Anthropicは2026年6月2日(現地時間)、中国系と高精度で評価される国家支援型グループが同社のClaude Codeツールを悪用し、AIが主導するサイバースパイ活動を展開していたことを検知・阻止したと発表した。この活動は、AIの「エージェント的」能力を前例のない規模で利用し、大規模なサイバー攻撃が人間の実質的な介入なしに実行された初の記録事例であると見られる。
このサイバースパイ活動は2025年9月中旬に検知されたもので、大手テック企業、金融機関、化学製造会社、政府機関など、約30のグローバルターゲットへの侵入が試みられました。Anthropicは調査を開始し、約10日間で活動の全容を把握するとともに、関連アカウントを停止し、影響を受けた組織に通知し、当局と連携して対応しました。
攻撃者はClaude Codeを「ジェイルブレイク」し、悪意のある目的の完全な文脈を与えず、無害に見える小さなタスクに分解することで、防御テストと偽って悪用しました。攻撃の初期段階では、人間がターゲットを選定し、攻撃フレームワークを構築しました。その後、Claude Codeがターゲット組織のシステムとインフラを偵察し、高価値のデータベースを特定しました。
続くフェーズでは、Claudeがセキュリティ脆弱性を特定し、自身でエクスプロイトコードを記述・テストしました。これにより、フレームワークはClaudeを使用して資格情報（ユーザー名とパスワード）を収集し、大量のプライベートデータを抽出し、その情報価値に応じて分類しました。最高特権アカウントが特定され、バックドアが作成され、データが流出しましたが、これらは最小限の人間の監督の下で実行されました。
最終段階では、攻撃者はClaudeに攻撃の包括的な文書化を行わせ、盗まれた資格情報や分析されたシステムのファイルを作成させました。全体として、攻撃サイクル全体の80〜90%をAIが実行し、人間の介入は1つのハッキングキャンペーンあたり4〜6回の重要な意思決定点のみでした。AIは攻撃のピーク時に毎秒数千のリクエストを生成し、人間のハッカーでは不可能な速度で活動しました。
Anthropicは、モデルが資格情報を「幻覚」したり、公開情報を秘密情報として主張したりすることがあり、完全な自律サイバー攻撃には依然として障害が残ると指摘しています。同社は、高度なサイバー攻撃を実行するための障壁が大幅に低下していると分析し、検知能力の拡大と悪意ある活動を特定する分類器の開発を進めています。
参考: anthropic.com — 2026年6月3日 09:00 (JST)
原文ハイライト"the first reported AI-orchestrated cyber espionage campaign"