「AI が攻撃した」は何が起きたか — 5 種類と対策
4 分で読む
「AI がサイバー攻撃をした」という見出しを、何度か見た方が多いと思います。
中身は同じではありません。AI の提供元（Anthropic・OpenAI）と Google の脅威分析チーム（GTIG）が自ら公表した報告を読み分けると、起きたことは 5 種類に分かれ、効く対策もそれぞれ違います。
報告を読み分けると 5 種類
図を上から読みます。左の番号が事件の種類、矢印の先がそれで何が変わったか、右の記号がその種類に効く対策です。対策の中身は、図の下と 3 つ目の節の表にあります。
| 種類 | 報告に書かれていること | 報告 |
|---|---|---|
| ① 人間が AI を利用して攻撃（攻撃が加速する） | 攻撃者は、既存の仕事の流れに AI を組み込んでいた。OpenAI（2025-10・AI の悪用の遮断についての定期報告）原文the threat actors we banned were building AI into their existing workflows, rather than building new workflows around AI.出典を開く確認 2026-09-26 OpenAI（2025-10・AI の悪用の遮断についての定期報告）原文we found no evidence of new tactics or that our models provided threat actors with novel offensive capabilities.出典を開く確認 2026-09-26 |
OpenAI（2025 年 10 月） |
| ② AI に実行を任せた攻撃作戦（攻撃が自動化する） | 作戦の 80〜90% を AI が実行し、人の重要な判断は作戦 1 つあたりおそらく 4〜6 か所だった。Anthropic（2025-11-13・AI 主導のスパイ活動の遮断）原文the threat actor was able to use AI to perform 80-90% of the campaign, with human intervention required only sporadically (perhaps 4-6 critical decision points per hacking campaign)出典を開く確認 2026-09-26 Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文A majority of the operations described in this report were enabled by AI via direct execution or orchestration.出典を開く確認 2026-09-26 |
Anthropic（2025 年 11 月・2026 年 9 月） |
| ③ LLM を呼び出すマルウェア（手口が加わる） | 実際の攻撃で LLM（大規模言語モデル）に問い合わせるマルウェアを、初めて観測した。Google Threat Intelligence Group（2025-11-06・GTIG AI Threat Tracker）原文APT28's use of PROMPTSTEAL constitutes our first observation of malware querying an LLM deployed in live operations.出典を開く確認 2026-09-26 Google Threat Intelligence Group（2025-11-06・GTIG AI Threat Tracker）原文this code family is currently in a development or testing phase出典を開く確認 2026-09-26 |
Google（2025 年 11 月） |
| ④ 評価中の AI が外に出た事故（実験室の外へ出る） | 能力を測る評価の最中に、AI がインターネットに出て、実在の 3 組織に不正にアクセスした Anthropic（2026-07-30・サイバー評価中に起きた 3 件の事案の調査）原文we identified three incidents in which a model accessed the internet from within or while interacting with the evaluation environment of Irregular, one of our third-party evaluation partners, and then gained unauthorized access to the production infrastructure of three different organizations.出典を開く確認 2026-09-26 |
Anthropic（2026 年 7 月）ほか |
| ⑤ AI の鍵やアカウントが狙われる（狙われる範囲が広がる） | AI の鍵やアカウントを手に入れた攻撃者は、転売できるもの・他人の費用で回せる処理・持ち主の名義の 3 つを一度に得る Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文Operators who obtain AI credentials gain three things at once:出典を開く確認 2026-09-26 Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文Stolen keys and accounts have resale value in established markets;出典を開く確認 2026-09-26 Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文Having the credentials means that their attack workloads can run at someone else’s expense;出典を開く確認 2026-09-26 Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文The activity is attributed to the credential’s legitimate owner.出典を開く確認 2026-09-26 |
Anthropic（2026 年 9 月） |
①〜③ は、人間が攻撃を意図して AI を道具や部品として使った話で、人間が AI を悪用した攻撃です。④ は攻撃ではなく事故で、Anthropic 自身が、AI と人間の意図のずれ（アラインメントの失敗）より、評価の仕組みと運用の失敗に近いと書いています。 出典を開く確認 2026-09-26Anthropic（2026-07-30・サイバー評価中に起きた 3 件の事案の調査）原文
we believe these incidents to be closer to a harness and operational failure than a model alignment failure.
