セキュリティの世界では長らく、「攻撃者の技量」と「攻撃の高度さ」がおおむね比例していました。高度な攻撃には、それを設計・実行できる熟練者が必要だった。その前提が崩れつつあることを、一次情報として突きつけた文書があります。
2026年9月10日、Anthropic が脅威インテリジェンス報告 「Countering misuse of AI: September 2026」 を公表しました（Anthropic: Countering misuse of AI）。2025年12月〜2026年8月に同社が検知・停止した Claude の悪用事例を、サイバー攻撃・影響工作・監視・詐欺／スキャム・生物学的悪用・通常兵器開発・不正な蒸留（distillation） という7つの被害領域にわたってケーススタディ形式でまとめたものです（TechNode: AI-orchestrated attacks and model theft）。
homula はエンタープライズ向けAIエージェント・インテグレーターとして、この報告を「攻撃側のニュース」として消費するのではなく、自社のエージェント／認証情報の守り方を引き直す設計図として読み解きます。核心は、攻撃者が使う道具立てが、企業がいま社内に導入しているものと同じ——エージェント・フレームワークと API キー——だという点にあります。
何が変わったのか——3つの構造変化
報告が示す変化は、断片的な事件の羅列ではなく、攻撃の「構造」そのものの移行です。企業防御の観点から、3つに整理します。
| 構造変化 | これまで | 報告が示す現在 |
|---|---|---|
| 実行の主体 | 人が手順を実行し、ツールで補助 | AIエージェントが複数段階を自律実行。人は標的選定と最終確認に限定 |
| 攻撃力の源泉 | 攻撃者本人の技量に依存 | 技量と攻撃の高度さが分離。低スキルでも高インパクトな攻撃が可能に |
| 狙われる資産 | 認証情報・個人情報・金銭 | 上記に加え、フロンティアモデルへのアクセス（APIキー・セッショントークン）そのもの |
1. 攻撃が「エージェント・フレームワーク上」で走る
報告が繰り返し指摘するのは、LLM が自律的なマルチエージェント・フレームワークに組み込まれ、複雑なタスクをマシンスピードで実行するようになったことです。攻撃者は「この認証情報でこの範囲のデータを取ってこい」といった大まかなゴールだけを与え、あとはAIが環境を評価し、スクリプトを書いて実行し、結果を要約し、完了まで反復する——報告はこれを 「vibe hacking」 と呼んでいます（Abnormal: Vibe Hacking and AI-Enabled Threats）。人間の関与は、標的の選定と最終結果のレビューにまで縮んでいます。
2. 「技量の壁」が崩れた
その結果、攻撃者のスキルと攻撃の高度さの結びつきが切れました。報告のケースには、AIなしではまともにコードを書けないと見られる英国の攻撃者が、ChaCha20暗号やEDR回避を備えたランサムウェアのキットを構築し、ダークウェブで販売していた事例が含まれます。また、単独の攻撃者が Claude Code を使い、政府・医療・金融など17以上の組織を標的に、数週間で50万ドル超の身代金を要求したケースも報告されています（Forrester: Vibe Hacking and No-Code Ransomware）。1年前なら国家級の資金と人員が必要だった作戦を、個人が回せるようになった、というのが報告の見立てです。
3. 盗まれるのは「APIキー」そのもの
最も企業に直結するのがこの点です。報告によれば、盗んだ API キーとセッショントークンが、そのまま換金・転売される対象になっています。ある作戦は4日間で30社のAI企業を標的にし、未公開モデルと本番のAPIキーを探索していました。さらに、他社モデルへトラフィックを中継しつつ Anthropic のアカウント認証情報を収集する不正な再販業者（リセラー）詐欺も確認されています（TechNode）。加えて、フロンティアモデルの能力を大規模かつ無許可に抽出する**「不正な蒸留」では、複数の中国系ラボによるキャンペーンが観測され、最大級の事例では5〜7月に1.5億回超のやりとり**が測定されたとされます。
ここで反転させて考えるべきは、「攻撃者が API キーを狙う」という事実が、そのままあなたの会社のエージェントが持つ API キー・トークンが標的であることを意味する点です。社内に配ったエージェントは、多数のSaaS・社内システムへの鍵束を抱えています。その鍵束こそが、いま最も価値の高い戦利品です。
なぜこれが「自社の防御」の話なのか
攻撃側のエージェント化は、防御側に2つの非対称な圧力をかけます。
第一に、速度です。偵察から権限昇格、データ持ち出しまでが自律的に連鎖し、人間の判断待ちで生じていた「間」が消えます。検知から対応までの猶予が縮み、事後対応（インシデントレスポンス）だけでは追いつかなくなります。
