「フィルターなし」を謳うAIプラットフォーム「Kriminal」：サイバー犯罪への利用めぐる懸念

「フィルターなし」を謳うAIプラットフォーム「Kriminal」：サイバー犯罪への利用めぐる懸念

Dark Reading – August 20, 2026

「制限なし」を売りにする新たなAIプラットフォーム「Kriminal」について、MalwarebytesのThreatDownが報告。Kriminalの提供元企業は法に反する使用を公に禁じているものの、同製品がサイバー犯罪者に悪用される可能性が懸念されているという。

Kriminalは、月額12.99ドル〜99ドル（暗号資産払いのみ）のサブスクリプション形式で販売されるSaaS製品。シンプルなGoogle検索からアクセス可能な公式Webサイトによると、これまでに同AIプラットフォームには18,400件以上のメッセージが送信されており、アクティブユーザー数は2,300人いるとされる。また、ホームページには「フィルターなし。ガードレールなし」といった宣伝文句や、その他のAIであれば返答を拒むような質問にも返答可能である旨が記載されており、「質問の99％」に回答が返されたと記されている。

KriminalのWebサイトは、同プラットフォームがサイバー犯罪ツールであることを明示的に宣伝しているわけではない。一方で、以下のようなサイバー犯罪者に利用されてもおかしくない機能・特徴を有しているという。

• 「WRAITH」機能：「ソーシャルエンジニアリングおよびペルソナ作成」が可能な機能。最上位のサービスプランを利用しているユーザー向けに提供。
• 「ARCHITECT」エージェント：「オフェンシブセキュリティおよびエクスプロイトの専門家」を謳う機能。
• その他の特徴：規制なしで陰謀論に関する議論が可能、検閲なしの画像作成が可能、氏名や住所などの情報を対象としたOSINTスキャンが可能、暗号資産の追跡が可能

ThreatDownは、Kriminalを「不法AI市場における最も新しく最も人気なツールの1つ」と評価。ただし、Kriminalの利用規約ページには、このサービスが「研究、創作、および教育目的」のためのものであることが明記されており、「適用される地方、国内、または国際法に違反するいかなる方法でも本サービスを利用すること」を禁じている。また、未成年者を巻き込んだ違法な搾取コンテンツに対しては手動および自動による検出が行われることが明記されており、同社は、ユーザーがそのようなコンテンツを生成しようとする試みがあった場合、適切な当局に通報される可能性があるとも記している。

実際に、正当な目的でOSINTスキャンや暗号資産追跡、オフェンシブサイバーセキュリティテストなどが行われる場合もあり得る。しかし、「Criminal」とかけた「Kriminal」という製品名は言わずもがな、フィルターなし・ガードレールなしというマーケティング戦略は懸念を呼ぶものである上、運営会社の詳細はWebサイト上で確認できず、連絡先も共有されていない。

ThreatDownの分析によると、Kriminalのコンポーネントには同社専有のものが1つもなく、以下のようなサードパーティ製品に依存しているものとみられるという。

• Grok：主要な推論に利用
• Google Cloud、Cloudflare：ホスティングに利用
• アンソロピック（Anthropic）のClaude：長文コンテキストモデル層に利用
• OpenRouterでルーティングされたLlama：特定の専門的なタスクに利用
• Tavily：ライブ検索に利用
• NowPayments：暗号資産による決済に利用
• Cloudflare／Let’s Encrypt：DNSとTLSに利用

ThreatDownが指摘するように、たとえKriminalが本来の正当な目的とは異なるタスクにさまざまなモデルを使用していたとしても、各モデルは潜在的なサイバー犯罪の全体像のほんの一部しか把握できない。この点が、「この手口の強靭さの理由」だとThreatDownはコメント。例えばCloudflareはトラフィックを把握できるが、その目的までは把握できない。また同様にNowPaymentsは仮想通貨による支払いを把握できるが、何を購入したかは分からない。このように、Kriminalのスタックを構成する各ベンダーは自社製品のレイヤーしか把握できないため、全体像として見ると不法な行為が行われていたとしてもそれを認識することが困難になっているという。

ThreatDownの調査と分析結果が正しければ、Kriminalは、上記のような各AIプロバイダーに対して、コンプライアンスやポリシー上の問題を引き起こす可能性がある。しかし、実態を確かめるためには具体的な契約内容、APIの利用パターン、および関連する出力を精査する必要があることから、利用規約違反を立証するのは困難であると考えられるとのこと。