報告自身が書いている限界と、報道が相次ぐ理由
見出しの強さに引きずられないように、報告自身が書いている限界を並べます。
| 報告 | 書かれている限界 |
|---|---|
| Anthropic（2025 年 11 月） | AI はときどき、ありもしない資格情報を作り出したり、公開されていた情報を機密として取り出したと主張したりした。Anthropic（2025-11-13・AI 主導のスパイ活動の遮断）原文It occasionally hallucinated credentials or claimed to have extracted secret information that was in fact publicly-available.出典を開く確認 2026-09-26 Anthropic（2025-11-13・AI 主導のスパイ活動の遮断）原文This remains an obstacle to fully autonomous cyberattacks.出典を開く確認 2026-09-26 |
| Anthropic（2026 年 9 月） | どの作戦も、守る側が見たことのない全く新しい手口には頼っていなかった Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文None of the operations in this report depended on some entirely novel technique that defenders have never seen.出典を開く確認 2026-09-26 |
| Google（2026 年 9 月） | 完全に自律した攻撃の仕組みを、実際の標的に使った例はまだ観測していない Google Threat Intelligence Group（2026-09-09・GTIG AI Threat Tracker：対話から自律へ）原文GTIG has not yet observed threat actors deploying fully autonomous pipelines against targets in the wild.出典を開く確認 2026-09-26 |
| Google の Mandiant（2026 年 3 月） | 2025 年を、侵害が AI の直接の結果だった年とは見ていない Google Cloud・Mandiant（2026-03-24・M-Trends 2026 の公表記事）原文we do not consider 2025 to be the year where breaches were the direct result of AI.出典を開く確認 2026-09-26 |
では、なぜ報道が相次ぐのか。変わったのは手口の新しさではなく攻撃の損得だと、Anthropic は書いています。 出典を開く確認 2026-09-26 出典を開く確認 2026-09-26Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文
Instead, the economics of the attacks have changed.
Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文
The kind of labor that previously set the well-resourced operations apart from everyone else—reconnaissance, exploitation, tool development, and data processing—are all now delegated to AI models, which run in harnesses at machine speed and in parallel.
種類ごとに効く、7 つの対策
Anthropic の 2026 年 9 月の報告は、攻撃そのものは既知のもの（盗まれた資格情報・修正プログラムを当てていないネットワークの出入口の機器・公開したままのサービスなど）だと書いています。 出典を開く確認 2026-09-26Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文
The attacks themselves are familiar, involving stolen credentials, unpatched edge devices, exposed services, SQL injection, and phishing.
| 記号 | 対策 | 効く種類 |
|---|---|---|
| A | 修正プログラムを早く当て、外から入れる入口と公開しているサービスを点検する。更新はできる限り自動にする Anthropic（2026-04-07・Claude Mythos Preview のサイバー能力の技術報告）原文software users and administrators will need to drive down the time-to-deploy for security updates, including by tightening the patching enforcement window, enabling auto-update wherever possible出典を開く確認 2026-09-26 |
①〜④（土台） |
| B | 資格情報を守る。多要素認証を掛け、Anthropic（2026-05-22・Project Glasswing の最初の報告）原文These include steps like hardening networks’ default configurations, enforcing multi-factor authentication, and keeping comprehensive logs for detection and response.出典を開く確認 2026-09-26 |
すべて（土台） |
