Anthropicが2026年9月に公開した最新のThreat Intelligence Reportを一読して、背筋が凍る思いをしたセキュリティ関係者は少なくないだろう。
単なる「チャットボットがフィッシングメールの文面作成に使われました」程度の牧歌的な悪用事例集かと思いきや、そこに記されていたのは、高度なAIモデル（当然Claudeを含む）が単なるツール（Assistant）から、サイバー攻撃や兵器開発、情報工作を自律的に指揮する「オーケストレーター」へと変貌を遂げた現実である。AIの安全性やDual-use（軍民両用）のジレンマについては長年議論されてきたが、もはや机上の空論ではない。本稿では、ログとデータが証明している現実の脅威ランドスケープと、Anthropicの（半ばモグラ叩きと化している）防衛戦略の立ち位置に焦点を当てる。
Democratization of Sophistication：スキルの民主化という悪夢
今回のレポートで最も本質的な指摘は、「高度な攻撃能力の民主化（Democratization of Sophistication）」である。これまで、Zero-day脆弱性の発見やマルウェアの開発、検知回避（Evasion）の仕組みの構築には、国家を後ろ盾とするAPT（Advanced Persistent Threat）グループのような豊富なリソースと高度な専門知識が必要だった。しかし、AIはこの「リソースとスキルの壁」を完全に破壊した。
レポート内で言及されているGTG-20006（ロシアの諜報活動）のケースは象徴的だ。この攻撃者は、自らのマルウェアがセキュリティ製品に検知されると、AIを活用して自動的にコードを書き直し、再デプロイするという自律的なワークフローを構築していた。いわば「勝手に進化して検知をすり抜けるマルウェア工場」である。
さらに、金銭目的のサイバー犯罪グループであるShinyHuntersの関連組織（GTG-50014）は、盗まれたAPIキーを利用し、システムの広範なスキャン、脆弱性の悪用、大量のデータ持ち出し（Exfiltration）を「AIの自律エージェント」に丸投げしていた。人間は攻撃のターゲットを設定し、持ち出されたデータを確認するだけ。Reconnaissance（偵察）からExploitation（悪用）までのCyber Kill Chain全体が、AIフレームワークによって完全に自動化されているのである。
「かつて国家主導のハッカーにしかできなかったことが、APIキーを握りしめたそこら辺のスクリプトキディに可能になった。防御側は完全にコストの非対称性に直面している。」
また、攻撃者はもはやオンプレミスのサーバーを律儀にハッキングするだけではない。Living-off-the-Cloudと呼ばれる手法を用い、正規のSaaS環境やCloud基盤を隠れ蓑にしてCommand and Control（C2）通信を行う。この状況下では、従来のシグネチャベースの防御は全く意味をなさず、Identity Securityや振る舞い検知に基づくContinuous（継続的）なセキュリティアーキテクチャへの移行が急務となっている。
兵器開発とBio-Misuseに見るDual-useの極北
サイバー空間の脅威にとどまらず、物理的な破壊を伴うConventional Weapons（通常兵器）の開発にAIが利用されている現実も重い。
GTG-87001として報告されたイエメンの武装勢力のケースでは、戦術誘導ロケットや弾道ミサイルのガイダンス（誘導）ソフトウェアの開発にAIが使用され、実際にフィールドテストまで行われている。また、中国を拠点とするアクター（GTG-27005）は、AIが生成したコードとシミュレーション環境を用いて、自律型のFPVカミカゼ・ドローンスウォーム（群れ）を構築しようとしていた。
さらに深刻なのが、生物学的な悪用（Biological Misuse）である。AIは創薬やタンパク質構造解析において人類に多大な恩恵をもたらす一方で、危険な病原体や毒素のGain-of-Function（機能獲得）研究を加速させるリスクを孕んでいる。Anthropicのレポートは、国家の支援を受けた研究者が、鎮痛剤の開発という「表向きの目的」を隠れ蓑にして、麻痺性毒素の生成パイプラインをAIで構築していた事例を報告している。
まさにこれがDual-useのジレンマだ。ガンを治すタンパク質の設計も、致死性の高い毒素の設計も、アルゴリズムの観点からは全く同じ「分子の最適化問題」に過ぎない。AIの出力が有益な科学研究なのか、それともバイオテロの準備なのかを、システム側で自動判定することは本質的に不可能に近い。EU AI Actのような法規制や倫理ガイドラインが「High-risk」なAI利用に透明性とアカウンタビリティを求めているが、イエメンの地下壕や国家主導の秘密施設で稼働するLLMに、ブリュッセルの法律が届くはずもない。
偽造される世論：Influence Operationsの工業化
ディープフェイクやSynthetic Content（合成コンテンツ）による世論操作は今に始まったことではないが、その「規模と自律性」が新たなフェーズに入った。
