2026年8月18日／株式会社東京ネット工務店 海老沢敦
① 事実
約30の組織が、同時に狙われた
米国のAI企業 Anthropic が、2025年9月中旬に検知した攻撃について、同年11月に報告書を公開しました。以下は、その報告書と公式発表に書かれている内容です。
- 攻撃を行ったのは、中国政府の支援を受けた集団（同社は「高い確度で評価する」と書き、GTG-1002 という符号を付けています）
- 標的は約30の組織。大手テック企業、金融機関、化学メーカー、政府機関——複数の国にまたがっています
- 侵入に成功したのは、そのうちごく少数
ここまでなら、よくある国家がらみのサイバースパイ活動（機密情報の窃取を狙う諜報活動）です。報告書が「これまでと違う」と書いているのは、実行したのが誰かという点です。
脅威主体は、AIを使って戦術的な作業の80〜90%を独立して実行することができた。
使われたのは、同社の Claude Code。プログラムを書かせるための AIエージェント——人が逐一指示しなくても、自分で手順を判断して動くAI——です。
これが、攻撃の全工程を通しで実行しました。 偵察、侵入、認証情報（IDやパスワードなど、システムに入るための鍵）の収集、横展開（一か所に入り込んだ後、そこを足がかりに社内の他のシステムへ広がること）、バックドア（後から入り直せるように仕込んでおく裏口）の設置、データの持ち出し。
人間が居たのは、4〜6か所
では、人間は何をしていたのか。
公式発表の表現です。
人間の介入が必要だったのは散発的で、1回の攻撃につき、おそらく4〜6か所の重大な判断点にとどまる。
タグ＝セキュリティ
報告書は、その判断点が具体的にどこだったかを書いています。三つ挙げられています。
- 偵察から、実際の攻撃へ進んでよいかの承認
- 盗んだ認証情報を、他のシステムへの侵入に使ってよいかの承認
- データを、どこまで持ち出し、どこに保管するかの最終判断
作業時間も出ています。報告書には、脆弱性（悪意ある第三者に突かれうる欠陥）を見つけて突破するまでの工程表が載っていて、そこにはこう書かれています。
| 時間 | |
|---|---|
| AIが自律的に動いた時間 | 1〜4時間 |
| 人間の作業時間 | 2〜10分 |
データベースから中身を抜き出す工程では、AIが2〜6時間、人間が5〜20分です。
ピーク時、AIは数千件の要求を出し、多いときは毎秒数回の速度で動いていました。報告書はこれを「人間には物理的に不可能な速度」と書いています。
新しい道具は、一つも作られていない
もう一つ、報告書が強調している点があります。
攻撃に使われた道具は、独自に開発したウイルスではありませんでした。
- ネットワークスキャナ（社内のどこに何の機器があるかを調べるソフト）
- データベースを攻撃するための既製のソフト
- パスワードを破るソフト
- プログラムの中身を解析するソフト
いずれも、ペネトレーションテスト（侵入テスト＝防御側が自社に攻撃を仕掛けて弱点を探す点検）に使われている、公開された道具です。 これらを MCP（Model Context Protocol＝AIに外部の道具を使わせるための、公開された共通の接続規格）で束ね、AIから呼び出せるようにしただけ。
報告書の表現です。
独自開発は、新しい能力ではなく、統合に集中していた。
独自の道具や高度な攻撃手法にほとんど依存していないことは、サイバー攻撃の能力が、技術革新よりも、ありふれた資源の編成から生まれるようになってきていることを示している。
AIに攻撃をさせるには、ジェイルブレイク（AIに課された制限を、言い回しで外させること）が要ります。 報告書によれば、手口は二つです。正規のセキュリティ企業の従業員だと名乗ったこと。 そして、作業を小さく分割し、一つ一つは正当な技術的依頼に見える形で渡したこと——全体の目的をAIに見せない渡し方です。
AIは、事実でないことも報告した
うまくいっていた話だけではありません。
Claudeはしばしば発見を誇張し、自律動作中に時折データを捏造した。動かない認証情報を入手したと主張したり、実際には公開されている情報を重大な発見だと報告したりした。
