2026年9月10日、AnthropicはClaudeの悪用事例をまとめた脅威情報レポート「Detecting and countering misuse of AI: September 2026」を公開しました。
AIはスパイ活動や情報戦の現場で、収集、翻訳、分類、分析、報告書作成といった中間作業を自動化し始めています。報告書には、13体のAIエージェントによるOSINT収集、15万5,216件のSNS投稿の分析、外国語を話せない行為者による接触工作といった事例が載っています。
本記事が扱うのは、情報戦のうち諜報・監視・OSINT・サイバー諜報の側面です。プロパガンダなどの影響工作は、自動化の成果を評価する節で触れます。
報告書に並ぶサイバー作戦では、盗まれた認証情報、未修正の機器、フィッシング、公開された管理画面といった既知の手法が繰り返し使われています。
大きく変わったのは、その前後にある作業量です。
偵察、脆弱性調査、コード開発、取得した情報の整理、翻訳、人物の選別、報告書の作成。Anthropicは、こうした工程をAIエージェントが長時間、複数の標的に対して並列処理する事例を確認しています。
報告書はこの変化を、攻撃側の「経済性」の変化として整理しています。自律化によって1件あたりの人手と必要技能が減れば、少人数でも扱える標的数を増やせるからです。
対象期間は2025年12月から2026年8月。Claude Haiku、Sonnet、Opusが使われた事例が含まれます。
ただし、これはClaudeの悪用全体を代表する統計ではありません。Anthropicが検知・調査できた活動の中から、特に注目すべき事例を選んだケーススタディです。
報告書の主な事例一覧
| 識別名 | 関連する主体（Anthropicの評価） | 規模・特徴 | AIが担った主な工程 |
|---|---|---|---|
| GTG-10007 | 中国語話者のグループ。長沙にいる可能性が高い | 常設AIエージェント13体でOSINTを定期収集。侵入の一部は2〜3時間で完了 | 収集、要約・採点、報告書への整形、侵入後のホスト列挙 |
| GTG-14020 | 中国拠点。中国政府の優先事項と足並みがそろった宗教関連の情報収集 | 月に数千件の調査 | 多言語資料の読み込み、人物調査書・日次報告の作成 |
| GTG-34007 | イランの準軍事・国内治安組織と関連（高い確信度） | 15万5,216件のツイートから39アカウントを抽出 | 社会ネットワーク分析、対象の抽出 |
| GTG-54009 | 商用インテリジェンス企業向けの監視プラットフォーム | 試験段階で検知。実在する標的への使用は未確認 | 所在地・属性・政治的傾向の推定、報告文書の生成 |
| GTG-14010 | 中国政府の優先事項と足並みがそろう。監視請負業者の可能性（確信度は高くない） | 100を超えるWhatsAppグループと数十のTelegramチャンネルの通信を処理 | 方言に合わせた接触文の作成、リアルタイム翻訳、通信の構造化 |
| GTG-14021 | 中国の自治体レベルの公安・国家安全保障組織 | 世論監視パイプライン、局内のAI利用マニュアル | 情報取得、日次の状況報告書の作成 |
| GTG-20006 | ロシア関連。Midnight Blizzard関連の公開報告と整合 | 政府・軍事・外交組織などを標的 | 開発、攻撃用インフラ、フィッシング、持続的アクセス、データ窃取 |
13体のAIエージェントがOSINTを定期収集する
OSINTはOpen Source Intelligenceの略で、政府資料、企業情報、SNS、報道、入札情報など、公開されている情報を収集・分析する活動です。
AnthropicがGTG-10007と呼ぶ中国語話者のグループは、この収集工程に13体の常設AIエージェントを使っていました。
Anthropicは、行為者が中国・湖南省の長沙にいる可能性が高いと評価しています。2人については、湖南省の大学でコンピューター・通信工学を学ぶ学部生と特定しました。
13体のエージェントはスケジュールに従って稼働し、公開されている米軍・米政府サイトの契約情報や、SNS上の人物情報などを探索してコンテンツを取得します。
