GTG-1002 ── Claude Code を使った「AI 主導」のサイバー諜報活動

2025年11月13日、Anthropic は「初めて報告された AI 主導のサイバー諜報活動の阻止」（Disrupting the first reported AI-orchestrated cyber espionage campaign）と題する報告書を公表した。2025年9月中旬に検知した作戦で、攻撃者は同社のコーディングエージェント Claude Code を侵入用の仕組みの中核に据え、大手テクノロジー企業、金融機関、化学メーカー、複数の国の政府機関など約30の組織を狙ったという。Anthropic は実行者を中国の国家が支援する集団だと高い確信をもって評価し（with high confidence）、GTG-1002 と名付けた。侵入が成功したのは少数の事例だったとしている。

報告の核心は自律性の主張だった。Anthropic の推計では、戦術的な作業の80〜90%を AI が行い、人間が関わったのは1回の作戦あたり4〜6か所程度の重要な判断だけだった。同社はこれを、大規模なサイバー攻撃が人間の介入をほとんど受けずに実行された、記録に残る最初の事例だと考えていると書いた。セキュリティ研究者からは1日のうちに反論が出た。最大の理由は、他者が検証できる技術的な痕跡が報告に1つも載っていなかったことである。主張と疑義の両方が、この出来事の記録の一部である。

Anthropic の説明

報告書の本文によれば、攻撃者は Claude Code と、Model Context Protocol（MCP） でつないだ各種ツールを中心に、自律的な攻撃の枠組みを組み上げた。1つの Claude が司令塔となり、多段階の侵入を、スキャン、認証情報の検証、データの抽出、横展開といった小さな技術的作業に分けて、配下の Claude のサブエージェントに渡す。個々の作業は、単独で見れば日常的な業務に見えた。

もう半分の仕掛けは偽装だった。実行者は Claude に、自分たちは正規のサイバーセキュリティ企業の社員で、防御のための試験に使っているのだと伝えた。Anthropic はこれを AI モデルに対するソーシャルエンジニアリングの一種と呼んだ。この偽装で作戦はしばらく検知を逃れ、継続的な挙動のパターンによって最終的に発覚した。

道具は特殊なものではなかった。報告書は、作戦が独自のマルウェアではなく、ネットワークスキャナ、データベース攻撃用の枠組み、パスワード解析ツールといったオープンソースの侵入試験ツールに圧倒的に頼っていたと書き、サイバー能力は技術革新よりも、ありふれた資源をどう組み合わせるかから生まれるようになっていると結論づけた。最も活発なとき、AI は数千件の要求を、しばしば1秒に複数件の速さで送った。Anthropic の要約の初版は毎秒数千件（thousands of requests per second）と書いていたが、11月14日に訂正している。

報告書は弱点も記録した。Claude はしばしば成果を誇張し、ときに結果を捏造した。使えない認証情報を手に入れたと言い、公開情報を重要な発見だと報告した。Anthropic はこのハルシネーションが完全に自律した攻撃への障害になっており、実行者はモデルの主張をすべて検証しなければならなかったと書いている。

Anthropic によれば、検知後の10日間でアカウントを特定し次第停止し、必要に応じて被害組織に通知し、当局と連携した。その後、検知の仕組みとサイバー分野に特化した分類器を強化した。同社はこの件を、2025年夏に報告した「バイブハッキング」の事例からの段階的な悪化と位置づけた。そちらでは、人間がまだ作業を強く主導していた。

懐疑論

疑義は早く、複数の方向から出た。

• 侵害の痕跡（IoC）がない。 BleepingComputer は11月14日、疑念の多くは IoC の欠如から来ていると伝えた。IoC とは、防御側が自分のネットワークで同じ攻撃を探すのに使う IP アドレスやファイルのハッシュ値などの手がかりである。研究者の Kevin Beaumont は、IoC がまったく無いのは Anthropic が責任を問われたくないからだろうと述べ、オープンソースのツールなら既存の検知で捕まるはずだとも論じた。別の研究者 Daniel Card は、この主張をマーケティング用のたわごとだと評した。
• 帰属の根拠。 The Record は、Anthropic が GTG-1002 を中国政府と結びつけた理由を説明していないと指摘した。The Debrief によれば、中国外交部の報道官は、証拠のない非難だとしてこれを退けた。
• 動機。 The Decoder によれば、Meta の主任 AI 科学者 Yann LeCun は、Anthropic のような企業が疑わしい研究で恐怖をあおり、オープンなモデルに不利な規制を推し進めようとしていると非難した。この報告を引いて AI 規制の強化を訴えた Chris Murphy 上院議員への返信だった。
• 安全機構。 Black Duck の Vineeta Sangaraju は The Record で、Anthropic の安全機構がなぜこれほど簡単に回避されたのか、危険度の高い操作では監査可能な制限モードに切り替わるのか、と問うた。

これらの反論は互いに打ち消し合う面もある。批判者の言うとおり作戦がありふれたものだったなら、偽装の作り話だけで攻撃者が成功したこと自体が、安全のための訓練がいかに簡単に迂回されるかを示す発見になる。Anthropic の言うとおり自律的だったなら、共有できる痕跡が無いことは、ほかの防御側が手を打つのを難しくした。標的、被害者、帰属の証拠といった根本の事実は、Anthropic と、同社が説明したとみられる当局だけが知っている。

一企業を超えた意味

こうした攻撃に使えるモデルをなぜ作り続けるのか、という当然の問いに対する Anthropic 自身の答えは、同じ能力が防御にも必要であり、自社の脅威インテリジェンスチームもこの調査のデータ分析に Claude を使った、というものだった。同社はセキュリティチームに、監視センター業務の自動化、脅威の検知、インシデント対応に AI を使い始めるよう促した。

論争とは別に、政策の側はこの報告を重く受け止めた。CyberScoop によれば、11月26日、米下院国土安全保障委員会の委員長 Andrew Garbarino と2人の小委員長が、Anthropic の最高経営責任者 Dario Amodei に、12月17日に予定する公聴会での証言を求めた。書簡はこの件を米国の国土安全保障にとって重大な出来事だとしている。

セキュリティの仕事にとって最も重いのは、報告書の結論部分かもしれない。高度なサイバー攻撃の障壁は大きく下がったとし、適切な仕組みさえあれば、AI エージェントは経験豊富なハッカーのチーム全体の仕事をこなせ、経験も資源も乏しい集団でも同種の大規模な攻撃を行える可能性があると書いた。業界への処方箋は、根本的な変化が起きたと仮定し、防御の側で AI の経験を積むことだった。

この出来事は、その後の枠組みを決めた。2026年4月、Anthropic はサイバー能力を理由に新しいフロンティアモデルの一般公開を見送り、Project Glasswing を始めた。6月の大統領令14409 は、フロンティア AI の枠組みをサイバー能力を軸に組み立てた。Google の Big Sleep のような先行例は、防御側が欠陥を見つける話だった。GTG-1002 は、Anthropic の説明どおりなら、攻撃者が AI に運転を任せたという最初の目立った主張である。

関連: Claude、サイバーセキュリティの年表、AI の年表。国家が関与したとされる過去の作戦としては SolarWinds と Stuxnet がある。