第二に、攻撃対象の重心が「認証情報とエージェント」へ移ることです。企業が生産性のために導入したエージェント基盤は、攻撃者から見れば「正規の資格情報で社内を動き回れる、既製の実行環境」に見えます。プロンプトインジェクションで乗っ取られたエージェントは、まさに vibe hacking の実行基盤になり得ます。つまり、自社エージェントの統制の甘さが、そのまま攻撃者への贈り物になる構図です。
homula はこれまでも、無人で走るエージェントの秘密管理（プロンプトインジェクションに鍵を渡さない設計）や、ツール単位の権限制御（承認ゲートとエージェントID）を論じてきました。今回の報告は、それらが「あった方がよい」ではなく「攻撃の前提が変わったので必須になった」ことを、一次情報で裏づけたものだと受け止めています。
企業が今すぐ引くべき防御線
報告の教訓を、実装可能な打ち手に落とすと次の4本になります。
- 認証情報を「戦利品にしない」設計。エージェントに渡す API キー・トークンは、最小権限・短命化（短い有効期限）・集中管理（Vault）を徹底し、ハードコードや広域スコープの鍵を排除します。鍵が漏れても被害範囲が限定され、失効が即時に効く状態を作る。
- ツール単位の権限と承認ゲート。エージェントが「何をできるか」をツール単位で絞り、破壊的・外部影響のある操作には人間の承認を挟みます。大まかなゴールだけで自律実行が完了する余地を、権限設計で塞ぎます。
- 軌跡（trajectory）の可観測性を防御資産にする。エージェントが「どのツールを、どの入力で、どの順に呼んだか」を記録・監視できれば、異常な連鎖を早期に捉えられます。可観測性は運用改善だけでなく、統制と検知の下地でもあります。
- 人間の最終レビューを形骸化させない。攻撃者ですら「最終確認」に人を残しています。防御側のHITL（ヒューマン・イン・ザ・ループ）が、承認ボタンを機械的に押すだけの儀式になっていないか——承認に足る情報（何を・なぜ・どの範囲で）が提示されているかを、運用として点検します。
優先順位に迷ったら「①認証情報 → ②ツール権限」から着手してください。攻撃者が最も欲しがっているのが鍵であり、乗っ取ったエージェントの破壊力を決めるのが権限だからです。可観測性と承認設計は、その2つを運用で支える両輪です。
homula の観点——攻撃前提の変化を、統制の設計に翻訳する
攻撃側がエージェント化したいま、防御側に必要なのは「AIを使わせない」ことではなく、自社エージェントを、攻撃者に悪用されない形で統べることです。homula は、この翻訳作業を次の順序で支援します。
- 速く始めて、統制を後付けにしない。AIエージェント・ブートキャンプ（業務棚卸し・プロトタイプ構築・ROI試算を3〜5日で完結）の段階から、「どの鍵を・どのツール権限で・誰の承認で」動かすかを設計に織り込みます。統制は後で足すほど高くつきます。
- 接続を統制下で束ねる。Agens（MCPを活用したエンタープライズ向け統合プラットフォーム。200以上のツールと構築ゼロで接続）で、エージェントが触る接続先を可視化・集中管理します。野放しの接続（シャドーMCP）は、攻撃者にとっての侵入口です。
- 鍵・権限・承認・監査を1枚で統べる。Agens Control が承認フロー・DLP・5年分の監査ログ・RBAC を提供し、「誰が・どのエージェントで・どの鍵を使い・何を実行／承認したか」を統制下に置きます。認証情報の最小権限化と、破壊的操作の承認ゲート、そして事後追跡までを一貫させます。
処理時間を大幅に削る（例: 93%削減）ような成果と、攻撃前提の変化に耐える統制は、トレードオフではありません。同じ設計の裏表です。小規模検証は月額30〜80万円規模から、統制込みで設計できます。
まとめ
Anthropic の2026年9月の脅威報告は、AIセキュリティの重心を明確に動かしました。
- 攻撃はエージェント・フレームワーク上で自律実行され、人間は標的選定と最終確認に縮んだ（vibe hacking）。
- 技量と攻撃力が分離し、低スキルの個人が国家級の作戦を回せるようになった。
- 盗まれるのはAPIキーとセッショントークンそのもの——それは、あなたの会社のエージェントが抱える鍵束と同じものです。
- 防御の要点は、認証情報の最小権限・短命化・集中管理／ツール単位の権限と承認ゲート／軌跡の可観測性／形骸化しないHITL。
攻撃側がエージェント化したという事実は、恐怖の材料ではなく、設計の指針です。自社のエージェントを、鍵と権限と承認の三点で統べられているか——その問いに「はい」と答えられる企業だけが、この変化を追い風にできます。
自社エージェントの認証情報・権限・承認設計を、攻撃前提の変化に耐える形へ引き直したい方は、現状の要件を持ち寄る無料相談からご相談ください。