Anthropic、攻撃者がエージェントでマルウェアを継続的に書き換え、1人で数十の標的を並行処理している実態を明らかに

Anthropicが9月10日に公開した[脅威インテリジェンスレポート](https://www.anthropic.com/threat-intelligence-report-september-2026)は、2025年12月から2026年8月までに阻止された活動を対象としている。モデルにフィッシングメールやスクリプトの作成だけを依頼する従来の手法と比べ、新たな事例で重要なのは、攻撃者が永続化されたエージェント型ワークフローを構築している点だ。偵察、脆弱性テスト、インフラストラクチャの申請、侵入、データ処理、情報流出を複数のエージェントに分担させ、標的、認証情報、進捗を次回のセッションに引き継いでいる。

Anthropicによると、ロシアの国家支援型活動の特徴と一致するGTG‑20006は、セキュリティ製品が自身のツールをブロックしていないかエージェントに監視させている。検知されると、ワークフローは既存の検知を回避できるまでマルウェアを自動的に修正、再ビルド、再デプロイする。スケジュールされたジョブは、窃取したアクセストークンの更新やクラウドストレージ上のデータ収集も行う。別のグループであるGTG‑10007は、並列エージェントを用いて侵入、外国政府に対する偵察、セキュリティ製品のリバースエンジニアリング、脆弱性調査を実行していた。レポートによれば、一部の侵入は2～3時間以内に完了し、1人のオペレーターが数十の被害者を同時に処理できたという。

これは、防御側がツールの複雑さを国家支援型攻撃者に帰属させる直接的なシグナルとして扱うことも、固定的なマルウェアシグネチャだけに依存して攻撃者のコストを高めることも、もはやできないことを意味する。より有効な観測ポイントは、エージェント間で共有されるインフラストラクチャ、自動登録および更新の挙動、異常なAPIトークンのローテーション、複数の標的に共通する一貫したタスクの軌跡へと移る。事例には外部からの裏付けもある。[『Le Monde』](https://www.lemonde.fr/en/politics/article/2026/09/11/anthropic-reveals-hacker-used-claude-to-target-french-far-right-organizations_6757429_5.html)は、Claudeを使用した別の攻撃者が、追跡対象となった42件の標的のうち少なくとも14件への侵入に成功し、約12～26GBのデータを流出させたと報じている。

ただし、Anthropicは各ワークフローを完全に再構築できるだけの生ログを公開しておらず、分類、帰属、そしてAIによるとされる「増幅効果」は、主としてプラットフォーム側のテレメトリに依存している。レポートはまた、攻撃対象、収益化の方法、流出成果の確認については、依然として人間が決定していると明記している。自律性の向上はコストと規模の変化を意味するが、被害の深刻度や完全自動化された攻撃と直接同一視することはできない。