GTG-15001の「詐欺的マッチングアプリ」の事例は、笑えない喜劇だ。背後にいる中国のアプリ開発者は、20以上のマッチングアプリを展開し、AI対人間の比率が「3対1」という環境を構築していた。つまり、課金してせっせとメッセージを送っている相手の75%はClaudeをバックエンドにしたAIペルソナだったのである。人間（サクラ）は、AIが対応できないビデオ通話などの「本物証明」のためだけにスポットで動員される。詐欺の完全な分業化と工業化だ。
国家レベルのInfluence Operations（影響工作）も同様である。イラン（GTG-34001）やロシア（GTG-24015）の国家支援アクターは、キャンペーンの計画策定、教義マニュアルの作成、ペルソナシステムの構築をAIに行わせている。ターゲットとする国の世論を分断するためのニュースサイトを無数に立ち上げ、SNSの偽アカウントを自律的に運用する。彼らにとってLLMは、もはや記事を書くライターではなく、世論操作キャンペーン全体を統括する「編集長兼マーケティング部長」なのだ。
Illicit Distillation：他人の褌で相撲を取るAI開発競争
さて、今回のレポートで最も技術的に興味深く、かつ経済的な影響が大きいのは「Illicit Distillation（不正な蒸留）」のセクションだろう。
Distillation（蒸留）自体は、巨大で高性能なTeacher Model（教師モデル）の出力を使い、軽量なStudent Model（生徒モデル）を学習させるという、機械学習における一般的な手法である。しかし、Anthropicが糾弾しているのは、中国のAIラボ（Alibaba、Moonshot、DeepSeek、Zhipu、Xiaomiなど）が、身元を偽ってClaudeのAPIを大量に叩き、その高度な能力（特にReasoning / 推論能力）を「不正に抽出」して自社のモデルにコピーしているという事実だ。
例えばAlibaba（Qwenの開発元 / GTG-16005）は、3,500以上の不正アカウントから1日あたり300万回近くのアクセスを行い、ClaudeのChain-of-Thought（CoT）の推論プロセスを抽出するための巨大なパイプラインを構築していた。
さらに悪質なのは、MoonshotやDeepSeekのケースである。彼らは自社のモデル（KimiやDeepSeek）の裏側で、ユーザーからのリクエストを「こっそりClaudeに転送」し、Claudeの回答をユーザーに返していたという。そして、その過程でClaudeの回答と推論プロセスを保存し、自社モデルの学習データ（SFTやRL用）として活用していたのだ。
「ユーザーはDeepSeekを使っているつもりで、実は裏でClaudeが動いていた。そしてDeepSeekはそのログを使って自律的に賢くなる。まさに壮大なフリーライドである。」
AnthropicがAPIのレスポンスにおいて、生の推論プロセス（Thinking trace）を隠し、「Thinking signature」という参照IDだけを返すように仕様変更したのも、この泥棒行為を防ぐためだ。しかし、攻撃者側も「Cross-session replay attack（セッションをまたいでsignatureを読み込ませ、推論プロセスを復元させる攻撃）」などを駆使して執拗に抽出を試みている。
昨今、「中国のオープンモデルの進化が凄まじい」と持て囃す声が多いが、その基盤となる推論能力の一部（あるいは大部分）が、USのFrontier Models（ClaudeやGPT）のAPIを不正利用して吸い上げた「CoTのロンダリング」によって構築されているのだとすれば、AI開発競争の構図は全く違って見えてくる。
終わりに：プラットフォーマーの孤独な戦い
最後にプラットフォームの構造的限界についても指摘しておこう。
レポートの最後でAnthropicは、不正アカウントのBANや検知メカニズムの改善、政府機関との連携を強調している。確かに、彼らのThreat Intelligenceチームの執念と分析力は賞賛に値する。しかし、本質的に彼らがやっていることは、無限に湧いてくるプロキシと使い捨てクレジットカードに対する「高度なモグラ叩き」である。
APIキーを盗まれた企業側（AIサプライチェーンの脆弱性）に責任を問うのも難しい。開発者がうっかりGitHubにPushしてしまったAPIキーが、数分後にはロシアの諜報機関の自律型マルウェア工場のコンピュートリソースとして使われる時代だ。
LLMは、人類の知識を総覧できる「魔法の杖」であると同時に、サイバー攻撃、兵器開発、世論操作のコストを極限まで下げる「パンドラの箱」でもある。AnthropicをはじめとするフロンティアAI企業は、モデルの性能向上（スケール）と同時に、この果てしない防御戦を強いられている。
EU AI Actのような法規制がどれほど整備されようと、倫理的フレームワークが議論されようと、実空間の脅威アクターたちはAPIの向こう側で今日も静かに自律エージェントを回している。AIの安全性を担保するという大義名分は、イノベーションのブレーキではなく、文字通り「プラットフォームが武器商人にならないため」の最低条件になりつつある。我々ソフトウェア開発者も、「APIキーの漏洩は、単なる数十ドルのクラウド破産ではなく、国家の安全保障を脅かすインフラの提供に直結する」という世紀末的な現実を、そろそろ直視しなければならない。