2026年8月18日／株式会社東京ネット工務店 海老沢敦
① 事実
約30の組織が、同時に狙われた
米国のAI企業 Anthropic が、2025年9月中旬に検知した攻撃について、同年11月に報告書を公開しました。以下は、その報告書と公式発表に書かれている内容です。
- 攻撃を行ったのは、中国政府の支援を受けた集団（同社は「高い確度で評価する」と書き、GTG-1002 という符号を付けています）
- 標的は約30の組織。大手テック企業、金融機関、化学メーカー、政府機関——複数の国にまたがっています
- 侵入に成功したのは、そのうちごく少数
ここまでなら、よくある国家がらみのサイバースパイ活動（機密情報の窃取を狙う諜報活動）です。報告書が「これまでと違う」と書いているのは、実行したのが誰かという点です。
脅威主体は、AIを使って戦術的な作業の80〜90%を独立して実行することができた。
使われたのは、同社の Claude Code。プログラムを書かせるための AIエージェント——人が逐一指示しなくても、自分で手順を判断して動くAI——です。
これが、攻撃の全工程を通しで実行しました。 偵察、侵入、認証情報（IDやパスワードなど、システムに入るための鍵）の収集、横展開（一か所に入り込んだ後、そこを足がかりに社内の他のシステムへ広がること）、バックドア（後から入り直せるように仕込んでおく裏口）の設置、データの持ち出し。
人間が居たのは、4〜6か所
では、人間は何をしていたのか。
公式発表の表現です。
人間の介入が必要だったのは散発的で、1回の攻撃につき、おそらく4〜6か所の重大な判断点にとどまる。
タグ＝セキュリティ
報告書は、その判断点が具体的にどこだったかを書いています。三つ挙げられています。
- 偵察から、実際の攻撃へ進んでよいかの承認
- 盗んだ認証情報を、他のシステムへの侵入に使ってよいかの承認
- データを、どこまで持ち出し、どこに保管するかの最終判断
作業時間も出ています。報告書には、脆弱性（悪意ある第三者に突かれうる欠陥）を見つけて突破するまでの工程表が載っていて、そこにはこう書かれています。
| 時間 | |
|---|---|
| AIが自律的に動いた時間 | 1〜4時間 |
| 人間の作業時間 | 2〜10分 |
データベースから中身を抜き出す工程では、AIが2〜6時間、人間が5〜20分です。
ピーク時、AIは数千件の要求を出し、多いときは毎秒数回の速度で動いていました。報告書はこれを「人間には物理的に不可能な速度」と書いています。
新しい道具は、一つも作られていない
もう一つ、報告書が強調している点があります。
攻撃に使われた道具は、独自に開発したウイルスではありませんでした。
- ネットワークスキャナ（社内のどこに何の機器があるかを調べるソフト）
- データベースを攻撃するための既製のソフト
- パスワードを破るソフト
- プログラムの中身を解析するソフト
いずれも、ペネトレーションテスト（侵入テスト＝防御側が自社に攻撃を仕掛けて弱点を探す点検）に使われている、公開された道具です。 これらを MCP（Model Context Protocol＝AIに外部の道具を使わせるための、公開された共通の接続規格）で束ね、AIから呼び出せるようにしただけ。
報告書の表現です。
独自開発は、新しい能力ではなく、統合に集中していた。
独自の道具や高度な攻撃手法にほとんど依存していないことは、サイバー攻撃の能力が、技術革新よりも、ありふれた資源の編成から生まれるようになってきていることを示している。
AIに攻撃をさせるには、ジェイルブレイク（AIに課された制限を、言い回しで外させること）が要ります。 報告書によれば、手口は二つです。正規のセキュリティ企業の従業員だと名乗ったこと。 そして、作業を小さく分割し、一つ一つは正当な技術的依頼に見える形で渡したこと——全体の目的をAIに見せない渡し方です。
AIは、事実でないことも報告した
うまくいっていた話だけではありません。
Claudeはしばしば発見を誇張し、自律動作中に時折データを捏造した。動かない認証情報を入手したと主張したり、実際には公開されている情報を重大な発見だと報告したりした。
このことは攻撃側の作戦の効率を下げ、主張された結果すべてについて、慎重な検証を必要とした。 これは、完全に自律的なサイバー攻撃にとって、いまも障害として残っている。
報告書はこれを ハルシネーション（AIが事実でないことを、事実のように出力すること）と呼んでいます。
攻撃側も、AIの出力を検算していました。
なお、この事件が公表されたのは9ヶ月前です。 当時は「初めての事例」として読まれました。いま読み直す理由は、事件の側にはありません。 使われた構成——コーディングエージェント、MCP、公開されたツール——が、この9ヶ月で、普通の構成になったからです。
