Anthropicは2026年9月10日、脅威インテリジェンスレポート「Detecting and countering misuse of AI: September 2026」を公開した。同社の脅威インテリジェンスチームが2025年12月から2026年8月にかけて検知・遮断したClaudeの悪用事例を報告するもので、対象はサイバー攻撃、情報操作、監視、通常兵器開発、生物兵器転用、詐欺、モデル蒸留(他社によるClaudeの能力の不正抽出)の7分野に及ぶ。
本稿では、7分野のうち一見無関係に見える2つの章——「Influence operations(情報操作)」と「Illicit distillation(不正蒸留)」——を横断して紹介する。両者は表面上、前者は政治的な偽情報工作、後者は企業間のモデル知的財産の窃取という別分野の問題に見える。しかし内実を読み解くと、いずれも「情報やサービスを実際に生成・処理している主体を隠し、受け手に偽の出所を信じ込ませる」という同一の機構で動いている。情報操作の章ではロシアやイランの工作員が国家の主張を独立した現地の声に偽装し、蒸留の章では中国のAI企業が自社モデルの回答として実際にはClaudeの出力を利用者に提示していた。前者が言説の出所を、後者がサービス提供主体そのものの出所を偽装している点で、両者は同根の現象である。
なお、本レポートはAnthropic自身が自社製品の誤用を開示する文書である点に留意が必要である。掲載されているのは同社が検知できた事例に限られ、検知網をすり抜けた活動の規模は不明であり、個々の指標や引用元も同社が選択的に開示したもので第三者検証を経ていない。
ロシア:中央アフリカ共和国工作とSputnikの編集部代行
「GTG-04001」は、中央アフリカ共和国(CAR)の首都バンギを拠点とするロシア語話者の工作員が運用していたアカウントである。この工作員は、ロシア国家連携型のFIMI(外国による情報操作・干渉)工作の制作基盤を担い、現地ラジオ局Radio Lengo Songo(周波数98.9)を通じて日々のコンテンツを制作し、RT、Sputnik Afrique、TASS、バンギのロシアハウス(Rossotrudnichestvo傘下の文化・情報拠点)と連携していた。コンテンツ作成時、工作員は親ロシア・反フランスの論点をClaudeに明示的に埋め込ませ、AI生成文特有の定型的な体裁を除去させることで合成テキストに見えないよう徹底していた。調査団体All Eyes On Wagnerの報道は、このラジオ局が2017年にワグネル・グループによって設立・資金提供されたことを既に明らかにしている。工作員は捏造コンテンツをこの局経由で国営放送局Radio Centrafriqueへ流し込む経路を設計し、見返りにRossiya Segodnya傘下SputnikProの外国人ジャーナリスト向け研修プログラムの放送枠を得ていた。表面上コンテンツの大半はCAR人ジャーナリストが書いたように見えるが、Anthropicはこの工作員を、2023年末以降ロシア対外情報庁(SVR)の統制下に入ったと評価されるアフリカ・コープ/ワグネルの影響工作部門「Politology」の現地メディア調整役として位置付けている。同工作はBreakout Scale(プラットフォーム間の拡散度合いを6段階で評価する業界標準指標)でカテゴリー4と評価された。工作員はClaudeで人事管理まで自動化し、CAR大統領と「ロシアおよびその駐留部隊」への忠誠を義務付ける雇用契約書や記者の評価基準を生成させ、記事の政治的傾向でスタッフの解雇まで提案させていた。ただしClaudeは、実在の個人を「民兵」と名指しして治安当局の措置を誘発させる最も攻撃的な要求には応じなかった。
関連する「GTG-24015」では、個人単位の工作員がClaudeを編集・報道制作デスクとして用い、国営メディアの配信網へ流し込んでいた4アカウントが摘発された。生成コンテンツはSputnik Moldova、RIA Novosti、Sputnik en Español、Sputnik Africa、RTの英語ニュースルームを通じて公表・放送された。元Sputnik Moldova編集長は、ルーマニア語・モルドバ語のニュースや野党のSNS投稿をClaudeでロシア語記事に変換し、複数のロシア・モルドバ系メディアで増幅することで同一主張が独立して確認されたかのように見せる「相互検証ループ」を作り、2025年9月28日のモルドバ議会選挙前にマイア・サンドゥ大統領への中傷情報も拡散させていた。ロシア国営メディア従業員は、通信社やSVR、国防省からの情報をもとに生放送用のティッカーやナレーション原稿を生成し、少なくとも1件は実際に放送された。閲覧数約2,000件のTelegram投稿からそのまま放送された原稿まで、到達度は様々だった。
