国産モデルのつもりで入れた監視映像が、米国に届いていた — Anthropic脅威報告

Anthropic が2026年9月に公表した脅威インテリジェンス報告は、 2025年12月から2026年8月にかけて遮断した Claude の悪用事例をまとめたものである^[1]。 報告はサイバー攻撃や世論工作に加え、監視や通常兵器の開発も扱い、 自律ドローン群の開発事例も含む^[2]。 本稿がとくにサイバー事例を取り上げるのは、報告が記録しているのが「エージェントにどこまで自律を許すと何が起きるか」の実測データだからだ。 フィジカルAIはいま、同じ自律性をアクチュエータに渡そうとしている。 キーボードで先に起きたことは、読んでおく価値がある。 約50組織を攻撃した作戦の担い手が就職活動中の学部生2名だったことも、 国産モデルに入れたつもりの監視カメラ映像が米国の事業者に届いていたことも、 154ページの報告本体に書いてある^[2]。

何が記録されたか#

すべて報告の記載値^[1]。

報告は2025年12月〜2026年8月に遮断した事例を、GTG番号を振って列挙している^[1]。 本稿に関係する範囲だけ拾う。

自律性は「速度」ではなく「持続」で効いた#

目を引くのは3時間や4日といった速さだが、フィジカルAIにとって重要なのはそこではない。 報告が繰り返し記録しているのは人間の監督が薄い状態で回り続けたことである^[1]。

GTG-20006 は、実装が検知されるたびに Claude に検知対象を特定させ、改変し、再配置していた^[1]。 これは「速い攻撃」ではなく閉じたループである。防御側が手を打つと、 相手側がその手に応じて自分を作り直す。人間が都度指示を出していたら成立しない速さで、 しかも人間が寝ている間も止まらない。

GTG-10007 は複数セッションをまたいで作戦の記憶を保ち、偵察を並列に走らせる 「エージェントの群れ」を使っていた^[1]。 長期記憶と並列実行——ロボット基盤モデルの研究が、まさにいま手に入れようとしている2つである。

報告の総括はこう書いている。「AIは、潤沢な資源を持つ国家支援の作戦と個人の攻撃者とを隔てていた、 労力と道具立ての差を消し去った」^[1]。 フィジカルAI側に置き換えると、これは 「大企業のロボット部隊と個人の差が縮む」という歓迎すべき話であると同時に、 「悪意ある個人が扱える物理的な力も同じだけ増える」という話になる。

攻撃していたのは、就職活動中の学部生だった#

報告のなかで最も示唆的なのは GTG-10007 の素性である。 「exploit foundry(脆弱性の鋳造所)」と名付けられたこの作戦は、約50組織を標的にし、ある1か月で十数件のゼロデイ候補を出した^[1]。 教育系企業から数百MBの学生個人情報、東南アジアの政府機関から市民の氏名・電話番号・住所、 主要なセキュリティ製品のゼロデイを自前のラボで検証——という規模である^[1]。

この担い手として報告が記しているのは、湖南省の大学の「計算機・通信工学部」に在籍する学部生2名だった^[1]。 うち1名は中国のセキュリティ企業 Sangfor でのインターン経験があり、 別の企業 QiAnXin の攻撃的サイバー作戦の職に応募して面接を受けている最中だった^[1]。 所在は長沙とみられる、と報告は書いている^[1]。

それでもこの一件が効くのは、報告の総括「AIは、潤沢な資源を持つ国家支援の作戦と個人の攻撃者とを隔てていた、 労力と道具立ての差を消し去った」^[1]に、具体的な顔がついているからである。 かつて50組織への継続的な侵入とゼロデイの量産には、資金と人員を抱えた組織が要った。 報告が記録しているのは、それを学部生2名が、就職活動と並行してやっていたという事実だ。 差を埋めたのは才能ではなく、24時間動く自律ワークフローである^[1]。

フィジカルAI側に引き写すと、これは「ロボットの高度な制御は大企業の専有物ではなくなる」 という歓迎すべき話と、「同じ手が悪意ある個人にも渡る」という話が、同じ一つの現象の裏表であることを示している。 本紙はオープンソースのロボット学習基盤を繰り返し扱ってきたが、 参入障壁が下がるという評価は、この裏側とセットで書かれるべきものだった。

