格安でClaudeが使えるとうたうサービスの中には、実際にはClaudeですらなく、利用者の認証情報を抜き取っていたものがありました。盗まれた鍵で動いた攻撃の請求と疑いは、鍵の持ち主のもとに届きます。Anthropicの最新レポートを通して読むと、正規の窓口を通らないAIの経路で、鍵と会話がどこへ運ばれていたのかが見えてきます。
Anthropicは2026年9月10日、脅威インテリジェンスレポートを公開し、2025年12月から2026年8月に阻止したClaudeの悪用事例を7つの領域にわたって報告した。盗まれたAIのAPIキーやセッショントークンは、転売、攻撃に使う計算資源、正規所有者への偽装の3つに使われているという。GTG-50020はAIベンダーの評価用サンドボックスから本番のAPIキーを奪い、同じ攻撃インフラを使った後続の作戦で約4日のうちに約30のAI企業を攻撃したが、未公開のClaudeモデルには到達できなかった。蒸留の章では、Moonshotが自社利用者の依頼をClaudeへ密かに転送し、10日間で約30万件を送っていたとしている。
From: 
Detecting and countering misuse of AI: September 2026
【編集部解説】
Anthropicが9月10日に公開した脅威インテリジェンスレポートは、140ページを超える分量で、サイバー攻撃から生物分野まで7つの領域を扱っています。多くの報道は、この区分に沿って国家系ハッカーや影響工作を取り上げるでしょう。ただ、通して読むと、章をまたいで何度も顔を出す存在があります。正規の窓口を通らないAIへのアクセス、つまり中継と再販のインフラです。
鍵は、戦利品であり、燃料であり、隠れ蓑でもある
サイバーの章でレポートは、盗まれたAIのAPIキーやセッショントークンが攻撃者に3つのものを同時にもたらすと整理しています。転売できる戦利品、他人の請求で動かせる計算資源、そして活動を正規の持ち主の仕業に見せかける隠れ蓑です。
実例も並びます。欧州の政党などを狙った活動家は、盗んだキーだけで1か月にわたり作戦を回していました。恐喝で知られるShinyHunters系の攻撃者は、侵入先でAIのキーを見つけると、自分たちの攻撃処理をそのキーへ切り替えています。
とくに象徴的なのがGTG-50020です。AIベンダーの自動評価用サンドボックスに悪意ある指示を注入し、そこに保管されていた本番のAPIキーを吐き出させました。同じ攻撃インフラを使った後続の作戦では、約4日で約30のAI企業を攻撃し、目標に掲げていた未公開のClaudeモデルへのアクセスを十数通りの経路で試みています。結果はすべて失敗で、Anthropic自身のシステムも侵害されていません。使われたキーは、いずれも顧客の環境から盗まれたものでした。
つまり、この章で繰り返し登場するのは、モデル企業の中枢ではなく、AIを組み込んで使う顧客側の環境から盗まれた鍵です。請求を受け、疑いの目を向けられるのも、キーの持ち主になります。
「格安」の向こう側で起きていること
レポートには、格安のClaudeアクセスをうたう再販業者も登場します。GTG-50021の場合、実際には安くもなければClaudeでもなく、利用者の通信は別のモデルへ流され、その間にAnthropicアカウントの認証情報が盗まれて他の再販業者へ売られていました。Claude Codeなどの人気ツールを装った偽のクライアントを配り、端末に残る認証情報を送らせ続ける手口も確認されています。
これはAnthropicだけが見ている景色ではありません。Palo Alto NetworksのUnit 42も8月、盗んだキーを「転送ステーション」と呼ばれる格安のプロキシ再販に組み込む手口を報告し、露出した認証情報が発覚までに100万ドル近い請求を生んだ例を挙げています。
会話ログという、もう一つの積み荷
同じ種類のインフラは、蒸留の章で別の顔を見せます。レポートによれば、中継業者の中には、利用者の同意なくClaudeとの会話を保存し、他のAIラボに販売していたものがありました。SenseTimeの学習パイプラインには、第三者のデータ業者から購入した会話記録が含まれていたとされています。
