日本時間の9月10日朝、OpenAI が自社の防御を作り直した記録を公開した。250人以上を動かして数百のシステムを固め直し、そこで使った設計と手順書をそのまま外に出している。AI エージェントが脆弱性を見つけ、本当に再現できるかを確かめ、直したあとに効いているかまで検証する。その輪を止めずに回す仕組みで、Defense Factory と名付けられている。
そのおよそ21時間後、Anthropic がこれまでで最も詳しい脅威情報の報告書を公開した。自社のモデルを悪用しようとした事例を、遮断するまでの経緯ごと並べたものだ。守る側の手順書と、攻める側の実例が、ほぼ同じ時間帯に外へ出たことになる。
ただし手順書のほうは、読んだ人がそのまま真似できる形では書かれていない。250人と数百のシステムを持っている側の話だからだ。では、机の上に AI をひとつ置いているだけの人に、この二つは何を残すのか。報告書のなかで個人にまっすぐ向いている推奨は、数えると二つしかない。
扱われているのは、この9か月に止めた事例だ
まず範囲を絞りたい。報告書が対象にしているのは、2025年12月から2026年8月までに Anthropic が検知して遮断した活動だ。今週起きた攻撃の話ではないし、日常的に起きていることの平均でもない。これらは典型例ではなく、見てきたなかでも特に洗練された悪用を取り上げたものだと Anthropic 自身が書いている。
そのうえで中身は具体的だ。金銭目的の集団は、Android のアプリ180万本を集めて中から認証情報を掘り出した。ある侵入では、盗み出した認証用のトークンひとつから管理者権限に届くまで、およそ3時間しかかかっていない。別の集団は教育・小売・エネルギー・医療・金融・行政などおよそ50の組織を狙い、主要なセキュリティ製品に対する未知の脆弱性を1か月で12件以上作り出している。
報告書は、これまで国家的な作戦と個人を隔てていた人手の差を AI が埋めた、と整理している。人を集めれば以前もできた作業が、人を集めずにできるようになった、ということだ。
狙われた側に、AI の鍵そのものが入っていた
読む側に近いのは、むしろ次の一節だ。攻撃者が盗んだ AI の鍵には三つの使い道があると報告書は書いている。売れば金になること。他人の支払いで自分の処理を回せること。そして、その活動が鍵の正当な持ち主の仕業として記録されることだ。
実際に、ある集団は侵入して被害者の鍵を手に入れると、自分たちの処理をその鍵へ切り替えている。別の集団はおよそ4日で、およそ30社の AI 事業者を攻撃した。
そのなかに、企業の情報システムの話に収まらない事例がひとつある。ロシア語とウクライナ語を使う集団が、Claude を安く使えるという触れ込みの販売を運営していた。報告書の書き方は短い。安くもなければ Claude でもなかった、とある。通信は黙って別のモデルへ回され、同時に仕込まれた仕掛けが利用者の認証情報を抜き、抜いた鍵は他の業者へ売られていた。
安く使いたい、という動機は誰にでもある。ここで狙われたのは設備ではなく、その動機のほうだった。
250人で回す防御と、ひとりの手元に残るもの
一方の Defense Factory は、報じられた内容では五つの段階でできている。資産の棚卸し、脆弱性の発見、実際に再現できるかの検証、直す担当の割り当て、そして直ったことの確認。エージェントは使い捨ての隔離環境で動き、その外側に権限と認証情報を管理する制御層が置かれる。境界を決めることと、影響の大きい変更に目を通すことは人が続ける。
これを個人が組むことはできない。制御層も、隔離環境も、割り当てる相手も要る。そもそも数百のシステムを抱えている側を想定した設計だ。
それでも、最初の段階だけは縮尺が変わっても残る。棚卸しである。個人にとってのそれは、資産の一覧ではなく、自分の AI に手が届く口の一覧だ。どのサービスに鍵を発行したか。どの拡張機能やアプリにアカウントをつないだか。家族や同僚と共有したままの入り口はないか。一度も使っていない古い鍵が、生きたまま残っていないか。
面倒なのは、これが一度やって終わらないことだ。しかも鍵を盗まれた側は、自分では気づきにくい。先の三つの使い道のうち、正当な持ち主の仕業として記録されるという項目が、そのまま検知しにくさの説明になっている。請求の桁が変わって初めて分かる、という順番になりやすい。
報告書が個人に向けて書いているのは、結局この二つだ。AI へのアクセスは認可された経路からだけ買うこと。割引をうたって通信と認証情報を見知らぬ仲介者に通させる仕組みは、利用者のデータとシステムに大きな危険を持ち込むと明記されている。そして、AI の鍵とエージェント連携を、本番の認証情報と同じ重さで扱うこと。攻撃する側が同じ重さで扱っているから、という理由が添えられている。
ことば
- Defense Factory — OpenAI が9月に公開した防御の作り方。AI エージェントが脆弱性を見つけ、再現を確かめ、修正が効いたことまで検証する輪を止めずに回す設計を指す。
- 認証情報 — サービスに対して自分だと示すための鍵。AI では API キーや連携用のトークンがこれにあたり、盗まれると支払いも操作の記録も持ち主の側に残る。
- エージェント連携 — AI に他のアプリやファイルを操作させるための接続。便利さと引き換えに、ひとつの鍵が届く範囲が、もとのアプリの外側まで広がることになる。
自分の鍵は、いくつの口から届くか
手順書が配られた週に、個人の側で増えた選択肢はそれほど多くない。増えたのは、何が起きているかを知ったうえで数え直せる、という状態のほうだ。
次に見ておきたいのは、認可された経路の外側で AI アクセスを安く売る窓口が、この先どう扱われるかだ。報告書は業者の使っていた入り口まで公開している。同じ形の販売が別の名前で出てくるのか、それとも購入経路を確かめることが普通の手順になるのか。数か月で見え方が変わる。
あなたが使っている AI には、今いくつの口から手が届く状態になっているだろうか。そのうち、自分で発行したことを覚えている鍵はいくつだろうか？
