-
Analyst's Choice
Cyber Intelligence
フィッシング
GmailとMS 365の利用者は注意を：フィッシングキット「Tycoon 2FA」の概要と対策
Rory
2024.04.16
-
Analyst's Choice
AI
Cyber Intelligence
OSINT
DarkGPT – ChatGPT-4を活用した、流出データベース検出のためのOSINTツール
Rory
2024.04.15
-
Analyst's Choice
Cyber Intelligence
GitHub
Intelligence
脅威アクターがGitHubを不正な目的で悪用するケースが増加
Rory
2024.02.07
目次
[開く][閉じる]アンソロピックが社内評価モデルのインターネット接続を切断へ、AIエージェントの確実な制御難しく
アンソロピック（Anthropic）は10月9日、同社のモデルが米国政府機関運営のWebサイトを含むインターネット上の複数サイトを悪用したことを受け、すべてのモデル内部評価においてインターネットへのライブアクセスを停止する方針を公表。この措置は、同社がエージェントを確実に監視・制御できると確信できるまで継続される見込みだという。
この措置のきっかけとなったインシデントの例としてアンソロピックが挙げたものには、以下が含まれる。
- 脆弱性悪用：科学的な分析を実行するタスクを課されたClaude Mythos Previewは、分析を行うために必要な公開ツールへのアクセスを試みるもエラーを返されたため、タスクを完了するための別の方法を探索。同ツールをホストしていたある大学のサーバー上で、要求されたファイルを何でも返すスクリプトを発見した。Claudeはそのスクリプトを利用してスクリプト自身のコードを含むファイルをサーバーからコピーし、コード内で見つかったコマンドインジェクションの脆弱性を使って計算を実行した。
- 実在するWebサイト上での機微なフォーム送信：ランダムに選択されたWebページ上でサンプルタスクを生成・実行するというタスクを課されたClaude Haiku 4.5が、架空の殺人事件に関する情報を作り上げ、フィラデルフィア警察に提供。なおこの情報はスパムに分類され、捜査のために転送されている。
- ペイウォール等のアクセス制限の回避：アンソロピックの研究者がある統計プロジェクトでClaude Mythos 5を使用した際、ある州の政府機関から公開データを取得する必要があった。このデータは有償で一般公開されていたが、Claudeはその公開ダッシュボードがすべての訪問者にアクセストークンを発行していることを学習し、アクセストークンをリクエストしてそれを利用することで、料金を支払うことなくデータベースにクエリを実行した。
- URL短縮サービスの利用によるフェッチツール制限の回避：アンソロピックのフェッチツールの一部は、大規模なデータ抽出などを防ぐため、Claudeがリクエスト可能なURLの長さに制限を課している。しかし、Claude Opus 5やClaude Mythos 5を含む複数のモデルが、無料のURL短縮サービスを使用してこの制限を回避していた。
アンソロピックはこれらの問題を、7月に開始されたレビューのなかで発見。過去に開示された同社モデルによる外部システムの侵害事例などと比べればアラインメントおよびセキュリティ慣習の観点での深刻度は「はるかに低い」としつつも、すべての内部性能評価に関してインターネットへのライブアクセスを停止する方針を示した。加えて、こうした行動を検知・ブロックするためのツールを構築したことも明かしている。
モデルがこうした行動を取ったのはトレーニング環境に欠陥があったためだとアンソロピックは説明。これらの欠陥により、モデルはループホールや制限回避手法を発見すれば報酬が与えられると信じ込み、「報酬ハッキング（リワードハッキング）」に及んだとの見解を示した。
ロシア語話者アクターCyberXero、Claude Code悪用し初期アクセス獲得キャンペーンを実施
The Hacker News – Oct 12, 2026
Claude Codeを活用し、世界各地のWordPressサイトやEコマースプラットフォーム、ウクライナの重要インフラ組織などを標的とする攻撃キャンペーンについて、SOCRadarが報告。このキャンペーンには、金銭的動機を持つロシア語話者の初期アクセスブローカー「CyberXero」が関与しているものとみられるという。
CyberXeroは、遅くとも2026年7月から活動しているとされるアクター。今回発見された現在も進行中のキャンペーンでは、Cobalt Strikeなどの商用オフェンシブツールをAIのオーケストレーションレイヤーと組み合わせて活用していたとされる。SOCRadarは同アクターのオペレーションについて、以下2つのパイプを同時に運用するものと説明している。
- WordPressサイトとEコマースプラットフォームに対する世界的な自動化されたキャンペーン。露出したRedisサーバーの悪用も観測されている。ポーランド、中国、パキスタンが標的となり、アクセスや決済データの取得が試みられた。
- ウクライナのエネルギー・重要インフラに対する標的型の手動キャンペーン。詳細な偵察行為に重点が置かれる。CyberXeroは、62万8,000人以上のウクライナ人の確認済みデータを有しているとされる。
グローバルキャンペーンの方は、wp2shell（CVE-2026-63030、CVE-2026-60137）やCVE-2026-4815といった既知の脆弱性を狙ってWordPressサイトを掌握しようと試みるもの。自動化された攻撃の1回の実行で、4,708件のターゲットがスキャンされていたことがわかっている。SOCRadarによれば、429件のWordPress管理パネルへのアクセスが取得され、その後61秒間以内に32件のWebシェルが展開されたことが確認されているという。
CyberXeroはこれらの攻撃のライフサイクルの2つのステージで、AIを展開していたとされる。
- メインのLinuxワークステーション上で最大51件のClaude Codeエージェントを使用し、スキャン、エクスプロイトのチェーン実行、偵察、ポストエクスプロイト活動などを実施。
- オープンソースのセルフホスト型AIエージェントPentAGIとCobalt Strikeを、あるAIプロバイダーのAPIを通じて接続し、ペイロードの生成やペンテストの実行に使用。
AIのセーフガードを回避するためには、コンテキストエンジニアリングおよびセッションリセットの手法が使われていたことが確認されており、これには「自分自身のインフラでの、承認済みのペンテスト」の実行を命じるものなどがあったとされる。
自動キャンペーンの方は機会主義的かつグローバルに展開されており、WordPressやMagento、PrestaShop、ネット接続されたRedisなどを使用している組織には、不正なWordPress管理者アカウントやWSO Webシェル、Redisホスト上の~/.ssh/authorized_keysにおける予期せぬエントリの有無をチェックすることなどが推奨される。