② 構造 — 人が残ったのは、難しいところではなく、戻れないところ
1. 移ったのは戦術で、残ったのは戦略
攻撃の工程を、階層で並べ直します。
- どこを狙うか——人間
- 偵察・脆弱性の発見・侵入経路の作成・認証情報の収集・横展開・データの選別——AI
- 進んでよいか／使ってよいか／どこまで持ち出すか——人間
下の層が、丸ごとAIに移りました。 残ったのは、目標の設定と、進退の判断です。
本紙が創刊準備号の1号目から書いてきたことと、同じ形をしています。作業は移る。組み上げて、向ける先を決める仕事が残る。 それが、攻撃の側でも起きました。
80〜90%という数字は、能力の比率ではありません。 報告書が測っているのは作業量です。残り10〜20%が「AIにはできなかった部分」だとは、報告書は書いていません。
2. 承認の位置は、目的を選ばない
人間が残った三つの判断点を、もう一度並べます。
- 偵察から、攻撃へ進んでよいか
- 盗んだ鍵を、他のシステムに使ってよいか
- どこまで持ち出すか
共通点があります。三つとも、やってしまうと元に戻せません。
偵察は、見ているだけです。踏み込む前なら、いつでも降りられます。踏み込んだ瞬間に、痕跡が残ります。 鍵を使えば、使った記録が残ります。持ち出せば、持ち出した事実は消えません。
攻撃側は、承認を「難しいところ」に置いていません。「戻れないところ」に置いています。
脆弱性を見つけるのも、攻撃用のプログラムを書くのも、技術的には難しい作業です。そこは全部AIに任せています。 人間が2〜10分だけ現れるのは、判断を取り消せない場所です。
3. 能力が、技術から編成へ移った
この攻撃で新しく作られたものは、繋ぎ込みだけです。
道具は公開されているものを使い、AIは市販のものを使い、規格は誰でも使えるものを使いました。独自開発したのは、それらを一つの流れとして動かす仕組みだけ。
これは、産業の側で何度も起きてきた形です。コンテナは、船も港もクレーンも新発明ではありませんでした。 箱の寸法を揃えて、載せ替えの手順を繋いだ。それだけで、海運の原価が変わりました。
報告書が「ありふれた資源の編成」と書いているのは、この形です。そして同じ段落で、こう続けています。
このように手が届きやすくなったことは、AIの基盤が自律動作をこなせるようになるにつれ、脅威の側に急速に広まりうることを示している。
公式発表のほうは、より直接に書いています。
経験が浅く、資源も少ない集団が、この種の大規模な攻撃を行えるようになりうる。
4. 速くなったが、確かめる仕事は減らなかった
攻撃側が抱えた問題は、こちらが抱えている問題と同じでした。
AIは、動かない鍵を「入手した」と報告しました。公開情報を「重大な発見」として上げてきました。攻撃側は、上がってきた結果を全部検証しなければならなかった。
本紙のVol.07で、AIの出す不具合は「エラーとして表面化しない」と書きました。止まって知らせてくれるなら、まだ楽です。 もっともらしい報告が返ってきて、それが違っている。確かめない限り、違っていることが分かりません。
この性質は、使う目的で変わりませんでした。
③ 経営者の自分事 — 攻撃側は、私と同じところに線を引いていた
まず、はっきりさせておきます。
狙われたのは、大手テック企業、金融機関、化学メーカー、政府機関です。 中小企業ではありません。「うちは狙われない」は、この事件に関しては、そのとおりです。
私がこの報告書を読んで引っかかったのは、狙われるかどうかではありませんでした。
攻撃の組み方が、うちの組み方と同じだったことです。
線を引いた場所が、一致していた
本紙のVol.23で、こう書きました。
手元でプログラムを書いたり直したりは、間違っても元に戻せます。それを、お客様が使っている本番に反映する作業は、戻せません。戻せるかどうかで、分けています。
この攻撃で人間が残った三つの判断点は、全部、戻れない地点でした。
偵察から攻撃へ進む。鍵を他のシステムに使う。データを持ち出す。どれも、やった後で「なし」にはできません。
同じ結論に、別の目的から到達しています。
気分のいい一致ではありません。 ですが、そこから引き出せることは、はっきりしています。承認をどこに置くかは、その道具を何に使うかとは無関係に決まるということです。
線を引いた理由も、書いておきます。 私がVol.23で書いたのは、倫理でも規律でもなく、手戻りのほうがしんどいからでした。損得で選んでいます。条件が同じなら、同じ場所に落ち着くのだと思います。
線を引いていることと、事故を起こさないことは、別です。 当社は、Vol.23で書いた線を引いたうえで、それでも手戻りを何度か払っています。
使っている部品が、そのまま同じだった
もう一つのほうが、私には重く見えます。
この攻撃で、新しい道具は一つも作られていません。
