公式な反論や声明は確認できていません。各社がコメント要請に応じなかった旨はCNBCの報道に基づきます。