イラン:国家プロパガンダ機関の「戦略部」化と実在活動家へのなりすまし
「GTG-34001」は、イラン国家に連なる3アカウントの摘発事例である。運営者らは自称「認知戦」計画のため、文化イスラム指導省傘下のイスラム文化コミュニケーション機構(ICCO)、ホラーサーン・ラザヴィー州のイスラム宣伝局(マシュハドの神学校拠点)、イスラム宣伝機構傘下のBina文化天文台という、名指しされた国家機関の要員としてClaudeを用いていた。各工作はキャンペーン計画、教義マニュアル、標的データベース、閣僚級の企画文書をClaudeに作らせており、本来フルスタッフの専門部局を要する規模だった。イラン国内からのアクセスは遮断されているため工作員はVPNと海外電話番号を使っていたが、会話の中で自らの所属・役職を繰り返し明かしており、これと機関ブランド入り文書のフッター、公開情報が各工作を特定機関に結び付けた。3工作はいずれもイラン国家の教義「ジハード・アル・タビーン(説明のジハード)」に活動を位置付け、ICCOの工作は9部構成の国際影響力ポートフォリオや最高指導者の葬儀計画一式を作成、マシュハドの司令室は「Manjanegh(投石機)」という複数州にまたがるコンテンツ工場を運営し、治安機関の公開情報を無関係な別人格経由で再構成してIRGC系列を含む国内100超のチャンネルで有料増幅していた。Bina文化天文台の部長級職員は、IRGC広報担当者本人の口調でメッセージを生成し、2026年の米・イスラエル・イラン戦争時にはCSIS、ブルッキングス研究所、RANDの名を騙って虚偽見解を帰属させ、迫害宗教少数派バハーイー教徒への対抗言説も展開していた。
「GTG-84006」では、反体制組織モジャヘディン・ハルグ機構(MEK)と政治部門・国民抵抗評議会(NCRI)に連なる分散型工作が摘発された。この工作は共有AIエージェントに実在活動家のTelegramアカウントを複製させ、ペルシャ語で「あなたは今この人物である」と指示して本人になりすまさせていた。工作員はClaudeにこの人物の過去投稿約8,400件を読み込ませて文体を模倣させ、本人のふりでイラン国内の連絡先とライブ会話を行わせ、相手はAIだと気づいていなかった。少なくとも4人の関与者がNCRI公式メディア組織の職員だと判明している。500超のSNSチャンネルをスクレイピングして個人プロファイルを構築し、約51,944件の会話ログから心理プロファイルを作成、NCRI議長マリアム・ラジャヴィの「10項目計画」を広めるためAI生成アバターにペルシャ語音声を付けて配信していた。運用面では「Viktor」という共有AIエージェント基盤が用いられ、各作業空間が禁止語リストや検知回避手法を記した長期記憶ファイルを保持することで、人間の介在なしにコンテンツ生産が続けられる体制が組まれていた。
商業的インフルエンス・アズ・ア・サービス
「GTG-84005」では、マレーシアを標的とする商業的選挙操作プラットフォームが摘発された。防御的な偽情報対策ツールを装っていたが、調査はイスタンブールの技術企業BBS Bilisim Teknolojileriを「軍事レベルのAI駆動型政治工作エコシステム」の販売元として特定している。プラットフォームは国勢調査・選挙データで有権者を選挙区単位でプロファイリングし、約1,000の偽X(旧Twitter)アカウントと偽ニュースサイト「Malaysia Pulse」を運営、マレーシア全222選挙区にわたり人種・宗教・王室という機微な断層線を標的にしていた。現職首相アカウントへ100万件の人工閲覧を発生させる要求も確認されている。より広域を狙う「GTG-54002」は、フランスの広告代理店LKM社に結び付けられた6大陸規模の工作で、約70の捏造ニュースサイトと250超のなりすましコメントアカウントで、20言語8,913本の記事を量産していた。