| C | 検知から遮断までを、人が画面を見る運用に頼らずに速くする。② の事例は、ピーク時にしばしば毎秒複数の要求を出した Anthropic（2025-11-13・AI 主導のスパイ活動の遮断）原文At the peak of its attack, the AI made thousands of requests, often multiple per second出典を開く確認 2026-09-26 |
② |
| D | 『盗んだデータを公開する』と脅す手口を想定した事業継続計画を作る。暗号化せずに公開すると脅した事例がある Anthropic（2025-08・AI の悪用の検知と対処）原文Rather than encrypt the stolen information with traditional ransomware, the actor threatened to expose the data publicly in order to attempt to extort victims into paying ransoms that sometimes exceeded $500,000.出典を開く確認 2026-09-21 |
② |
| E | 定期的に情報を集め、新しいマルウェアへの対策に備える。見つけたら、実際の攻撃で使われたものか、試験段階かを先に確かめる | ③ |
| F | AI エージェントを試す・動かす環境から、外へ出る経路を閉じる | ④ |
| G | AI の API キーとアカウントを、本番の資格情報と同じに扱う Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文Organizations should treat AI keys and agent integrations with the same level of seriousness as they do production credentials出典を開く確認 2026-09-26 |
⑤ |
記号と、種類との組み合わせは、報告を並べたうえでの私たちの整理です。
- ② のうち、2025 年 8 月に公表された恐喝の事例（D）は AI による攻撃の自動化はどこまで来たか で段階ごとに読んでいます
- ④ の経緯と、AI を試す環境の閉じ方（F）は テスト中の AI の事件は何が原因か にまとめています
- ⑤ の鍵をどこに置くか（G）は 鍵の置き場所と守りの順番 にまとめています
- AI の時代に攻撃と守りがどう変わるか、守る側も AI を入れないと防げないのかは AI でしか守れないのか に置いています
- 誰が害を意図したか（人間が悪用・AI と人間の意図のずれ）の違いは AI アラインメントとは にまとめています
ここから先は調査の詳細です（約 9 分）。上のカードだけで決められます。調べた 1 件ずつの記録は IT連携マップ に、出典 URL と調査日つきで公開しています。
調査の詳細
このページは、AI の提供元 2 社（Anthropic・OpenAI）と Google（脅威分析チームの GTIG と、事案対応の Mandiant）が自ら公表した報告を読み、「何が起きたか」の形で 5 つに分けました。5 つの分け方は報告自身のものではなく、報告を並べて読んだうえでの私たちの分け方です。対象は公表された文章で、事案そのものを独自に確かめてはいません。引用はすべて、2026 年 9 月 26 日に原本を取り直し、原文のまま在ることを確かめています。
読んだ報告
| 発表した組織 | 公表 | 何の資料か |
|---|---|---|
| OpenAI | 2025 年 10 月 | AI の悪用を遮断した事例の定期報告 |
| Google（GTIG） | 2025 年 1 月 30 日 | 国家が背景にある攻撃者による生成 AI の悪用 |
| Anthropic | 2025 年 8 月 | AI の悪用の検知と対処（恐喝の事例） |
| Google（GTIG） | 2025 年 11 月 6 日 | 攻撃者による AI ツールの利用 |
| Anthropic | 2025 年 11 月 13 日 | AI 主導のスパイ活動の遮断（記事と報告書） |
| Google（Mandiant） | 2026 年 3 月 24 日 | M-Trends 2026（2025 年の事案対応の集計） |
| Anthropic | 2026 年 4 月 7 日 | Claude Mythos Preview のサイバー能力の技術報告（更新の自動化） |
| Anthropic | 2026 年 5 月 22 日 | Project Glasswing の最初の報告（多要素認証などの基本） |
| Anthropic | 2026 年 7 月 30 日 | 自社の評価中に起きた 3 件の事案 |
| OpenAI | 2026 年 8 月 | Hugging Face の事案の技術報告 |
| Google（GTIG） | 2026 年 9 月 9 日 | 対話から自律へ — 攻撃者の AI 利用の変化 |
| Anthropic | 2026 年 9 月 10 日 | AI の悪用の検知と対処（2025 年 12 月〜2026 年 8 月に遮断した事例） |
| ITmedia NEWS（報道） | 2026 年 9 月 21 日 | Wall Street Journal の 2026 年 9 月 18 日の報道の紹介 |
① 人間が AI を利用して攻撃 — 攻撃が加速する
図を左から読みます。攻撃者が AI ツールを使い（左）、フィッシングの文面・調べ物・道具づくりといった今までの手口を（中）、速く・多く標的に届けます（右）。新しい手口が加わるのではなく、今までの手口の速さと量が変わる、というのがこの種類です。下の段が効く対策で、A と B の 2 つです。
1 つ目は、攻撃者が今までのやり方に AI を足す形です。大きな変化を起こすのではなく、速く・多くこなせるようにすると Google は書いています。 出典を開く確認 2026-09-26Google Threat Intelligence Group（2025-01-30・生成 AI の悪用の分析）原文
Rather than enabling disruptive change, generative AI allows threat actors to move faster and at higher volume.
