盗まれたAPIキーで、攻撃が走る——Anthropicの脅威レポートが示す「AIを使う側」の新しい攻撃面

要点

• Anthropicが2026年9月10日、2025年12月から2026年8月にかけて検知・停止した悪用事例をまとめた脅威インテリジェンスレポートを公開した。対象はサイバー作戦・監視・影響工作・詐欺・生物学的悪用・通常兵器・不正な蒸留の7分野
• 攻撃の速度が変わった。ある企業ソフトウェア企業への侵入は初回アクセスから大量データ窃取まで数時間。別の事例では、盗まれた開発者トークン1つから被害組織のクラウド環境の管理者権限まで約3時間
• SaaS事業者1社の侵害が、下流の約200社のデータに波及した。約34時間で40を超える企業テナントにまたがる2,100超のAzure ADトークンセットが持ち出され、Anthropicは「AIエージェントがほぼすべての作業を行った」と記している
• AIのAPIキーそのものが標的になっている。あるハクティビストのキャンペーンは、1か月間まるごと盗んだAPIキーだけで走った
• 「安いClaudeアクセス」を謳う偽の再販業者が確認された。実際は別のモデルへ黙って中継しつつ、利用者の認証情報を盗むツールを仕込んでいた

何が新しいのか

これまでのAIとセキュリティの話は、ほとんどがベンダー側の話でした。ログを消してくれるか、鍵を自社で持てるか、どのモデルが安全か。当ブログでも、OpenAIのゼロデータ保持やAnthropicのEnterprise Frontier Safeguardsを扱ってきました。

今回のレポートが扱っているのは、使う側の話です。しかも、被害に遭ったのはAIベンダーではなく、AIを業務で使っている普通の企業でした。レポートは繰り返し同じ事実を書いています——盗まれたAPIキーは、いずれも顧客の環境から盗まれたものであり、Anthropic自身のシステムは侵害されていない、と。

つまり、AIを導入した企業は、これまで管理していなかった種類の認証情報を、いつのまにか社内に増やしていた。そこが狙われた、という話です。

もう一つ、レポートが最初に置いている観察があります。「高度な攻撃に、高度な攻撃者はもう要らない」。AIが、資金力のある国家支援の作戦と個人の攻撃者を隔てていた労働とツールのギャップを埋めたとAnthropicは書いています。脅威の調査をする側にとって、攻撃の巧みさが、誰の仕業かを示す手がかりではなくなったという指摘です。

仕組み——AIが「アシスタント」から「指揮者」になった

1. 多段のエージェントが、偵察から持ち出しまでを実行する

レポートによると、停止した作戦の大半は、チャットボットへの質問と回答という使い方ではなく、偵察・侵入・データ持ち出しを実行する多エージェント構成によるものでした。人間は、標的を決めることと、持ち出したものを確認することで関与していた、とされています。

2. 検知されたら、AIが書き換えて再配備する

ロシア系の諜報活動として報告された事例（GTG-20006）では、配備したマルウェアがセキュリティ製品に検知されたことをAIエージェントが監視し、検知されなくなるまで自動で改変と再ビルドを繰り返す仕組みが作られていました。

Anthropicはこれを「AIが、コストを防御側に押し戻した」と表現しています。従来は、新しい検知ルールを配れば攻撃者の手を止められた。その前提が崩れつつある、という指摘です。

3. 鍵の出どころは、自社の公開物

盗まれたAPIキーやセッショントークンの多くは、正規の顧客がうっかり露出させたものでした。レポートが挙げている場所は、GitHub、モバイルアプリのインストールファイル、Dockerコンテナ、Webサイト、チャットボット。攻撃者はこれらを常時さらって、認証を突破できる経路を分析している、とされています。

実際の例として、AWS EC2の10台構成で180万本のAndroidアプリ（APK）を一括ダウンロードして逆コンパイルし、ハードコードされた秘密情報を探すパイプラインが報告されています。