隣接する処理系が取得内容を要約・採点し、情報報告書の形式に整え、配信ポータルへ送る仕組みでした。
検索、取得、要約、評価、報告書への整形というOSINTの反復作業が、一つの自動処理として接続されています。
GTG-10007はOSINTだけを行っていたグループでもありません。
同じ行為者は、AIを使った脆弱性研究や侵入ワークフローも構築していました。侵入後にはAIがネットワーク内のホストを列挙し、認証情報を集め、管理画面などを探索して次の端末へ移っています。
Anthropicによれば、一部の侵入は2〜3時間で完了し、1人のオペレーターが数十の被害者を並行して扱っていました。
「多くの分析チーム」が1つのオフィスとAIに縮小した
分析作業の自動化をさらに直接的に示すのが、GTG-14020です。
これは中国を拠点とし、中国政府の優先事項と足並みがそろった宗教関連の情報収集活動としてAnthropicが報告したものです。
対象には、アジアのカトリック指導者、台湾長老教会、チベット仏教関係者、法輪功関係者、海外の中国系宗教コミュニティなどが含まれていました。
Claudeには、多言語の資料を読み込ませ、中国語の人物調査書、情報の「手掛かり報告」、日次の状況報告などを内部テンプレートに沿って作らせています。
Anthropicは、この行為者がClaudeを**「staffed analyst team（人員を配置した分析チーム）」の代わりとして使った**と説明しています。
同社による報告書全体の整理では、以前は多数の分析チームで構成されていた中国の宗教関連情報収集部門が、1つのオフィスとAIアシスタントで月に数千件の調査を作成する形へ縮小したとされています。
GTG-14020の具体的なワークフローでは、1人のオペレーターが複数の調査系統を並行して扱い、Claudeが翻訳、要約、文章作成、テンプレートへの整形を担当しました。
AIが分析官の肩書きを消したという話ではなく、分析官が大量に費やしていた処理工程を少人数で回せる事例です。
15万5,216件の投稿から39アカウントを抽出
大量データから「誰を見るか」を選ぶ処理にもAIが使われています。
AnthropicがGTG-34007と呼ぶイラン関連の事例では、16のClaudeアカウントを使う2つの部隊が確認されました。
Anthropicは、この2部隊についてイランの準軍事・国内治安組織と関連すると高い確信度で評価しています。両者は別々に活動していましたが、情報は「Arman」と呼ばれる共通の監視ケース管理システムへ集約されていました。
一方の組織は7部門を持ち、イラン各地に拠点があると自称していました。
この組織は1年間で6,388人のイラン人を監視・プロファイリングしたと主張しています。
さらにClaudeを使って15万5,216件のツイートを社会ネットワーク分析にかけ、イランの反体制派や国外在住者39アカウントを抽出しました。
Armanに保存される人物ファイルには、国民ID、思想・信条、犯罪歴、SNSアカウントのほか、「action」と呼ばれる項目も含まれていたとAnthropicは報告しています。
AIが大量の投稿を読むことで、人間が最初から一人ずつ調べる必要がなくなります。
15万件以上のデータから関係性を解析し、監視対象候補を絞ったあと、人間がその結果を利用する形です。
商用監視企業も人物プロファイリングにAIを使う
国家系組織とは別に、商用監視事業者による利用も確認されています。
GTG-54009では、「S2T Unlocking Cyberspace」というイスラエル・シンガポール系とみられる商用インテリジェンス企業のために、Claudeを利用した監視プラットフォームが開発されていました。
対象はイランやペルシャ湾岸地域のSNS利用者です。
システムは利用者の所在地を推定し、人口統計的なグループへ分類し、政治的傾向を分析したうえで、政府報告書のようなアラビア語の情報文書を生成する設計でした。
実際の利用例では、一度におよそ25件のSNS投稿をClaudeへ渡し、投稿者の所在地、属性、政治的傾向と、それぞれの判断に対する信頼度を返させています。
この事例は試験段階でAnthropicに検知され、同社は、その後の監視工程が実在する標的に使われた証拠は確認していません。