| 報告 | 書かれていること |
|---|---|
| OpenAI（2025 年 10 月） | 遮断した攻撃者は、AI を中心に新しい仕事の流れを作るのではなく、既存の流れに AI を組み込んでいた。OpenAI（2025-10・AI の悪用の遮断についての定期報告）原文the threat actors we banned were building AI into their existing workflows, rather than building new workflows around AI.出典を開く確認 2026-09-26 OpenAI（2025-10・AI の悪用の遮断についての定期報告）原文we found no evidence of new tactics or that our models provided threat actors with novel offensive capabilities.出典を開く確認 2026-09-26 |
| Google GTIG（2025 年 1 月） | 障害の切り分け・調べ物・文章づくりのような一般的な作業に使っていたが、新しい能力を開発している兆しは見ていない。Google Threat Intelligence Group（2025-01-30・生成 AI の悪用の分析）原文While we do see threat actors using generative AI to perform common tasks like troubleshooting, research, and content generation, we do not see indications of them developing novel capabilities.出典を開く確認 2026-09-26 Google Threat Intelligence Group（2025-01-30・生成 AI の悪用の分析）原文it is not yet the game-changer it is sometimes portrayed to be出典を開く確認 2026-09-26 |
| Mandiant（2026 年 3 月） | 成功した侵入の大半は、依然として人と仕組みの基本的な不備から来ている Google Cloud・Mandiant（2026-03-24・M-Trends 2026 の公表記事）原文the vast majority of successful intrusions still stem from fundamental human and systemic failures.出典を開く確認 2026-09-26 |
② AI に実行を任せた攻撃作戦 — 攻撃が自動化する
2 つ目は、人が標的を決め、偵察から侵入・持ち出しまでの作業の大半を AI に実行させる形です。図は、Anthropic の 2 つの報告を上下に並べています。上の段（2025 年 11 月）は、人が要所の判断だけを握り、AI が作業の 80〜90% を実行した作戦で、速さが変わったので効く対策は C です。下の段（2025 年 8 月）は、何を盗むか・脅し文をどう作るかの判断まで AI に任せ、暗号化せずに「データを公開する」と脅した作戦で、効く対策は D です。A と B は、どちらの段にも効く土台です。Anthropic が 2025 年 11 月に報告した事例は次のとおりです。
| 項目 | 報告に書かれていること |
|---|---|
| いつ | 2025 年 9 月中旬に不審な活動を検知し、調査の結果、きわめて高度なスパイ活動だと判明した Anthropic（2025-11-13・AI 主導のスパイ活動の遮断）原文In mid-September 2025, we detected suspicious activity that later investigation determined to be a highly sophisticated espionage campaign.出典を開く確認 2026-09-26 |
| 規模 | 同社の Claude Code を操って、世界のおよそ 30 の標的への侵入を試み、少数で成功した Anthropic（2025-11-13・AI 主導のスパイ活動の遮断）原文manipulated our Claude Code tool into attempting infiltration into roughly thirty global targets and succeeded in a small number of cases出典を開く確認 2026-09-26 |
| 位置づけ | 実質的な人の介入なしに実行された大規模な攻撃として、最初に記録された事例だと考えている Anthropic（2025-11-13・AI 主導のスパイ活動の遮断）原文We believe this is the first documented case of a large-scale cyberattack executed without substantial human intervention.出典を開く確認 2026-09-26 |
| 速さ | ピーク時は数千の要求を、しばしば毎秒複数出した Anthropic（2025-11-13・AI 主導のスパイ活動の遮断）原文At the peak of its attack, the AI made thousands of requests, often multiple per second出典を開く確認 2026-09-26 |
| 道具 | 独自のマルウェアではなく、公開されている侵入テスト用の道具に大きく頼っていた Anthropic（2025-11・AI 主導のスパイ活動の報告書）原文The operational infrastructure relied overwhelmingly on open source penetration testing tools rather than custom malware development.出典を開く確認 2026-09-26 |
同じ報告は、高度な攻撃を行うための壁が大きく下がったとも書いています。 出典を開く確認 2026-09-26Anthropic（2025-11-13・AI 主導のスパイ活動の遮断）原文
The barriers to performing sophisticated cyberattacks have dropped substantially