- 公開されたツール
- 市販のコーディングエージェント
- MCP
当社がやっていることと、部品が同じです。 うちも、公開されているものを持ってきて、MCPで繋いで、AIから呼び出せるようにしています。Vol.12で「自社の道具を作り直し続けてきた」と書いたのは、この作業のことです。
違いは、向けた先だけです。
道具は、使う目的で形を変えませんでした。 同じ組み方が、こちらでは受注処理の自動化になり、あちらでは30組織への侵入になりました。組み上げる力そのものには、向きがありません。
本紙のVol.25で、性能は買えるが、何点の問いを渡すかは買えないと書きました。 同じことが、ここにも出ています。編成する力は、誰が持っても同じ力です。決まるのは、どこへ向けるかのほうです。
検算しているのは、疑っているからではない
攻撃側は、AIの嘘の報告に足を取られていました。
うちも同じです。 Vol.23で、AIが書いたプログラムを一行ずつ読んでいると書きました。読んでいて「あれ、これなんだっけ」となる瞬間がある、とも書きました。
たいてい、合っています。 合っているものを読んで、自分が追えているかを確かめる工程です。
攻撃側は、それを「作戦の効率を下げる障害」と扱っていました。 報告書もそう書いています。こちらでは、そこが仕事の中身です。
同じ現象が、向きによって、障害にも仕事にもなります。
明日できることを、二つ書きます。
一つ目：AIに任せている作業のうち、戻せないものだけを書き出す
全部を洗い出す必要はありません。「元に戻せるか」だけで分けます。
- 戻せるもの——下書き、社内向けの資料、試しに作ったもの、手元のファイル
- 戻せないもの——お客様に送るもの、外部のサービスに書き込むもの、支払いに関わるもの、消すもの
戻せないほうに、人が居るかどうかを見てください。
居ないなら、そこに一つ承認を置く。 攻撃側が2〜10分だけ現れていたのと同じで、全部を見ている必要はありません。 4〜6か所で足ります。
⚠️ 「AIを止めろ」という話ではありません。 1〜4時間の作業のうち、2〜10分だけ位置を決める、という話です。
二つ目：AIに渡した権限を、人に渡すときの基準で見直す
この攻撃でAIが横に広がっていけたのは、鍵を渡されたからです。
自社でAIに何かをさせているなら、そのAIがどのシステムに入れる状態になっているかを、一度出してください。メール、顧客の一覧、請求、支払い。
そのうえで、こう問い直します。
- 新しく入った人に、初日から同じ権限を渡すか。
- 渡さないなら、AIにはなぜ渡したのか。
人には「慣れてから」と言えます。AIには、その段階がありません。 初日から全部渡すか、絞るかの、二択です。
⚠️ 絞れば、遅くなります。 一つずつ許可を出す手間が増えます。その手間を誰が払うかまで決めて、初めて設計になります。
本紙のVol.09で、決めていないことは決めていないまま残ると書きました。渡した権限も、同じように残ります。 渡した本人が忘れている、というのが一番ありがちな形です。
——明日、こう話してみてください。「去年、AIが自分で会社に侵入した事件があったらしいよ。9割はAIがやってて、人間が出てくるのは4〜6回だけ。……その4〜6回が全部、後から取り消せないところだったんだって。うちのAIって、取り消せないところに人、居たっけ」
今月のモデル
今号は、新ネタ無しです。
CoBANTO3-AIチャット
https://www.netkomuten.tokyo/lp/co-banto3-ai
本紙のバックナンバーを記憶し、本紙の読み方（戦略の階層・歴史循環）で、あなたの会社の状況に当てて答えるAIチャットです。記事は「地図」ですが、地図は現地には当たりません。「この号の話、うちの場合はどうなるのか」を訊く場所として用意しました。
ご利用は事前購入のクレジット制です（1,000円から）。月額の契約ではないので、解約の手続きはありません。使った分だけ減り、無くなれば止まります。
読者登録をいただいた方に、無料クレジットを500クレジット追加させていただきました。ぜひ使ってみてください。
ライトノベル「ようこそ、東京ネット工務店へ」
https://www.netkomuten.tokyo/channels/novel-tnk-part1/articles/ch19
小さなIT企業の現場を書いた小説です。毎号1話ずつご紹介します。
今号の話：〈冬編 第19話「チームで乗り越える、タクヤのリーダーシップ」〉
対応する言語が3つに増え、データが重くなって、画面の表示が遅れ始めます。
Q&Aコーナー
AI・IT業界に関するご質問を募集しています。CoBANTO3-AIチャットのサポートも、こちらへお願いします。
いただいたお名前は匿名にして回答します。内容によっては、個別に回答させていただく場合があります。