さらに踏み込んだ事例もあります。Moonshotは、自社モデルKimiへの利用者の依頼を密かにClaudeへ転送し、その応答をKimiの回答として表示していたとされ、10日間で約30万件が送られていました。DeepSeekも同様に利用者の依頼をClaudeへ転送し、Xiaomiは自社の利用者との会話記録をClaudeで再生して学習データを作っていたと記されています。転送された依頼には、企業の機密資料や、ロシアの政府系データベースの有効な認証情報まで含まれていました。
利用者の側から見れば、あるモデルを使っているつもりで、入力した資料が別の会社のモデルに渡り、学習用に蓄えられていたことになります。被害を受けるのはAnthropicだけではなく、中継の経路に乗った利用者自身です。なお、これらはAnthropicの主張であり、9月11日時点で確認できた範囲では、名指しされた各社から本レポートへの公式な反応は出ていません。中国政府は同種の指摘をこれまで繰り返し否定しています。
日本の名前が出てくる理由
Moonshotの事例には、日本の読者が引っかかる一文があります。使われていた5,380の不正アカウントの多くが、シンガポールと日本に所在しているように見えたというのです。
これはアカウントの所在地の見え方にとどまり、日本の企業や個人の関与を示すものではありません。ここからは私の読みですが、Claudeが正式に提供されている地域であること自体が、制限を回避したい側にとって出口の候補になるという構図がうかがえます。
変わったのは手口ではなく、値段
レポートは、サイバーの章で扱った作戦はいずれも、防御側が見たこともない新しい技術に頼っていたわけではないと明言しています。盗まれた認証情報、放置された脆弱性、フィッシング。変わったのは経済性で、AIが偵察から道具づくりまでを肩代わりすることで、1人の運用者が数十の被害者を並行して扱えるようになったと分析しています。自律性が上がっても被害の深刻さが自動的に増すわけではなく、狙う相手の選定や成果の換金には、いまも人間が深く関わっているとも付け加えています。
だからこそ、守りの基本は変わりません。レポートの勧告は明快で、AIのキーやエージェントの連携は本番環境の認証情報と同じ重みで扱い、アクセスは正規の経路でのみ購入するというものです。公開リポジトリ、アプリの配布ファイル、コンテナに埋め込まれたキーは、絶えず機械的に収集されています。サンドボックスやプロキシのように、AIの周りに自分たちで組んだ仕組みも攻撃面に含まれます。
AIを使う力は、どのモデルを選ぶかという問いから、どの経路でつなぎ、鍵をどう持つかという問いへ広がりつつあります。クラウドの認証情報がそうであったように、AIの鍵を丁寧に扱う作法が、これからの開発現場の当たり前として根づいていくはずです。
【関連記事】
米政府、蒸留対策で「応答を落とし、ユーザーには知らせるな」と勧告
9月8日に出た米NSA・CISA・FBIの共同勧告を読み解く記事。今回のレポートと重なる中国企業6社の名前が挙がっている。
Anthropic、AI悪用サイバー攻撃を1年分分析─MITRE ATT&CKの限界が浮き彫りに
凍結した832アカウントをATT&CKに対応づけた6月の分析。今回の事例報告とは異なり、統計的なアプローチをとっている。
CaptiveCrunch｜ホテルWi-Fi乗っ取り、帰属根拠はどこまで公開されたか
今回のレポートでGTG-20006の手口として言及された、ホテルWi-Fi乗っ取りに関するMicrosoftの報告を扱う。
マモラクSecret、Claude CodeのAPIキー漏洩を無償で防ぐ—MONO BRAINが公開
AIエージェントの作業中にAPIキーが漏れる経路と、それをファイル書き込みやコマンド実行の瞬間に止める仕組みを紹介している。
【編集部後記】
Unit 42の報告に、本文では触れなかった一文があります。転送ステーションの多くは、new-apiやone-apiといった、ごく少数のオープンソースの中継ソフトの上で動いているというのです。
複数のAIのAPIをひとつの窓口にまとめる発想そのものは、正規の開発でも役に立ちます。グレーな市場と自社の仕組みを分けるのは、使っているソフトではなく、その奥にある鍵の出どころです。自社のAIの呼び出し経路の先にあるキーを、誰がいつ発行したのか。いま即答できるでしょうか。