国家機関、国家系請負業者、商用インテリジェンス企業という異なる主体が、似た大量分析技術を使い始めています。
外国語を話せなくても接触工作を進められる
情報の収集・分析から、標的本人との接触へ進んだ事例もあります。
中国政府の情報収集上の優先事項と足並みがそろったGTG-14010では、シリアにいるウイグル人などを調査し、情報提供者として勧誘する作戦が確認されました。
行為者はアラビア語を話せませんでした。
Claudeが地域の方言に合わせて接触メッセージを作り、相手から届いた返信をリアルタイムで翻訳。さらに「専門家」の役割を与えられ、作戦内容やメッセージの品質確認にも利用されています。
Anthropicは、この事例を監視章で最も運用面が成熟したケースとして扱っています。結果も、ケースオフィサーへの引き継ぎとみられる形式へ整形されていました。
この行為者は100を超えるWhatsAppグループや数十のTelegramチャンネルから収集した通信も処理し、中国語の構造化データへ変換していました。
外国語の習得、翻訳担当者、会話内容のチェックという別々の専門作業を、一つのAIシステムが横断しています。
Anthropicは、この行為者について監視請負業者だった可能性を指摘していますが、その評価の確信度は高くありません。国家機関そのものと断定できる事例ではないため、帰属には幅を残す必要があります。
国家の治安組織ではAI利用が手順書になった
AIの利用が個々の担当者の工夫から、組織の標準作業へ入った例もあります。
GTG-14021では、中国の自治体レベルの公安・国家安全保障組織と関連する複数の活動が確認されました。
そのうち、ある自治体のサイバー警察部門はClaude Codeとカスタム機能を使い、国内の世論監視パイプラインを運用していました。
ブラウザから情報を取得し、政府の監視データベースへ問い合わせ、政治的に敏感な出来事について日次報告を生成する仕組みです。
別の地方国家安全保障局では、Claudeを使って海外の反体制派や市民団体に関する日次の「situational awareness」報告書を作成していました。
そして、そのワークフローを局内で使うAI利用マニュアルとして文書化しています。
マニュアルには、Claudeへ中国国家安全保障機構の情報分析官として振る舞うよう指示するプロンプトまで含まれていました。
「国家安全保障部門が作った」という曖昧な話ではなく、Anthropicが確認したのは、この地方国家安全保障局の報告ワークフローと利用マニュアルです。
AIサイバー諜報は調査から侵入後の作業までつながる
ロシアに関連するGTG-20006では、Claudeがサイバー諜報の広い工程へ投入されました。
Anthropicは、この活動について、公開されているMidnight Blizzard関連の報告と整合すると評価しています。
標的には、ウクライナや欧州の政府・軍事・情報機関、外交・防衛組織、米国の外交政策関係者などが含まれていました。
AIは開発、攻撃用インフラ、フィッシング、持続的アクセス、データ窃取などに使われています。
マルウェアの自動改修もその一つです。
セキュリティ製品に検知されたかを監視し、検出された場合はコードを変更して再ビルドするワークフローが組まれていました。
Anthropicが報告したより自律性の高い別事例では、複数のAIエージェントが偵察、侵入、認証情報の収集、データ窃取を複数の被害者に対して数時間から数日続けています。
人間は標的選定、成果の確認、収益化などに強く関与していました。
Anthropicは、自律性が高いほど被害も大きくなるという単純な関係ではないと説明しています。AIは規模と速度を増やし、運用コストを下げますが、被害の大きさは標的や取得権限など別の条件にも左右されます。
Microsoftも同じMidnight Blizzard系活動を報告している
ロシア系の活動については、Microsoftも2026年7月に「CaptiveCrunch」という別の調査結果を公表しています。
MicrosoftはStorm-2945をMidnight Blizzardの作戦サブクラスターと評価し、2026年5月以降、ホテルや会議施設などのキャプティブポータルを利用するネットワークで、DNSやHTTP通信を操作する攻撃を確認しました。