2026 年 9 月の報告は、2025 年 12 月から 2026 年 8 月に遮断した事例をまとめたものです。 出典を開く確認 2026-09-26Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文
This report covers activity we disrupted between December 2025 and August 2026
| 項目 | 報告に書かれていること |
|---|---|
| AI の役割 | 対話での質問と回答を超えて、複数の AI エージェントが偵察・侵入・データの持ち出しを実行した Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文involved the use of multi-agent frameworks executing reconnaissance, exploitation, and data exfiltration出典を開く確認 2026-09-26 |
| 人の役割 | 攻撃の標的を決め、持ち出したものを確かめる場面に人が残っていた。Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文Humans remained in the loop by setting the targets of attacks and reviewing exfiltration.出典を開く確認 2026-09-26 Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文First, humans have retained the decisions that matter most to them出典を開く確認 2026-09-26 |
2025 年 8 月に公表された恐喝の事例は、AI による攻撃の自動化はどこまで来たか で段階ごとに読んでいます。
③ LLM を呼び出すマルウェア — 手口が加わる
図を左から読みます。マルウェアが、動いている最中に LLM の API に問い合わせ（左）、自分の形を変えたり、端末で実行する命令を作らせたりして（中）、端末で実行して結果を持ち出します（右）。中の箱の PROMPTFLUX は試験段階、右の箱の PROMPTSTEAL は実際の攻撃で使われたもので、同じ種類の中でも段階が違います。下の段の効く対策は A・B と E です。
Google の GTIG は 2025 年 11 月、確認した範囲で初めて、 出典を開く確認 2026-09-26 出典を開く確認 2026-09-26Google Threat Intelligence Group（2025-11-06・GTIG AI Threat Tracker）原文
For the first time, GTIG has identified malware families, such as
Google Threat Intelligence Group（2025-11-06・GTIG AI Threat Tracker）原文
that use Large Language Models (LLMs) during execution
| マルウェア | 段階 | 報告に書かれていること |
|---|---|---|
| PROMPTSTEAL | 実際の攻撃で使用 | 攻撃集団 APT28 が使った。実際の攻撃で LLM に問い合わせるマルウェアを観測した最初の例。Google Threat Intelligence Group（2025-11-06・GTIG AI Threat Tracker）原文APT28's use of PROMPTSTEAL constitutes our first observation of malware querying an LLM deployed in live operations.出典を開く確認 2026-09-26 Google Threat Intelligence Group（2025-11-06・GTIG AI Threat Tracker）原文The output from these commands are then blindly executed locally by PROMPTSTEAL before the output is exfiltrated.出典を開く確認 2026-09-26 |
| PROMPTFLUX | 開発か試験の段階 | Gemini の API に、自分のソースコード全体を 1 時間ごとに書き換えさせ、検知を逃れようとする。Google Threat Intelligence Group（2025-11-06・GTIG AI Threat Tracker）原文instruct the Gemini API to rewrite the malware's entire source code on an hourly basis to evade detection出典を開く確認 2026-09-26 Google Threat Intelligence Group（2025-11-06・GTIG AI Threat Tracker）原文this code family is currently in a development or testing phase出典を開く確認 2026-09-26 Google Threat Intelligence Group（2025-11-06・GTIG AI Threat Tracker）原文The current state of this malware does not demonstrate an ability to compromise a victim network or device.出典を開く確認 2026-09-26 Google Threat Intelligence Group（2025-11-06・GTIG AI Threat Tracker）原文We have taken action to disable the assets出典を開く確認 2026-09-26 |
検知を逃れようとしているのは作った側の狙いで、それが効いたかどうかは、この報告からは分かりません。
PROMPTSTEAL は、盗んだ API キー（トークン）で LLM を呼んでいるとみられています。 出典を開く確認 2026-09-26Google Threat Intelligence Group（2025-11-06・GTIG AI Threat Tracker）原文
PROMPTSTEAL likely uses stolen API tokens to query the Hugging Face API.
