Anthropic、Claudeの悪用実態を報告―生物研究や自律型兵器、サイバー攻撃に利用

Anthropicは9月10日、2025年12月から2026年8月までに検知、阻止したClaudeの悪用事例をまとめた脅威インテリジェンス報告書を公表した。生物学研究、通常兵器の開発、サイバー攻撃、影響工作など幅広い事例を取り上げ、高性能化したAIには利用者の専門能力を引き上げるリスクがあるとの認識を示した。

同社は、旧世代のモデルについては危険な生物学研究を有意に支援できる能力水準を下回っていたと評価している。一方、現在のモデルについては同じ保証ができないとして、一般提供するClaude Fable 5などに、デュアルユースの生物学研究を対象としたより強力な安全対策を導入している。

■7分野の悪用事例を報告

報告書「Detecting and Countering Misuse of AI: September 2026」は、サイバー作戦、影響工作、監視、詐欺、生物学的悪用、通常兵器開発、不正なモデル蒸留の7分野を扱っている。

報告されたのは、Anthropicが検知したなかでも特に注目すべき新しい事例であり、Claudeの一般的な利用状況を示すものではない。同社は関連アカウントの停止や安全対策の改善を行い、必要に応じて政府当局や業界関係者と情報を共有したとしている。

報告書に記載された悪用の多くではClaude Haiku、Sonnet、Opusが使われていた。Claude FableまたはMythosクラスが関係したのは、不正なモデル蒸留の1事例を除いて確認されていない。このため、報告された個別の悪用事例と、最新モデルの潜在的な能力評価は分けて考える必要がある。

■高性能AIと生物学研究のリスク

Anthropicは、2025年に提供していたClaude Opus 4やClaude Sonnet 4.5などについて、高度な利用者による危険な生物学研究を有意に支援できる能力水準を明確に下回っていたと説明した。しかし、複雑な科学研究を支援できる現在のモデルについては、同じ保証ができるだけの確かな評価結果が得られていないという。

これは、最新モデルが生物兵器を開発できることを示したものではない。Anthropicが示したのは、モデルの能力不足だけを安全性の根拠とすることが難しくなり、利用内容を判定する分類器やアクセス制御などの対策が重要になったという認識である。

同社は、こうした懸念を踏まえ、Claude Fable 5など最近のモデルに強化された安全対策を導入した。危険性の高い生物学的な内容へのアクセスを制限する一方、正当な研究目的の利用を可能にするため、利用者や所属機関の確認を伴う仕組みも必要になるとしている。

■5件の生物学関連事例

報告書は、Claudeの利用が生物兵器開発に関連する研究を支援する可能性があるとAnthropicが判断した5件の事例を紹介した。対象となったのは、チクングニアウイルス、鳥インフルエンザ、オルソポックスウイルス、毒液由来ペプチド、生物毒素に関する研究である。

Anthropicは、これらの利用者が実際に危害を加える意図を持っていたとは断定していない。研究者はいずれも科学研究として作業を進めていたが、研究手法や成果が有益な用途と有害な用途の双方に利用され得ること、地域制限や安全対策を回避しようとする行動が確認されたことなどから調査対象となった。

2026年5月の事例では、軍民双方の研究機関と関係するウイルス学者らにサービスを提供していた外部の大規模言語モデル基盤を通じ、チクングニアウイルスの機能獲得研究に関する助成金申請書の作成が依頼された。研究は、ウイルスの伝播性や免疫回避に関係する性質を調べる内容だった。

機能獲得研究とは、生物に新しい性質を与えたり、既存の性質を強めたりする変化を扱う研究の総称である。感染症への備えや病原体の進化の理解に役立つ一方、研究内容によっては病原体の危険性を高める知識や技術にもつながるため、デュアルユースの観点から慎重な管理が求められる。

Anthropicの生物学安全分類器は、この申請書作成の要求を遮断した。その後の調査では、利用者が同社のサービス対象外地域から米国のインフラを経由して接続していたほか、Claudeが拒否した要求を、より制限の緩い別企業のモデルに送る仕組みも用意されていたという。同社は関連アカウントを停止し、中継ネットワークの遮断に向けて関係者と協力するとともに、政府当局や他のAI事業者に情報を共有した。

別の事例では、米国外の研究者が、高病原性鳥インフルエンザウイルスの哺乳類への適応や病原性に関する研究でClaudeを数週間利用していた。Anthropicは、研究内容が自然発生する危険な変異の早期把握に役立ち得る一方、意図的な病原体改変にも転用可能な知識を生み出すと判断した。

