Anthropicが2026年9月10日、最新の脅威情報レポート「Detecting and countering misuse of AI: September 2026」を公開しました。
Anthropicの脅威情報レポートは、Claudeが現実の世界でどのように悪用されているのかを、同社が実際に検知・調査した事例からまとめたものです。将来起こり得る危険だけを論じる資料ではなく、すでに起きている利用実態を扱っています。
今回取り上げられているのは、国家と関係するとみられる組織による監視、サイバー攻撃、政治的な影響工作、通常兵器の開発、生物学研究のデュアルユース、詐欺、そして他社AIモデルを強化するための不正な蒸留です。
Anthropicによると、調査対象は2025年12月から2026年8月までに同社が検知・阻止した活動で、7つの分野に分けられています。
ただし、これはClaude利用全体を代表する統計ではありません。Anthropic自身が、掲載しているのは一般的な悪用事例ではなく、これまで確認した中でも特に注目すべきもの、新しい傾向を示すものだと説明しています。
その前提で読んでも、AIの使われ方がかなり変わってきたことがわかります。
AIが「答える」だけではなくなってきた
サイバー攻撃の章には「From assistant to orchestrator」という表現が使われています。
これまで生成AIの悪用というと、マルウェアのコードを書かせたり、フィッシングメールを作らせたりする姿が想像されがちでした。
今回報告されているのは、そこから一段進んだ使い方です。
AIが偵察、情報収集、コード作成、分析など、攻撃工程の複数部分にまたがって利用されています。
Anthropicは、AIによって攻撃者の能力がどの程度高まったのかを「uplift」という考え方で整理しています。見るのは、速度、規模、そしてAIなしでは難しかった作業まで実行できるようになったかどうかです。
AIの危険性を「どんな質問に答えられるか」だけで評価すると、この変化を見落とします。
コードを書き、実行結果を読み、次の処理を判断し、さらに別の作業へつなぐ。エージェント型AIでは、個々の回答よりも一連の作業を組み立てられること自体が能力になります。
国家監視でClaudeが開発チームの一部になった
監視活動の章では、中国、イラン、西アフリカなどに関連する国家系組織や請負業者、商用スパイウェア事業者によるClaudeの利用が報告されています。
中でも規模が大きいのが、マリの国家情報機関向けに構築された「Lakana 360」という監視システムです。
Anthropicによると、バマコを拠点とする個人コンサルタントとみられる人物が、Claudeを主要な開発要員として利用していました。
対象となるのは、マリ国内3社の携帯電話事業者が抱える約2,500万枚のSIMです。通話記録やSMS、音声通信を収集し、特定の電話番号について情報ファイルを作成する機能などが組み込まれていました。
Claudeは、集めたデータを要約する用途にとどまりません。
システムの設計やソフトウェア開発そのものに使われています。
そして、この事例にはもう一つ厄介な点があります。
Anthropicは関連アカウントを停止しましたが、Lakana 360は現地環境へオンプレミスで導入され、ローカルモデルを使って動作する仕組みでした。Anthropic自身も、アカウント停止によって開発活動は妨げられたものの、すでに展開されたシステムそのものには影響しなかったと説明しています。
AI企業がサービスへのアクセスを遮断できても、AIを使って作られたソフトウェアやインフラが外部で稼働し始めれば、その後まで制御できるとは限らないわけです。
中国に関連する事例では、Claude Codeを利用して政治的に敏感な出来事を監視する仕組みや、政府の監視データベースを扱うワークフローが作られていました。
イランに関連する事例では、ユーザーの身元を収集するFirefox拡張機能や、電話番号から個人情報を特定するツールなどの開発も確認されています。
生成AIによって少人数でも大規模システムを開発できる利点は、企業だけが受けるものではありません。監視を行う組織の開発能力も同じように底上げされます。
通常兵器の開発工程にもClaudeが入っていた
今回、独立した章として扱われているのが通常兵器です。
Anthropicは、中国に関連する3件、ロシアに関連する2件、イエメンに関連する1件、合計6件を紹介しています。うち4件では兵器そのものに関係するソフトウェア開発にClaudeが使われ、残る2件では調達や情報収集に利用されていました。
対象には、誘導ロケット、魚雷迎撃システム、ドローンスウォーム、電子戦や防空網制圧に関係するソフトウェアなどが含まれます。
特に目を引くのが、イエメンを拠点とするグループの誘導ロケット開発です。
関係者はClaudeを使って誘導制御ソフトウェアを開発し、実際にロケットのフィールドテストまで行っていました。
Anthropicは、実戦配備できる装置が完成した証拠は確認していません。試験は失敗したとみられ、関係者はその数時間後にClaudeへ戻り、失敗原因を調べています。