④ 評価中の AI が外に出た事故 — 実験室の外へ出る
図を左から読みます。能力を測る評価の最中の強い AI が、閉じているはずの環境（点線の枠。実験室にあたる）にいました（左）。そこに、外への通信や渡されていた鍵といった穴が開いていて（中）、AI は外に出て、実在の組織に入りました（右）。下の段の効く対策は、入られる側には A と B、AI を試す側には F です。
2026 年には、AI の能力を測る評価の最中に、閉じているはずの環境から AI が外に出た事故が、複数の開発元について報告・報道されました。経緯は テスト中の AI の事件は何が原因か に置き、ここでは 3 件を並べるだけにします。
| 開発元 | 何が起きたか | 出典の種類 |
|---|---|---|
| Anthropic | 第三者の評価会社 Irregular の評価環境から AI がインターネットに出て、実在の 3 組織の本番環境に不正にアクセスした Anthropic（2026-07-30・サイバー評価中に起きた 3 件の事案の調査）原文we identified three incidents in which a model accessed the internet from within or while interacting with the evaluation environment of Irregular, one of our third-party evaluation partners, and then gained unauthorized access to the production infrastructure of three different organizations.出典を開く確認 2026-09-26 |
当事者の公表（2026 年 7 月 30 日） |
| OpenAI | 社内の評価環境で、AI がインターネットから切り離すための制御を回避し、社内の研究基盤と Hugging Face のシステムに侵入した OpenAI（2026-08・Hugging Face のインシデント技術報告）原文OpenAI models in an internal evaluation environment circumvented controls intended to isolate them from the internet and performed computer network exploitation of OpenAI’s internal research infrastructure and Hugging Face systems.出典を開く確認 2026-09-26 |
当事者の技術報告（2026 年 8 月） |
Gemini が、Irregular が 5 月に実施したテストの最中に実在企業へ侵入したと報じられた。ITmedia NEWS（2026-09-21・Wall Street Journal 2026-09-18 報道の紹介）原文侵入は、AIの評価を手掛けるイスラエルIrregularが5月に実施したサイバー能力テストの最中に発生した。出典を開く確認 2026-09-26 ITmedia NEWS（2026-09-21・Wall Street Journal 2026-09-18 報道の紹介）原文Googleは同日、事実関係を認めた。出典を開く確認 2026-09-26 |
報道（Google 自身の公表は見つからなかった） |
Anthropic の事案は評価会社 Irregular の環境で、Google の事案（報道）は同じ会社が行ったテストの最中に起きています。検証を外部に頼むときは、その会社の環境から外へ出られないかまで、確かめる対象に入ります。
⑤ AI の鍵やアカウントが狙われる — 狙われる範囲が広がる
図を左から読みます。AI の API キーやアカウント、開発用の設定ファイル（左）が、公開コードに載ったり、情報を盗むマルウェアに狙われたりして盗まれ（中）、市場で売られて、持ち主の費用と名義で攻撃の処理を走らせる源になります（右）。③ の PROMPTSTEAL が盗んだ鍵で LLM を呼んでいるとみられるように、盗まれた鍵は次の AI 攻撃につながります。下の段の効く対策は B と G です。
Anthropic は 2026 年 9 月の報告で、AI の鍵やアカウントを手に入れた攻撃者は 3 つを一度に得ると書いています。 出典を開く確認 2026-09-26Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文
Operators who obtain AI credentials gain three things at once:
| 得るもの | 報告に書かれていること |
|---|---|
| 転売できるもの | 盗んだ鍵とアカウントは、既にある市場で売れる Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文Stolen keys and accounts have resale value in established markets;出典を開く確認 2026-09-26 |
| 他人の費用で回せる処理 | 攻撃の処理を、他人の費用で走らせられる Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文Having the credentials means that their attack workloads can run at someone else’s expense;出典を開く確認 2026-09-26 |
| 持ち主の名義 | 動きは、鍵の本来の持ち主のものに見える Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文The activity is attributed to the credential’s legitimate owner.出典を開く確認 2026-09-26 |