利用者を偽の更新画面やフィッシング環境へ誘導し、マルウェアや認証情報の窃取につなげる作戦です。Microsoftは、この活動のかなりの部分でAIが使われていたとしています。
Microsoftが「根本的に新しくない」と説明しているのは、CaptiveCrunch全体ではなくデバイスコードフィッシングという個別の手法です。
Midnight Blizzardは2024年から同様のデバイスコードフィッシングを使用していました。
今回の特徴は、それをキャプティブポータルや通信操作と組み合わせた点にあります。Microsoftは、この組み合わせによって利用者が認証要求を正規のものと受け取りやすくなる可能性を指摘しています。
MicrosoftとAnthropicの報告は完全に独立した裏付けでもありません。
MicrosoftはCaptiveCrunchの調査でAnthropicとOpenAIの協力を受けたと明記しています。したがって、「独立した第三者が同じ事実を再確認した」ではなく、同じ脅威アクターの活動について複数の企業がそれぞれ観測結果を公表していると捉えるのが正確です。
AIが変えたのは攻撃の「単価」
今回のAnthropic報告書で繰り返し現れるのは、まったく新しい攻撃方法よりも作業工程の圧縮です。
GTG-10007では13体のエージェントが公開情報を定期収集し、要約と採点を経て報告書へ変換しました。
GTG-14020では、多数の分析チームが担っていた宗教関連の情報収集を、1つのオフィスとAIアシスタントで月数千件処理する形へ縮小しています。
GTG-34007では、15万5,216件の投稿を処理して39の監視対象アカウントを抽出。
GTG-14010では、アラビア語を話せない行為者が、翻訳と会話支援をAIで補いながら複数日にわたる接触工作を進めています。
サイバー作戦でも同じです。
人間が一件ずつ調べ、コードを書き、実行結果を読み、次の処理を判断する代わりに、AIエージェントがその中間工程を連続して処理します。
この変化によって、小さな組織が国家情報機関と同じ権限や情報源を持つわけではありません。
国家機関には、非公開データベース、現地協力者、長期的な侵入基盤、行政・治安上の権限があります。
AIが直接縮めているのは、情報処理・翻訳・開発・分析に必要な人手と時間の差です。
当サイトのAnthropic脅威情報レポート2026年9月版を読み解くでは、監視以外にも兵器開発、生物学、影響工作、不正蒸留まで含めてレポート全体を整理しています。本記事は、そのうち諜報・OSINT・監視に絞った記事です。
人間に残る役割
Anthropicが確認した事例では、AIが受け持つ工程と人間が受け持つ工程が分かれています。
AIが担っていたのは、検索、取得、翻訳、要約、テンプレートへの整形、コードの作成、侵入後のホスト列挙といった反復処理です。
人間は、標的の選定、成果の確認、収益化、作戦目的の設定に強く関与していました。GTG-14010では、AIが整形した結果がケースオフィサーへの引き継ぎとみられる形式で出力されています。GTG-34007でも、AIが監視対象候補を絞ったあとに、その結果を使うのは人間です。Anthropicは、人間が自分たちにとって重要な判断を保持していると説明しています。
1人のオペレーターが数十の被害者や複数の調査系統を同時に扱えた点が、人数の圧縮につながっています。
能力が上がっても、作戦が成功するとは限らない
AIによって大量処理が可能になったことと、現実の作戦成果は分けて評価する必要があります。
同じAnthropic報告書に掲載された影響工作では、数千本の記事や大量のSNSコンテンツを自動生成しながら、人間の観客から大きな反応を得た形跡がほとんど確認できなかったケースがあります。
自動化によって「作れる量」は増えました。
その情報が正しいか、対象者が信用するか、世論へ影響するか、侵入後に有用な情報を取得できるかは別の段階です。
Anthropicが公開できるのも、同社のシステム上で検知できた活動が中心です。別のAIサービス、ローカルモデル、独自モデルで同じ作業が行われれば、Anthropic側から観測できない場合があります。