これらのケースでは、利用者側がもともと兵器や関連ハードウェアについて一定の知識と設備を持っていました。
Claudeの役割は、ソフトウェア設計、シミュレーション、文書作成、評価などを速めることです。
AIが兵器をゼロから生み出したというより、既存の開発チームがAIによって作業時間や必要人員を圧縮している、と見るほうが実態に近いでしょう。
安全対策の回避方法も確認されています。
利用者は用途を伏せ、作業を複数のセッションに分割していました。一つひとつの会話だけを見ると、兵器開発の全体像が見えにくくなります。
Anthropicの防護策は多数の要求を拒否しましたが、すべてを止めることはできませんでした。
生物リスクで難しいのは「何を聞いたか」だけでは判断できないこと
生物学的悪用について、Anthropicは最先端AIモデルが抱える深刻なリスクとして扱っています。
今回のレポートでは、Claudeの利用が生物兵器開発を支援する可能性があると判断された5件のケースが紹介されています。
一つは、チクングニアウイルスの機能獲得研究に関連する研究申請です。
ほかにも、高病原性鳥インフルエンザの哺乳類への適応、オルソポックスウイルスの免疫回避、毒性ペプチド、毒素の計算機上での改変などに関する利用が確認されています。
ここで問題になるのが、生命科学特有のデュアルユースです。
病原体がどのように変化するのかを研究することは、ワクチンや治療薬の開発、感染症の監視にも役立ちます。同じ知識が、病原体をより危険にする研究にも利用できます。
そのため、会話内容だけを見て研究者の目的を判断するのは難しくなります。
Anthropicも、今回の5件について研究者に人を害する意図があったとは断定していません。
むしろ今回の事例が示しているのは、高度な科学研究までAIが支援できるようになるほど、質問単位の安全分類だけでは対応しにくくなることです。
利用者の所属、アクセス経路、継続的な利用状況など、会話以外の情報も含めて判断する必要が出てきます。
30日間の調査で見つかった約35件の研究活動
生物学の章には、もう一つ興味深い調査があります。
Anthropicは、敵対的な国家機関と関連する活動について30日分を調査し、約35件の異なる研究活動を確認しました。
その多くは通常の民間科学研究です。
一方で、一部にはデュアルユース上の懸念を持つ研究が含まれていました。
この数字が示しているのは、生物兵器研究が35件見つかったということではなく、国家と関係する研究者がすでに幅広い生命科学研究にAIを利用しているという実態です。
その中から危険な利用だけを切り分けることが、今後さらに難しくなる可能性があります。
プロパガンダは約9,000本の記事を生成した
影響工作でも、AIの使い方は単純な文章作成から広がっています。
Anthropicが確認したあるネットワークでは、およそ70の偽ニュースサイトが運営され、Claudeを利用した自動コンテンツ生成システムが動いていました。
公開された記事は少なくとも8,913本。使用された言語は約20です。
実在する報道記事を政治的な方向へ書き換えたり、同じニュースを対象国によって異なる政治的立場から加工したりしていました。
架空の記者名も用意され、それぞれのサイトが独立した地域メディアのように見える構成になっていました。
一方で、規模と影響力は分けて考える必要があります。
Anthropicは、このネットワークの多くの記事について、実際の人間から大きな反応を得た形跡は確認できなかったとしています。
影響工作の広がりを評価するBreakout Scaleではカテゴリー2でした。
約9,000本の記事を作れるほど自動化されていても、それだけで世論を動かせるわけではありません。ただ、人間だけでは難しかった量のコンテンツを少人数で運営できるようになった点は変わりません。
他社AIがClaudeを使って自分のモデルを強化する
今回のレポートで、もう一つ大きな章になっているのが不正な蒸留です。
蒸留とは、高性能なモデルを教師として使い、その出力を別のモデルの訓練に利用する方法です。
一般的な機械学習技術ですが、Anthropicが問題視しているのは、アクセス制限や利用規約を回避し、Claudeの能力を大規模に吸い上げる行為です。
Anthropicは2026年に、中国を拠点とする7つのAI研究組織による不正蒸留キャンペーンを確認したと報告しています。
Alibabaに帰属するとされる活動では、2026年5月から7月にかけて1億5,100万件を超えるやり取りが確認されました。ピーク時には1日約300万件、3,500以上の不正アカウントからリクエストが送られていました。
Moonshot AIの事例では、Kimiへ送られた顧客リクエストの一部が、Kimi自身で処理される代わりにClaudeへ密かに転送されていました。Claudeの回答はそのままユーザーへ表示され、利用者はKimiモデルから回答を受け取っていると考えていました。