同社の分類器は利用を検知し、この研究者が利用できるモデルを比較的能力の低いClaude Sonnet 4とClaude Haiku 4.5に限定した。残る事例では、オルソポックスウイルスの免疫回避に関する申請書作成、毒液由来分子の分析、毒素の計算機上での再設計などが行われていた。

これらの事例が示すのは、科学研究と危険な利用を質問内容だけで区別することの難しさである。Anthropicは、高リスクの内容を制限するフィルターに加え、利用者の身元や所属機関、利用状況を考慮したアクセス管理が必要になるとの見方を示した。

■Claude Codeを使った自律型ドローン群の開発

通常兵器に関する章では、中国で3件、ロシアで2件、イエメンで1件の計6件が報告された。これらの行為者は、兵器のハードウェアやファームウェアに関する既存の知識や設備を持ち、その開発作業を補助するためにClaudeを利用していたという。

ロシアを拠点とするフリーランサーとみられる集団は、Claude Codeを使い、完全自律型のFPVドローン群を目指す「DronDoc」または「Serafim」と呼ばれるプロジェクトを進めていた。Anthropicは、国家の直接的な指示よりも、金銭的または思想的な動機で活動していた可能性が高いと評価している。

開発内容には、ドローン群で共有するメモリー、故障に耐える協調制御、攻撃や監視、帰投を管理する機上モデル、カメラ映像を使った終末誘導、ドローン操縦者の位置を推定する機能、音響検知、プログラマブルチップ向けの制御ロジックなどが含まれていた。

特に重大なのは、機上モデルが標的を選び、人間の介在なしに起爆命令を出すよう設計されていたことである。標的分類には「person」も含まれていた。行為者はシミュレーションだけでなく、実際の開発基板へのファームウェア書き込みやシングルボードコンピューターの設定など、実機を組み込んだ試験も行っていた。

一方、報告書は、このドローン群が実戦配備されたことや、設計どおりに動作する完成品が構築されたことまでは示していない。Anthropicは活動を阻止し、関連アカウントを停止したとしている。この事例は、人間の判断を介さずに標的を選択して攻撃する兵器をどのように規制するかという、致死的自律兵器システムを巡る国際的な議論と重なる。

■イエメンでは誘導ロケットを試射

イエメンの事例は、ロシア拠点のDronDocとは別の活動である。Anthropicが確認した北部イエメンの集団は、誘導ロケット、多段式弾道ミサイル、複数の派生型を想定したミサイルの開発計画を進め、Claude Codeを誘導・航法・制御ソフトウェアの開発に利用していた。

行為者は複数のClaudeを並行して利用し、コード作成、調査、コードレビューをそれぞれに割り当てていた。安全対策によって多くの要求が遮断されたものの、目的を隠したり、作業を複数のセッションに分割したりすることで、一部の支援を引き出していたという。

Anthropicは、同集団が実用可能な兵器を配備できたことを示す証拠は得ていない。一方、誘導ロケットの実射試験を行ったことは確認しており、試験は失敗したとみられる。行為者は試射から数時間以内にClaudeへ戻り、失敗原因の分析を進めていたという。

■ロシア系諜報活動で攻撃の自動化

サイバー作戦では、AnthropicがGTG-20006と呼ぶロシア国家系の諜報活動が取り上げられた。同社は、その標的や攻撃手法が、ロシア対外情報庁との関係が指摘されるMidnight Blizzardについて公表されてきた情報と整合すると評価している。

GTG-20006は、ウクライナや欧州の政府機関、軍事・情報機関、外交組織、シンクタンク、防衛産業企業などを狙っていた。Anthropicは、作戦計画、偵察、実際の攻撃を通じて20を超える組織が標的になったことを確認した。ドローン技術やそのサプライチェーンも繰り返し狙われていた。

この活動では、AIを使ってインフラの準備、フィッシング、マルウェア開発、侵入後の情報収集、データ流出などが自動化されていた。配備したマルウェアがセキュリティー製品に検知されると、AIエージェントがファイルを改変して再構築し、検知されなくなるまで反復する仕組みも構築されていた。

Anthropicは、こうした仕組みによって、検知ルールを更新して攻撃者の活動を遅らせる従来の防御策が弱められる可能性を指摘した。ただし、人間が完全に作戦から外れていたわけではない。標的の選定や結果の確認など、攻撃者にとって重要な判断には引き続き人間が関与していた。

侵入が確認された事例では、少なくとも8組織からメールが持ち出された。北アフリカの政府系技術機関からは30万件を超える国民識別情報と、50万社を超える企業の商業登記データが流出した。軍用ドローンの画像認識システムに使われる独自のソフトウェア開発キットも盗まれ、製品構成や部品表、供給元への依存関係、未発表製品の情報が分析されたという。