【用語解説】
脅威インテリジェンス
攻撃者の手口、使う基盤、狙う相手などの情報を集めて分析し、防御に役立てる活動である。Anthropicでは専門チームが自社モデルの悪用を調査している。
APIキー
ソフトウェアからAIなどのサービスを呼び出すときに使う認証用の文字列である。利用料はキーの持ち主に請求されるため、盗まれると他人の利用分まで支払うことになる。
セッショントークン
ログイン後の状態を保つために発行される認証情報である。盗まれると、パスワードを知らなくても本人になりすましてサービスを使われるおそれがある。
GTG（Generative Threat Group）
AIを悪用する攻撃者に対してAnthropicが付ける社内の識別名である。GTG-50020のように番号で区別される。
サンドボックス
外部から切り離された計算環境である。今回の事例では、AIベンダーが自動評価に使う環境に本番のAPIキーが置かれており、そこが狙われた。
プロキシ
利用者とサービスのあいだに入って通信を中継する仕組みである。中継する側は、通過する依頼や応答の中身を見たり保存したりできる。
転送ステーション
主要なAIモデルへのアクセスを正規価格より安く再販する中継サービスを指す。Unit 42によれば中国語圏のマーケットプレイスで多く宣伝され、盗まれたキーが使われる例がある。
蒸留（distillation）
高性能なモデルの出力を大量に集め、別のモデルの学習に使う手法である。Anthropicは、許可なく産業規模で能力を抜き取る行為を不正な蒸留と呼んでいる。
攻撃面
攻撃者が侵入や悪用の足がかりにできる箇所の総体である。レポートは、AIの周りに利用者が組んだサンドボックスやプロキシもこれに含まれるとしている。
ShinyHunters
2020年ごろから活動が確認されている金銭目的のサイバー犯罪集団である。大規模なデータ窃取と「支払わなければ公開する」という恐喝で知られる。
【参考リンク】
Anthropic（外部）
Claudeシリーズを開発する米国のAI企業。今回の脅威インテリジェンスレポートの発行元で、過去の脅威報告も公開している。
Supported countries and regions（Anthropic）（外部）
Claude.aiと商用APIを提供している国・地域を示す公式の一覧。日本とシンガポールはいずれも提供地域に含まれている。
Unit 42（Palo Alto Networks）（外部）
Palo Alto Networksの脅威インテリジェンス部門。AIのAPIキーを狙う「Token Jacking」の調査を公開している。
Kimi（Moonshot AI）（外部）
Moonshot AIが提供するAIアシスタントの公式サイト。レポートでは、利用者の依頼がClaudeへ転送されていたとされる。
【参考記事】
Token Jacking: Cybercriminals Could Be Stealing Your AI Resources（外部）
盗まれたAPIキーが転送ステーションへ流れる構図を解説し、発覚までに100万ドル近い請求が生じた対応事例を報告している。
Moonshot Secretly Routed User Requests Through Claude, Anthropic Says（外部）
Moonshotが約30万件の依頼をClaudeへ流し、5,380の不正アカウントの多くが日本とシンガポールにあるように見えたと報じる。
Anthropic details distillation campaigns from Alibaba, Moonshot AI, and DeepSeek（外部）
Alibabaの蒸留が5〜7月に1億5100万件、ピーク時は1日約300万件に達したとするレポートの数値を整理している。
Anthropic’s distillation battle turns to the dark web as China concerns swell（外部）
蒸留をめぐる攻防の広がりを伝える記事。Alibaba、DeepSeek、Moonshot、MiniMaxは取材に応じなかった。
