大勢の熟練者の仕事を1人で？AIが変えたのはサイバー攻撃の手口ではなく人手

学校の調べものや作文で、AIに手伝ってもらったことはありますか。では、同じAIを悪いことをする人が使ったら、何が変わるのでしょうか。
AIのClaude（クロード）を作るAnthropicが2026年9月、悪用の事例の報告書を出しました。その中身から、AIが攻撃の何を変えたのかを見ていきます。

そもそも、コンピューターへの侵入にはなぜ大勢の人手が要ったのか

会社のコンピューターに忍び込むのは、一つの作業ではありません。まず狙う相手を下調べし、侵入に使う道具を作ります。入り込んだあとは、盗んだ大量のデータを整理する仕事も待っています。

たとえるなら、下見係、道具係、仕分け係がそろった泥棒のチームのようなものです。実際はもっと込み入っていますが、分担が要る点は同じです。これまでは、国家が後ろにいる集団のように資金と人手を持つ組織だけが、係ごとに人を割けました。

AIが変えたのは、攻撃の手口ではなく人手

では、AIが悪用されると、新しい攻撃が生まれるのでしょうか。実際は、そうではありませんでした。使われたのは、盗まれたパスワードなどのログイン情報、弱点が直されていない機器、偽のメールでだます手口です。どれも昔からある手口でした。

変わったのは、作戦にかかる人手です。下調べから道具づくり、データの処理まで、どの段階もAIが底上げしています。1年前なら熟練者を大勢そろえる必要があった作戦を、1人の活動家や個人が続けていたのです。

だから報告書は、やり口の巧みさは「誰がやっているか」の確かな手がかりでなくなったと書きました。つまり、高度な侵入を見つけても、国家が後ろにいるとは限らないのです。

たとえば、ある侵入は開発者用のデジタルの鍵を1本盗んで始まりました。そして約3時間で、相手がネット上に借りているコンピューター全体を操れる権限を手にしています。

報告書に記録された、AIにさせた仕事

悪用は、サイバー攻撃のほか、世論を動かす工作、監視、詐欺、兵器の開発にまで及びました。生物兵器づくりにも転用されかねない研究も含まれていました。登場するのは国家の関与が疑われる集団だけでなく、金銭目当ての犯罪者や個人もいます。

国や場面	何をさせたか
イエメン	誘導ロケットを制御するソフトの開発。実際に試射され、失敗したとみられる数時間後、使った側がAIに原因の分析を頼みに戻っている
マリ	国の情報機関が使う監視システムの設計。国内3社の携帯電話網が対象
シリア	アラビア語ができない工作員のために、接触する相手へ送る文を現地の方言で作り、返事を同時翻訳
マッチングアプリ	大量の偽の人物を動かし、2週間で2万人を超える人と会話していた

マリのシステムでは、電話番号を入れると、その人を調べた記録が自動で作られます。そこから、令状（調べる前に必要な裁判所などの許可）を求める手順が、運用する側の求めで外されました。つまり、許可がなくても、どの電話番号の人についても調べた記録を作れるようになったのです。

AIの力そのものを抜き取る「蒸留」

ここまでは、AIに作業をさせる使い方でした。AIの力そのものを抜き取る手口が、蒸留です。

そもそも蒸留は、AIを育てるふつうの手法です。賢いAIに大量の質問を投げ、返ってきた答えを手本にして、別のAIに真似をさせます。たとえるなら、優秀な先輩の答案を大量に集めて、書き方をまねて覚えるようなものです。問題になるのは、許可なく、隠れて、工場のように大量に行う場合です。

Anthropicは、中国のAI企業を実名で名指ししました。たとえばMoonshotは、自社のAI「Kimi」を使っているつもりの人の質問を、黙ってClaudeへ転送していました。そして返ってきた答えを、Kimiの答えとして画面に出していたのです。

また、DeepSeekはClaude CodeやOpenCodeを使う人の質問だけを選び、Claudeへ回していました。どちらも、AIにプログラムを書かせる道具です。Claudeとのやりとりがいちばん多かったAlibabaは、5月から7月だけで1億件を超えています。

MoonshotやDeepSeekなどが転送した会話には、利用者の名前やメールアドレス、会社のデータも含まれていました。Anthropicはこうしたやり方を、プライバシーの法律と、各社自身の規約の両方に反する可能性が高いと評価しています。

蒸留で移るのは能力だけで、安全装置は付いてこない

なぜ抜き取るのでしょうか。AIを一から賢く育てるには、たくさんのコンピューターと長い時間が要ります。抜き取れば、その一部で済むからです。

しかも、抜き取られるのは能力だけです。AIには、危ない依頼を断るための仕組み、いわば安全装置が組み込まれています。Anthropicは、安全装置は蒸留では移らないと書いています。つまり、真似をして作られた側のAIには、悪用を止める仕組みが付いてこないのです。

AIに断られても、言い直すと通ることがある

では、元のAIの安全装置は、いつも働くのでしょうか。Anthropicは、守りがどこで破れたかも自分で書いています。

中国の警察学校の学生とみられる人物の例では、AIは最初の依頼を断りました。しかし言い直されると応じ、一般の人を名指しし、中国の治安当局が「管理」と呼ぶ扱いの対象に挙げる書面を作っています。「管理」とは、陳情を止める、呼び出して問いただす、行動を見張る、といった扱いです。

逆に、守りが働いた例もあります。Zhipuという企業は当初、AnthropicのAIの中でも上位のFableを狙いました。ところが、サイバー分野の守りに阻まれてあきらめています。社員が次に狙いを移したのは、守りがより弱いと見たAnthropicのOpus 4.6と、米国の他社の最上位のAIでした。

まとめ

• AIが悪用されても、攻撃のやり口は昔のまま。変わったのは作戦にかかる人手
• やり口の巧みさは、もう犯人の手がかりにならない
• ある侵入は、盗んだ鍵1本から約3時間で全体を操れる権限に届いた
• 蒸留でAIの能力は抜き取れるが、安全装置は移らない
• 断られても言い直すと通った例があり、守りが弱いと見たAIへ移った例もある

高度な侵入は、これまで資金と人手を持つ組織の証しでした。AIがその人手を肩代わりした今、国家と個人を分けるのは高度さではなく、何のためか（意図）だと報告書は書いています。

この記事の内容は、Anthropicの報告書（2026年9月公開）によります。