このことは攻撃側の作戦の効率を下げ、主張された結果すべてについて、慎重な検証を必要とした。 これは、完全に自律的なサイバー攻撃にとって、いまも障害として残っている。
報告書はこれを ハルシネーション（AIが事実でないことを、事実のように出力すること）と呼んでいます。
攻撃側も、AIの出力を検算していました。
なお、この事件が公表されたのは9ヶ月前です。 当時は「初めての事例」として読まれました。いま読み直す理由は、事件の側にはありません。 使われた構成——コーディングエージェント、MCP、公開されたツール——が、この9ヶ月で、普通の構成になったからです。
② 構造 — 人が残ったのは、難しいところではなく、戻れないところ
1. 移ったのは戦術で、残ったのは戦略
攻撃の工程を、階層で並べ直します。
- どこを狙うか——人間
- 偵察・脆弱性の発見・侵入経路の作成・認証情報の収集・横展開・データの選別——AI
- 進んでよいか／使ってよいか／どこまで持ち出すか——人間
下の層が、丸ごとAIに移りました。 残ったのは、目標の設定と、進退の判断です。
本紙が創刊準備号の1号目から書いてきたことと、同じ形をしています。作業は移る。組み上げて、向ける先を決める仕事が残る。 それが、攻撃の側でも起きました。
80〜90%という数字は、能力の比率ではありません。 報告書が測っているのは作業量です。残り10〜20%が「AIにはできなかった部分」だとは、報告書は書いていません。
2. 承認の位置は、目的を選ばない
人間が残った三つの判断点を、もう一度並べます。
- 偵察から、攻撃へ進んでよいか
- 盗んだ鍵を、他のシステムに使ってよいか
- どこまで持ち出すか
共通点があります。三つとも、やってしまうと元に戻せません。
偵察は、見ているだけです。踏み込む前なら、いつでも降りられます。踏み込んだ瞬間に、痕跡が残ります。 鍵を使えば、使った記録が残ります。持ち出せば、持ち出した事実は消えません。
攻撃側は、承認を「難しいところ」に置いていません。「戻れないところ」に置いています。
脆弱性を見つけるのも、攻撃用のプログラムを書くのも、技術的には難しい作業です。そこは全部AIに任せています。 人間が2〜10分だけ現れるのは、判断を取り消せない場所です。
3. 能力が、技術から編成へ移った
この攻撃で新しく作られたものは、繋ぎ込みだけです。
道具は公開されているものを使い、AIは市販のものを使い、規格は誰でも使えるものを使いました。独自開発したのは、それらを一つの流れとして動かす仕組みだけ。
これは、産業の側で何度も起きてきた形です。コンテナは、船も港もクレーンも新発明ではありませんでした。 箱の寸法を揃えて、載せ替えの手順を繋いだ。それだけで、海運の原価が変わりました。
報告書が「ありふれた資源の編成」と書いているのは、この形です。そして同じ段落で、こう続けています。
このように手が届きやすくなったことは、AIの基盤が自律動作をこなせるようになるにつれ、脅威の側に急速に広まりうることを示している。
公式発表のほうは、より直接に書いています。
経験が浅く、資源も少ない集団が、この種の大規模な攻撃を行えるようになりうる。
4. 速くなったが、確かめる仕事は減らなかった
攻撃側が抱えた問題は、こちらが抱えている問題と同じでした。
AIは、動かない鍵を「入手した」と報告しました。公開情報を「重大な発見」として上げてきました。攻撃側は、上がってきた結果を全部検証しなければならなかった。
本紙のVol.07で、AIの出す不具合は「エラーとして表面化しない」と書きました。止まって知らせてくれるなら、まだ楽です。 もっともらしい報告が返ってきて、それが違っている。確かめない限り、違っていることが分かりません。
この性質は、使う目的で変わりませんでした。
③ 経営者の自分事 — 攻撃側は、私と同じところに線を引いていた
まず、はっきりさせておきます。
狙われたのは、大手テック企業、金融機関、化学メーカー、政府機関です。 中小企業ではありません。「うちは狙われない」は、この事件に関しては、そのとおりです。
私がこの報告書を読んで引っかかったのは、狙われるかどうかではありませんでした。