GTG-20006は、ホテル向けWi-Fiを運営する少なくとも3社の事業者にも侵入した。DNSの設定を改ざんして宿泊客の通信を攻撃者側の設備へ誘導し、偽の更新画面などを使ってマルウェアを配布していた。

Microsoft Threat Intelligenceは、この一連の活動を「CaptiveCrunch」と呼び、Midnight Blizzardの活動群であるStorm-2945による作戦と評価している。Microsoftは2026年5月上旬以降、宿泊施設などのキャプティブポータルを利用した通信操作を確認し、Windows向けマルウェアの配布や認証情報の窃取につながっていたと報告している。

■6大陸に及んだ影響工作

Anthropicは、ロシア、イラン、トルコ、湾岸地域、南アジア、アフリカ、欧州を発信地とする9件の影響工作も報告した。

ロシア系メディアの事例では、Claudeが記事制作工程に組み込まれ、その出力がSputnik Moldova、RIA Novosti、Sputnik Español、RT英語版の編集システムに送られていたという。元Sputnik Moldova編集長による活動では、捏造した記事をモルドバとロシアの複数媒体で拡散し、同じ主張が別々の情報源によって確認されたかのように見せていた。Anthropicはこれを「偽の検証ループ」と表現している。

フランスを拠点とする影響工作請負組織は、約20言語で約70の偽ニュースサイトを運営し、依頼主に応じて政治的な立場を変えていた。トルコのイスタンブールに拠点を置く企業に関連するとされた別の活動では、国勢調査や有権者データを使ってマレーシアの選挙区ごとに対象を絞り、約1000の偽ソーシャルメディアアカウントを運用していた。

イランの複数の国家宣伝機関も、それぞれ教義マニュアルや架空の人物像、偽情報コンテンツの作成にClaudeを利用していた。これらはイラン側の文書で「Jihad al-Tabyin」と呼ばれる枠組みに位置付けられていたという。

■AIの認証情報も犯罪者の標的に

報告書は、AIサービスのAPIキーや接続基盤そのものが、犯罪者にとって重要な標的になっていると指摘した。認証情報を盗めば、転売できるだけでなく、被害者の費用でAIを利用し、攻撃元を正規利用者に見せかけることも可能になるためである。

AnthropicがShinyHuntersの関連組織とみている犯罪集団の一部は、180万件のAndroidアプリケーションパッケージをダウンロードして解析し、埋め込まれたAPIキーなどの認証情報を探していた。確認された情報は、種類ごとに分類されたTelegramのグループへ送られていた。

ある技術事業者への侵入では、数十万件の国民識別情報や数百万件の決済カード記録を含む1TB超のデータが持ち出された。航空会社では数千万件の旅客記録を保管するシステムにアクセスし、別のSaaS事業者では約200の顧客組織に属するデータが約34時間で抽出された。Anthropicによると、この作業の大半をAIエージェントが実行した。

別のロシア語話者の行為者であるGTG-50020は、約4日間でおよそ30社のAI企業を攻撃した。事前公開版のClaudeモデルへのアクセスも企図していたが、Anthropicは実現しなかったとしている。

中国・湖南省の大学に所属する中国語話者の行為者GTG-10007は、自律的な脆弱性調査の仕組みを運用し、1カ月で主要なセキュリティー製品に関する十数件のゼロデイ脆弱性候補を見つけていた。収集システムは設定されたスケジュールに従い、人間の介在なしに稼働していたという。これらは候補段階の発見であり、すべてが実在する脆弱性として確認されたわけではない。

■企業による自己報告の限界

Anthropicは、報告書に掲載した事例について、関連アカウントを停止し、得られた知見を安全対策の改善に反映したとしている。必要に応じて政府当局、他のAI事業者、被害組織とも情報を共有した。

その一方、報告書から把握できるのは、Anthropicが自社サービス上で検知できた活動に限られる。検知前に成功した試み、別のAIサービスで行われた活動、監視システムに捉えられなかった利用の規模は分からない。

個別事例や被害規模の多くもAnthropic自身の調査結果に基づき、外部から独立して検証できる情報は限られている。MicrosoftのCaptiveCrunchに関する調査など、一部には外部組織の報告と重なる事例があるものの、報告書全体の調査方法や検知範囲を独立機関が包括的に監査したものではない。

報告書は、AIが新しい攻撃手法を突然生み出すだけでなく、偵察、コード作成、データ処理、反復作業といった既存の工程を高速化し、少人数でも複数の対象に対して活動できるようにする点を重視している。モデルの能力向上に対応して安全対策を強化するとともに、AI事業者だけに依存しない検証や情報共有の仕組みを整えられるかが、今後の課題となる。

元記事: Anthropic Threat Report: AI Models Near Bioweapons Threshold as Drone Kill Software Emerges