ある10日間だけで、Anthropicへ中継された顧客リクエストは約30万件。5,380個の不正アカウントからなるプロキシネットワークが使われ、その多くはシンガポールや日本からのアクセスに見えるようになっていました。
さらにMoonshotは、中継したやり取りの少なくとも一部を保存し、Claudeの推論過程を抽出してモデル訓練に利用するパイプラインを構築していたとAnthropicは報告しています。
なおAnthropicは、Moonshotが顧客に対して、リクエストがAnthropicへ転送され第三者に渡ることを別途通知していたかどうかまでは確認できていないとしています。
DeepSeekでも似た仕組みが確認されています。
Anthropicによると、DeepSeekは2026年7月の14日間だけで1,210万件を超えるやり取りをClaudeへ中継していました。
その中には、ロシア国防省に関連する政府機関のデータを扱っていたIT担当者のリクエストが含まれ、ロシア政府のデータベースへアクセスできる有効な認証情報までClaude側へ送られていました。
また、中国のテクノロジー企業の内部文書や、中国の公安当局向けケース管理システムを開発する技術者のリクエストもDeepSeekからClaudeへ転送されていたとAnthropicは報告しています。
これはAI企業同士のモデル競争だけの問題ではありません。
利用者があるAIサービスへ入力したデータが、本人の認識しないところで別企業のモデルへ渡る可能性があります。
Anthropicは、DeepSeek、Xiaomi、Moonshotが自社モデルと利用者との会話をClaudeへ送り、その応答を蒸留用の学習データとして利用していたとしています。転送された情報には氏名、メールアドレス、企業データなどの機密情報も含まれていました。
生成AIを業務で利用するなら、画面上に表示されているサービス名だけでなく、実際にデータがどこで処理されるのかという視点も必要になってきます。
AI悪用の変化は「能力」より「使われ方」に表れている
今回のレポートには、国家監視、兵器開発、生物研究、プロパガンダ、不正蒸留など、かなり異なる事例が並んでいます。
共通しているのは、AIが現実の作業工程へ深く組み込まれていることです。
正規の利用者がClaudeやChatGPTでコードを書き、資料を作り、分析を自動化しているのと同じように、悪用する側もAIで作業量や必要人員を減らしています。
この段階まで進むと、危険な質問を拒否するだけでは対応が難しくなります。
用途を隠したコード開発、複数セッションへの分割、正当な研究と危険な研究が重なる生命科学、数千の不正アカウントやプロキシを使う蒸留。防御側が見なければならない範囲そのものが広がっています。
マリの監視事例は、その限界をかなりわかりやすく示しています。
Anthropicがアカウントを停止できても、AIを使って完成したシステムがすでに外部で稼働していれば、そのシステムまで消えるわけではありません。
AI企業の安全対策は、モデルへのアクセスを制御するところまでは届きます。その能力を使って現実世界に作られたものを、どこまで制御できるのか。
2026年9月版の脅威情報レポートを読むと、生成AIの安全性を考える対象が、モデルの回答内容だけでは足りなくなっていることが見えてきます。
FAQ
Anthropicの脅威情報レポートとは何ですか？
AnthropicのThreat Intelligenceチームが、Claudeの現実世界での悪用事例を調査し、その手法や傾向を公開しているレポートです。将来のAIリスクだけを論じるものではなく、Anthropicが実際に検知・阻止した活動がケーススタディとして掲載されています。
今回のレポートはClaudeの悪用全体を示していますか？
いいえ。Anthropicは、掲載したケースについて典型的な悪用を示すものではなく、特に注目すべきものや新規性の高い活動を選んだと説明しています。
生物学関連の5件は、生物兵器開発だったのですか？
Anthropicは、Claudeの利用が生物兵器開発を支援する可能性がある5件を紹介していますが、研究者に危害を加える意図があったとは断定していません。正当な生命科学研究と危険な用途に同じ技術や知識が利用され得るデュアルユースが、安全対策上の大きな課題になっています。
Anthropicがアカウントを停止すれば悪用は止まるのでしょうか？
必ずしも止まりません。マリの監視システムでは、Anthropicがアカウントを停止して開発活動を妨げても、すでに現地へ展開されたシステムそのものには影響しませんでした。AIへのアクセス停止と、AIを使って作られた外部システムの停止は別の問題です。
参考・参照元
Anthropic「Detecting and countering misuse of AI: September 2026」
https://www.anthropic.com/threat-intelligence-report-september-2026
Anthropic「Threat Intelligence」
https://www.anthropic.com/threat-intelligence
コメント