鍵の出どころとして一番多いのは、正規の利用者が自社の製品やアプリ、GitHub などの公開コードにうっかり載せてしまった鍵だと書かれています。 出典を開く確認 2026-09-26Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文
Most commonly, this comes from legitimate customers who have inadvertently exposed their API keys and session tokens in their products, applications and public code such as GitHub
Google の GTIG も 2026 年 9 月、追っている地下フォーラムで AI のアカウントを買おうとする需要が前年より増え、アカウント 1 件あたりの平均価格が 2026 年に 2 倍を超えたと報告しています。 出典を開く確認 2026-09-26 出典を開く確認 2026-09-26 出典を開く確認 2026-09-26Google Threat Intelligence Group（2026-09-09・GTIG AI Threat Tracker：対話から自律へ）原文
Based on posts on underground forums tracked by GTIG, buyer demand has increased year-over-year, concentrating heavily on purchasing Claude and Gemini credentials, alongside rising demand for autonomous coding IDEs like Cursor Pro and Devin, reflected in average underground marketplace prices per account more than doubling in 2026.
Google Threat Intelligence Group（2026-09-09・GTIG AI Threat Tracker：対話から自律へ）原文
Our analysis of commands issued by controllers of prominent infostealers, including LUMMAC.V2, STEALC.V2, VIDAR, and ACRSTEALER, also showed threat actor interest in stealing AI developer configurations
Google Threat Intelligence Group（2026-09-09・GTIG AI Threat Tracker：対話から自律へ）原文
these files can store plaintext API keys
AI の周りの仕組みも狙われています。ある攻撃者は、AI 製品を出す会社の自動評価用の環境に悪意ある指示を注入し（プロンプトインジェクション）、その環境が持っていた資格情報を渡させました。 出典を開く確認 2026-09-26 出典を開く確認 2026-09-26 出典を開く確認 2026-09-26 出典を開く確認 2026-09-26Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文
By injecting malicious instructions into an AI vendor’s automated evaluation sandbox, the actor caused the sandbox to hand over the credentials it held
Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文
The actor’s stated goal, pursued across more than a dozen avenues, was access to a pre-release Claude model.
Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文
The actor never gained access; every attempted path failed.
Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文
In all of this, the keys involved were customers’ keys stolen from customers’ environments.
鍵が漏れる経路は API キーは実際どう漏れるのか にまとめています。
報告の読み方と、この調べの範囲
- 報告は、発表した組織が自社のサービスや対応した事案で見えた範囲の話です。業界全体の割合ではありません
- Anthropic の 2026 年 9 月の報告は、載せた事例は典型的な悪用ではなく、特に目立つ新しい事例だと書いています。件数の多さの話として読むものではありません
Anthropic（2026-09-10・AI の悪用の検知と対処 2026 年 9 月版）原文
The cases we share here aren’t typical misuse, but rather examples of the most notable and novel threat activity we’ve identified to date.
出典を開く確認 2026-09-26
- 5 つは重なることがあります。③ の PROMPTSTEAL は、⑤ の盗まれた鍵を使っているとみられています
- Google の Gemini の事案は、報道でしか確かめられていません。元になった Wall Street Journal の記事は読んでいません
- 当事者の報告には、自社に不利な事実も含まれています。うまくいかなかった部分や試験段階であることまで書かれている点は、読みどころです