APIキーは「計算資源」ではなく「他人名義の実行権」#

報告でフィジカルAIに最も直接効くのは GTG-50020 の事例である。 AI事業者そのものを狙い、約30社を約4日で攻撃した^[1]。 狙いは未公開モデルへの到達で、それ自体は達成されていない^[1]。

報告は、盗まれたAPIキーが攻撃者にとって3つの価値を同時に持つと整理している^[1]。

3つめが効く。クラウドのVLAに推論を投げる設計では、APIキーは 「計算資源を買う権利」ではなく「その機体に向けて自社名義で指令を出す権利」に近づく。 テレオペレーションの中継や動作生成をクラウドに置けば置くほど、鍵の重みは増す。 監査ログ上は正規の操作に見えるので、事後の切り分けも難しくなる。

報告はさらに、Claude の格安提供者を装って通信を中継し認証情報を収穫していた 事例(GTG-50021)にも触れている^[1]。 「安いAPI中継」を経路に挟む構成は、ロボット業界でもコスト削減の文脈で出てくる話である。

横流しされたのは、監視カメラの映像だった#

報告本体で最も具体的な事故は、モデルの盗用そのものではなくその副産物のほうである^[2]。

Anthropic は、Kimi を作る Moonshot AI が顧客の要求を Kimi で処理せず、黙って Claude に転送し、 Claude の応答を自社の出力として表示していたと記している^[2]。 ある10日間で 約30万件の顧客要求が Anthropic に中継され、 その大半は Opus に回されていた。経路は5,380個の不正アカウントによる代理接続網で、 その多くはシンガポールと日本にあるように見えたという^[2]。 Moonshot はさらに、その往復の一部を保存し、 Claude の思考過程(CoT)を抽出して自社モデルの学習に使う仕組みを作っていた^[2]。

問題はここからである。転送された要求のなかに、Moonshot の顧客の機微な情報が含まれていた^[2]。 報告はその例を2つ挙げている。

Anthropic は、Moonshot が顧客に転送の事実を知らせていたかどうかは分からないとしている^[2]。 つまり利用者から見れば、国産モデルに入れたつもりの監視映像と認証情報が、 本人の知らないところで米国の事業者に届いていたことになる。

本紙の見方#

この報告をロボット業界が読むべき理由は、攻撃手法そのものではない。自律エージェントを実運用に置いたときの挙動が、具体的な事例としてまとめられた点にある。 研究室のベンチマークではなく、止めようとする相手がいる環境で、 作戦の状態をセッション間で保持し、人が不在の間も処理を続ける仕組みの記録である。 作戦の実施期間と、単一エージェントの連続稼働時間は区別する必要がある。 フィジカルAIの議論は「タスク成功率が何%か」に集中しがちだが、 この報告が示しているのは失敗しても止まらない系がどう振る舞うかのほうだ。

実装側への含意は2つに絞れる。第一に、停止条件を人間の監視に依存させないこと。 GTG-20006 が示したのは、検知が「相手の再構築の引き金」になりうるということである。 ロボットで言えば、異常検知が自動復旧とつながっていると、 故障の原因を潰さないまま再起動を繰り返す系が簡単にできる。 第二に、APIキーを機体の操作権と同格に扱うこと。 鍵の失効・ローテーション・権限分離を、電源やE-Stopと同じ扱いにする。

本紙自身も対象である。本紙は記事の生成から公開までをほぼ自動化しており、 複数のLLM事業者とメール配信のAPIキーを常用している。 「他人名義の実行権」という整理は、そのまま自分に返ってくる話として読んだ。

なお、報告は各事例の活動を遮断し、得られた知見を安全策の強化に用い、 必要に応じて当局や業界の協力先へ情報を共有したと説明している。 検知の自動化やアカウント停止についても、個別事例で記載がある^[1]。 本稿はロボットに関係する2点だけを抜いており、マルウェアの詳細や世論工作の手口は扱っていない。 全体像は原典を参照されたい。

関連: 電池にムーアの法則はあるか — H2の3時間から次世代を見積もる