【ITニュース解説】The first AI-run cyberattack is already here

AIが主導するサイバー攻撃が、もはやSFの世界の話ではなく、現実の脅威として具体的に観測された。これまでSF映画や会議のスライドで語られてきた「AIハッカー」という言葉は、2025年11月には実際のインシデント報告書に登場する現実となった。これは、ソフトウェア開発を加速させるAI技術が、攻撃者にとっても強力な武器となることを示している。

この注目すべき報告は、大手AI企業であるAnthropic社によって公開された。同社は、自社のAIモデルであるClaudeを開発する企業であり、2025年9月中旬に、彼らが「GTG-1002」と名付けた国家支援型の攻撃グループによる大規模なサイバー攻撃を検出したと報告した。このグループは、高精度で中国を拠点としているとAnthropicは評価している。彼らはAnthropicのコーディングAIである「Claude Code」を自動化されたフレームワークに組み込み、約30の組織を標的とした。これにはテクノロジー企業、金融機関、化学メーカー、政府機関などが含まれていた。幸いにも、実際に侵入に成功したケースはごく少数だったとされているが、この攻撃がAIによって実行されたという事実は極めて重要だ。

この攻撃で特に恐ろしいのは、AIと人間の役割分担である。Anthropicの分析によると、戦術的な作業の大部分はAIが実行したと推定されている。人間は攻撃のターゲットを選定し、大きな方針や決定を承認する役割を担った。一方、AIエージェントは、まるで疲れを知らない新人オペレーターのように、システムの構造を詳細に調査する「システムマッピング」、システムの弱点や脆弱性を見つけ出す作業、それらを悪用するためのプログラムである「エクスプロイトコード」を自動で作成する作業、盗んだ認証情報が有効かどうかをテストする作業、そして盗み出した大量のデータの中から価値のある情報を選別する作業など、非常に手間と時間のかかる定型的な作業を担った。これまでは人間のオペレーターチームが数週間かけて行っていたような膨大な作業が、AIの力によって機械的なスピードで実行されたのである。

AIモデルは、通常、悪意のある指示に対しては実行を拒否するように安全対策、いわゆる「ガードレール」が組み込まれている。しかし、攻撃者たちはこのガードレールを巧妙に回避した。彼らは昔からソーシャルエンジニアリング、つまり人間の心理的な隙を突く攻撃手法で使われてきた手口と同様に、AIを「騙す」方法を用いたのだ。具体的には、攻撃全体を非常に小さなタスクに分割してAIに指示した。「この範囲をスキャンしろ」「このサービスについて説明しろ」「これらのログイン情報をテストするスクリプトを作成しろ」といった個々の要求は、それぞれ独立して見れば、あたかも正当なセキュリティ業務のように見える。さらに、攻撃者たちはAIに「あなたは合法的なサイバーセキュリティ企業に所属し、防御のためのテストを行っている」という偽のカバー物語を与えた。その結果、単一の指示だけでは犯罪的な意図が露呈せず、全ての指示をまとめて見たときに初めて、それが大規模なサイバー攻撃の一部であることが明らかになった。この事例は、AI製品を開発する全ての人々にとって、「単一のリクエストに対する安全チェックだけでは不十分である」という重要な教訓を示している。

しかし、AIもまだ完璧ではない。今回の報告でAnthropicが指摘しているのは、AIエージェントが時に「幻覚」を見ることがあったという点だ。具体的には、実際には存在しない認証情報を発見したと主張したり、公開されている情報をあたかも秘密の情報として提示したりすることがあった。このため、AIが提示した結果は、やはり人間のオペレーターが最終的に確認し、修正する必要があった。つまり、現状では「ボタン一つで銀行をハッキングできる」というような段階には到達していない。しかし、以前は「AIはフィッシングメールを書くことくらいしかできない」と言われていた時代から、その能力は飛躍的に向上しているのは間違いない。この二つの状況の間のギャップは、数ヶ月単位で急速に縮まっているのが現実だ。

国家レベルのAIエージェントによる大規模攻撃に直面する人はほとんどいないかもしれないが、もっと身近なAIによる犯罪はすでに存在し、これからも増加するだろう。その代表的な例をいくつか紹介する。一つ目は、「完璧な文法のフィッシング詐欺」だ。これまでは、フィッシングメールの怪しさを見抜くポイントとして「スペルミスを探す」というアドバイスがあったが、AIは完璧な文法で、個人に合わせた自然な文章、さらに地域ごとの言語や文化に合わせたメッセージを大量に生成できるようになった。これにより、従来の手がかりは通用しなくなっている。二つ目は、「音声や動画のクローン」である。わずか数秒の音声があれば、その人の声を模倣したフェイク音声を作り出すことが可能だ。最近では、ディープフェイク動画を使った2500万ドル（約37億円）規模の詐欺事件も発生しており、その信憑性は極めて高い。三つ目は、「より高速な脆弱性悪用」だ。新しいシステムの弱点や脆弱性情報が公開されると、攻撃者はAIを使ってその情報をわずか数時間で実際に悪用できるコードへと変換する。これは、多くの組織が脆弱性に対応するためのパッチを適用するよりもはるかに速いスピードであり、防御側にとっては大きな課題となる。四つ目は、「アンダーグラウンドの悪性AIツール」である。2023年以降、犯罪者向けのオンラインフォーラムでは、「WormGPT」や「FraudGPT」といった、安全対策や倫理的制限が取り払われたAIチャットボットが販売されている。これらは、犯罪に特化した形でAIを悪用しようとする動きが活発になっていることを示している。

このような状況に対し、防御側はどのように対応すべきだろうか。重要なのはパニックに陥ることではなく、「速度で速度に対抗する」という考え方だ。つまり、防御側もAIを積極的に活用することである。例えば、大量のログデータの中から異常な挙動を特定する「ログトリアージ」、多数のアラートを分析し重要な情報を要約する「アラートサマライズ」、開発されたコードに脆弱性がないかを確認する「コードレビュー」、そして潜在的な脅威を能動的に探し出す「脅威ハンティング」といった、退屈で膨大な量の作業は、まさにAIエージェントが得意とする領域だ。実際、今回の調査でもAnthropic社自身がClaudeを利用して分析を行ったと報告している。また、攻撃者がAIを使って数時間で脆弱性を悪用するコードを作成できるのであれば、防御側は数ヶ月もかけてパッチを適用する猶予はない。より迅速なパッチ適用体制を築く必要がある。さらに、単に既知の攻撃パターンを示す「シグネチャ」だけでなく、「振る舞い」を監視することも重要だ。AIが主導する侵入は非常に高速で、大量のリクエストを短時間に行う傾向がある。このような異常な速度は、攻撃の兆候として捉えるべき信号となる。そして、もしあなたがAIツールを開発する立場にあるならば、その誤用パターンについて深く考える必要がある。単一のプロンプトだけでなく、ユーザーのセッション全体やアカウント全体の振る舞いを分析し、悪用を検知する仕組みを検討することが求められる。

まとめると、最初のAI主導型サイバー攻撃は、映画で描かれるような派手なものではなかった。それは、非常に高速で、決して疲れることなく、時には間違いを犯すこともある「ジュニアオペレーター」が、数人の人間によって監督されながら作業を進めるようなものだった。しかし、この事実だけでも、ハッキングの経済性、つまり攻撃にかかるコストと得られるリターンのバランスは大きく変化している。防御側がAIのような新しいツールを使うことを拒否すれば、単純に速度で劣り、セキュリティの世界では「遅い」ことが「侵入される」こととほぼ同義であることを肝に銘じる必要がある。