逆に、攻撃者自身が申告した処理人数や成果などは、そのまま実績として扱えないものもあります。
今回のレポートは情報戦全体の統計ではなく、検知された事例からAIによる作業工程の変化を見る資料です。
APIキーとホテルWi-Fiは一般企業にも関係する
国家間のスパイ活動から離れても、報告書に出てくる攻撃経路は一般企業とつながっています。
Anthropicは、AIサービスのAPIキーやセッショントークンが攻撃者の標的になっていると警告しています。
盗んだAPIキーには、売却、無料の計算資源、正規ユーザーへの偽装という用途があります。
被害組織からAPIキーを盗み、そのキーを使って攻撃処理を続けた事例も確認されました。
Anthropicは、AIのAPIキーを本番環境の認証情報と同じレベルで保護するよう勧めています。
MicrosoftのCaptiveCrunchでは、ホテル、会議施設などのゲストネットワークが攻撃に利用されました。
Microsoftは出張時について、可能ならモバイルホットスポットや携帯回線などの私的接続を優先し、ゲストWi-Fiの接続画面から突然提示されたブラウザ更新、証明書、セキュリティツールなどをインストールしないよう推奨しています。
まとめ｜AIが縮めたのは分析作業の人手と時間
当サイトのAIサイバー攻撃の民主化は迫るのか――「あと1年」警告を読むでは、AIによって少人数の攻撃者が扱える作業量が増える問題を取り上げています。
2026年9月のAnthropic報告では、その変化が予測だけで終わっていません。
13体のAIエージェントがOSINTを巡回し、1つのオフィスが月数千件の調査資料を作り、15万5,216件の投稿が監視対象の選別に使われています。
情報戦で大量の人手を消費していた「探す、読む、訳す、整理する、選ぶ、報告する」という工程が、すでに機械処理へ移り始めています。
FAQ
AIだけでスパイ活動を完全自動化できる段階ですか？
いいえ。Anthropicが確認した事例では、偵察、情報収集、翻訳、人物分析、コード作成、侵入後の処理などが長時間自動化されています。
一方、人間は標的選定、成果の確認、収益化、作戦目的の設定などに強く関与していました。Anthropicも、人間が自分たちにとって重要な判断を保持していると説明しています。
OSINTをAIで自動化すること自体は問題なのですか？
問題とは限りません。公開情報をAIで検索、分類、要約する行為は、企業の市場調査やセキュリティ調査でも普通に利用できます。
今回の事例では、同じ技術が監視対象の人物選定、政治的傾向の分類、国家安全保障機関向けの人物調査、サイバー攻撃の偵察などに利用されていました。
技術そのものより、取得する情報、対象、利用目的、後続の行動によって性質が変わります。
AIを使えば小規模な組織でも国家級の諜報能力を持てますか？
国家組織と同じ権限や情報源までは得られません。情報処理、翻訳、コード開発、OSINT、脆弱性調査に必要な人手は減らせますが、国家組織が持つ非公開データベース、人的情報源、法執行権限、長期間の作戦基盤などはAIから得られないためです。
現在確認されている変化は、組織の権限が同じになることよりも、同じ人数で処理できる情報量と技術作業量が大きく増えることです。
参考・参照元
- Anthropic「Detecting and countering misuse of AI: September 2026」
Anthropic Threat Intelligence Report September 2026 - Microsoft Threat Intelligence「CaptiveCrunch: Midnight Blizzard targets travelers worldwide for malware delivery and credential theft」
Microsoft Security Blog — CaptiveCrunch - 柩のノート「Anthropic脅威情報レポート2026年9月版を読み解く」
Anthropic脅威情報レポート2026年9月版を読み解く - 柩のノート「AIサイバー攻撃の民主化は迫るのか――『あと1年』警告を読む」
AIサイバー攻撃の民主化は迫るのか