4. 盗んだ鍵は、3つのものを同時にもたらす

レポートの整理が明快です。AIの認証情報を手に入れた攻撃者は、次の3つを同時に得ます。

• 換金物：盗んだ鍵とアカウントには、既存の市場で転売価値がある
• 計算資源：攻撃用の処理を、他人の費用で走らせられる
• 隠れ蓑：その活動は、鍵の正当な持ち主の仕業として記録される

5. 正規のふりをした中継サービス

「フロンティアモデルへの割引アクセス」を謳うサイトが、実際にはClaude Codeなど有名なAIクライアントを装ったインストーラを配り、端末上の認証情報とセッショントークンを収集していた事例が報告されています。被害者が鍵を失効させても、そのツールは端末に残り、新しいセッションを見つけては送り続けたとされています。

また、AIの仲介サービスが使っていたLiteLLMの実装にプロンプトインジェクションを行い、クラウド上のコンテナ環境から本番のAPIキーを持ち出した事例も挙げられています。

企業のAI活用にとっての意味

1. AIのAPIキーを、本番の認証情報と同じ扱いにする。

これはレポートが明示的に書いている推奨です——組織はAIの鍵とエージェント連携を、本番の認証情報と同じ真剣さで扱うべきだ。攻撃者が同じ真剣さで扱っているのだから、と。

多くの企業で、AIのAPIキーは「試しに使ってみる」文脈で発行されています。担当者の個人アカウント、部署の共用アカウント、外注先に渡したままの鍵。誰が何本持っているかを把握している会社は多くありません。棚卸しの対象に入れるところから始まります。

2. 「安いAI」を買わない、を規程に書く。

これもレポートの明示的な推奨です——AIへのアクセスは、正規のチャネル経由でのみ購入すべき。素性の分からない仲介業者に通信と認証情報を通す必要がある「割引」は、利用者のデータとシステムに甚大なリスクをもたらす。

現場から見ると、これはシャドーITの最も危ない形です。「同じモデルが半額で使える」というサービスを一人が使い始めるだけで、社用アカウントの認証情報が外部に渡ります。技術の話ではなく、購買と利用のルールの話です。

3. 露出の点検先が、コードリポジトリの外へ広がった。

秘密情報の漏えい対策というと、これまではソースコードの中が中心でした。レポートが挙げている探索先は、それより広い。公開しているアプリのインストールファイル、コンテナイメージ、自社サイトに置いたチャットボット。自社で作ったAI連携の入口が、そのまま点検対象になります。

4. 社内で組むエージェント連携が、そのまま攻撃面になる。

レポートは、顧客が自分で構築する連携部分——サンドボックス、プロキシ、再販経路——が攻撃面の一部だと書いています。プロンプトインジェクションで本番の鍵が出た事例が、それを裏づけています。

「AIエージェントに社内システムを触らせる」構成を検討している企業にとっては、便利さの設計と同じ密度で、鍵の置き場所と権限の範囲を設計する必要があるということです。

5. 研修で教えるべきは、使い方より鍵の扱い。

AI研修の中身は、多くの場合「どう書けば良い答えが出るか」に寄ります。今回のレポートが示しているのは、事故は使い方の巧拙ではなく、鍵の扱いから起きるという事実です。

一人が無料枠を試したくて外部の中継サービスに社用アカウントを通す。個人のGitHubに検証用コードを上げるとき、鍵をコメントアウトしただけで残す。外注先に渡した鍵を、案件終了後も失効させない。どれも悪意なく起こり、どれも入口になります。操作の研修に、この3つを具体例として入れておくだけで、経路はかなり塞げます。

※本記事の内容と数値は、すべてAnthropicが公開した脅威インテリジェンスレポートの記述に基づきます。同レポートは、掲載した事例はいずれも同社が検知・停止済みであり、典型的な悪用ではなく「最も注目すべき、新しい脅威活動の例」であるとしています。

※ この記事は海外の一次情報（発表元の公式発信）のみを出典とし、内容を確認のうえ掲載しています。