AI ハッカーの行動を分析：低スキルでありながら 14社を侵害できた理由は？

Low-skilled attacker used Claude, Codex to breach 14 companies

2026/06/17 HelpNetSecurity — 長年にわたり研究者たちが警告してきたのは、サイバー攻撃で必要とされるスキルを、AI エージェントが引き下げる可能性である。そして、OALABS (Open Analysis) の研究者による最近のレポートは、それを裏付けるものとなっている。Anthropic Claude Code／OpenAI Codex エージェントをデプロイしていた攻撃者のサーバを、研究者たちが侵害した後に、1,000 件を超えるエージェント・セッションを復元して分析した。そこで明らかにされたのは、エージェントのガードレールの大半を攻撃者が容易にバイパスした様子と、きわめて少ない知識と作業で侵害を達成していたことだった。

研究者たちは、「多くの場合において、攻撃者は曖昧で低スキルなプロンプトを与えるだけで、Claude に不足部分を補わせていた。具体的な指示と、そこから得られた結果は、公開サービスの調査／潜在的な脆弱性の特定／エクスプロイト・コードの作成／アクセスの検証／データ収集などである」と述べている。

さらに彼らは、「攻撃者は、熟練したオペレーターである必要はなかった。必要だったのは、プロンプトに対する適切なフレーミングだけだった。エージェントは、攻撃者に欠けていたと思われる、構造化と技術的な側面の多くを提供していた」と指摘している。

攻撃者の行動を分析した

分析対象となるセッションを復元できたのは、攻撃者側が運用セキュリティに失敗していたからだと、研究者たちは説明している。

攻撃者が犯した間違いは、自身で管理するインフラ上でのみ AI エージェントを実行するのではなく、他人のサーバへとコピーしていた点にある。侵入を発見したサーバの所有者が、攻撃者の作業ディレクトリ全体をダウンロードし、研究者に共有したことで詳細が分析されることになった。

研究者たちは、「ホスト上のローカルにエージェントが存在していたことで、攻撃者の完全なセッションログを復元できた。それで得られたのは、プロンプト／使用されたツール／LLM の内部モノローグ／セッション中に記録されたポリシー違反などである」と述べている。

セッションを分析した結果、以下のことが判明した。

• Claude エージェントはインストールされたものではなく、ホストへコピーされたものであった。また、そのインスタンスは、以前において他のソフトウェア開発者に属していた。
• 攻撃者の作業ディレクトリには、盗まれた別の Claude インスタンスも含まれており、7-Zip フォルダにアーカイブされた。それが示すのは、他人の AI エージェント・インストールを乗っ取って再利用することが、攻撃者の通常の運用形態だったことである。
• 攻撃者の常套手段は、認可されたレッドチーム演習やサイバーセキュリティ研究に従事していると主張することだった。それにより、ハッキング要求の実行をためらうエージェントの制限を回避していた。
• 攻撃者はエージェントを使い、標的システム上の悪用可能なサービスを特定していった。そして、発見された脆弱性に対してカスタム・エクスプロイトを構築して実行し、データと認証情報を流出させていた。

プロンプト履歴が示すのは、ハッキング活動の大半が Claude エージェントを通じて進められていたことである。攻撃者は、“recon this” (それを調べろ) といった曖昧な指示を出し、Claude に自律的にリクエストを実行させることを好んでいた。

研究者たちは、「侵害に成功したターゲットごとに、Claude が作成したのは、アクセスを取得した手法を詳述する “PENTEST-REPORT” である。さらに重要な点として、収集されたデータについて、収益化の見積もりを金額ベースで提示していた」と述べている。

さらに彼らは、「Claude と Codex の双方は、この段階でポリシー違反ブロックの大半を発動していた。その一方で、盗まれたデータの収益化が、正当なレッドチーム演習の目的に該当しないことを、多くのケースで正しく特定していた。しかし、最終的に攻撃者は、被害者に対する恐喝／アクセスとデータの販売／ビジネスメール詐欺 (BEC)／資金の窃取などを含む、推奨戦略の一覧を入手していた」と指摘している。

収集されたセッションに記録されていたのは、少なくとも 14 社に対する侵害である。しかし、攻撃者が、盗み出したデータの収益化や資金の窃取に成功したことを確認できる情報は、ログ内には存在しなかった。

前述のとおり、攻撃者の未熟さは、運用セキュリティ上の失敗にも表れていた。ある時点で攻撃者は、自身の履歴書の編集を手伝うよう、Claude に依頼していた。その履歴書には、氏名／所在地／学歴／LinkedIn プロファイルが含まれていた。

その後にホストの 1 つが侵害された可能性を調査した攻撃者は、不用意にも自宅 IP アドレスをエージェントに確認させていた。研究者たちは、この情報と他の証拠をベースに、この攻撃者はエチオピアのアディスアベバを拠点とする青年だと推定している。

研究と犯罪の境界線は AI には見えにくい

1,000 件を超えるセッション全体で、Claude が出力したポリシー違反はわずか 9 件であり、Codex は 1 件のみだった。そして多くの場合、攻撃者はリクエストを言い換えることで、それらを回避できていた。

問題は、ここでガードレールをバイパスしたフレーミングにある。つまり、このインシデントで悪用された、”認可されたレッドチーム契約” や “サイバーセキュリティ研究” は、何千人もの正当なセキュリティ専門家が日々使用しているフレーミングでもある。そして、正当と悪意の間に線を引き、信頼できる境界を設けることは、解決不能な問題になると予測できる。

研究者たちは、より広範な拒否により LLM の能力を制限することは、良い解決策ではないと考えている。なぜなら、それにより、防御側に対して大きな被害が生じるからである。それに対して、攻撃者側の解決策は容易である。より古いモデルや、制限の緩い非フロンティア・モデルに移行すれば良いからである。

訳者後書：今回の問題の背景にあるのは、最先端の AI モデルであっても、正当な診断調査と悪意の攻撃行為の言葉の違いを正確に区別することの難しさです。それにより、高度な専門知識を持たない人物であっても、曖昧な指示を与えるだけで制限 (ガードレール) を潜り抜けてしまいます。結果として、公開サービスの探索から侵入手順の検証、データの窃取までをツールに代行させて複数の組織に深刻な侵害を招くリスクが生じてしまいます。対抗策としては、外部システムの拒否設定だけに依存せず、機密情報を扱う環境におけるプロセス起動を厳格に縛り、不審な履歴に対する継続的な監視が大切になります。よろしければ、Prompt Injection での検索結果も、ご参照ください。