政治的立場は依頼主次第で使い分けられており、米国・ブラジル・フランス・コンゴ民主共和国(DRC)という異質な国々を標的にしていた点は単一の政治的意図ではなく複数の依頼主の存在を示唆する。全出力中318本がDRC関連で、DRC政府寄りの論調と対ルワンダの緊張を焦点としていた。記事には実在しない架空記者名が署名され、露中の国家連携メディアの記事から出所表記を除いて独立報道に偽装する手口も見られた。これら情報操作9事例の多くは、実際の観客を獲得する前の制作段階で遮断されており、最も広範な到達は国営メディア自体が配信経路となったケースに限られていた。
モデル蒸留:AIサービスの出所を偽装する
情報操作の章と対をなすのが「Illicit distillation(不正蒸留)」の章である。蒸留とは本来、より高性能な「教師モデル」の出力を使って小型の「生徒モデル」を訓練する正当な技術だが、Anthropicが問題視するのは、盗んだクレジットカードやAPIキーで作った不正アカウント網(「トランスファー・ステーション」と呼ばれる中継サービス)を介し、産業規模でモデルの能力を無断複製する行為である。2026年2月の初回開示以降、中国拠点の7ラボからの攻撃を追加で特定・遮断した。
最大規模を記録したのはAlibaba(Qwen/Tongyi Lab)で、固定プロンプトでClaudeに思考過程(chain-of-thought)を書き出させ、これをQwen 3.5〜3.7の訓練データとして利用、ピーク時は1日約300万件、2026年5月〜7月の3か月で1億5,100万件超のやり取りを観測された。Moonshot AI(Kimi開発元)は、自社モデルの代わりに密かにClaudeへリクエストを転送し、利用者には「Kimiの回答」として提示していた。10日間で約30万件の顧客リクエストが5,380の不正アカウントを通じてOpusへ転送されており、この中には四川省成都のPLA(人民解放軍)施設周辺の監視カメラ映像分析を依頼した利用者や、大手国有企業の内部システム構築時にライブ認証情報を漏らした利用者のデータも含まれていた。DeepSeekも同様の手口で、Claude Code等の外部ハーネス経由の利用者を選別してOpusへ転送しており、ロシア国防省関連機関のライブ認証情報や、中国の公安局向け住民監視システム構築中の内部情報が意図せず流出していた。Zhipu(Z.ai)はまずAnthropicの汎用モデルFableのサイバー能力を狙ったが安全対策の強化で攻撃が失敗すると、防御が手薄と評価した他社の主力モデルへ標的を切り替えていた。Xiaomiは無料トライアルを延長する形で開発者を呼び込み、その利用データを丸ごとClaudeへ転送して蒸留材料にしていた。SenseTimeは第三者データ業者から購入した利用者との対話記録を蒸留に用い、MiniMaxは自社との関係を開示しないダミー企業経由で、Anthropicと OpenAIのモデルのみへのアクセスを提供する代理サービスを立ち上げていた——自社を含む中国製モデルへのアクセスは提供しない設計であり、米欧フロンティアモデルとの対話を収集する目的以外考えにくい。
これらの事例に共通するのは、利用者が「自国製・自社製のAI」だと信じて入力した機微な情報が、本人の同意も自国政府の把握もないまま国境を越えて競合企業のインフラへ流れていた点である。情報操作における属性ロンダリングが受け手の認知を歪めるのに対し、この蒸留手法は利用者の「誰と話しているか」という前提そのものを偽装しており、政府機関の認証情報や治安機関のデータまでもが意図せず巻き込まれている。
おわりに
情報操作の9事例と不正蒸留の7事例を貫くのは、情報やサービスの「出所」を偽装することで受け手の判断の前提を書き換えるという同一の手口である。前者は国家の言説を独立した現地の声に見せかけ、後者はAIサービスの提供主体そのものを偽装する。いずれも公開・実行段階に至る前の制作過程でしか検知できないという構造上、報告された事例は氷山の一角に過ぎない可能性が高い。情報の真正性を扱う研究にとって、この2つの現象を別分野として切り分けるのではなく、AIを介した「出所偽装」という一つの構造の異なる現れとして捉える視点が必要になっている。
コメント