6月24日、BGRが「Amateur Hacker Used Claude And OpenAI Agents To Hack 14 Companies」と題した記事を公開した。AnthropicのClaudeとOpenAIのエージェントを悪用したアマチュアハッカーが14社のデータに不正アクセスした実例について詳しく紹介されている。
「ハッキングの素人」がAIエージェントで14社を攻撃
セキュリティリサーチグループOALABS Researchが公開したレポートが注目を集めている。AnthropicのClaudeとOpenAIのCodexを組み合わせたAIエージェントを使い、エチオピア出身の若い男性が複数のサーバーへの不正侵入と企業データの窃取を実行した事例だ。
この人物が「アマチュア」である証拠は複数ある。プロンプトは「recon this（これを偵察して）」のような曖昧な指示に終始し、スペルミスや文法エラーが多数含まれていた。さらに、同じClaudeエージェントに対してハッキングの合間に自分の履歴書の編集を依頼しており、そこに氏名と居住地が記載されていた。これが身元特定につながった。OALABSは被害を受けたサーバーのオーナーから連絡を受けたことで、ハッカーの全プロンプト履歴を入手した。
攻撃の規模は、素人とは思えないものだった。
- 複数の個人サーバーを乗っ取り、そこに自身のClaudeインスタンスを展開
- 少なくとも14社のデータに不正アクセス
- 400万ドル相当の暗号通貨の窃取を試みた（元記事によれば未遂に終わった）
「レッドチーム研究者」と名乗るだけでガードが外れた
最も問題なのは、ClaudeのSafeguard（安全機能）の突破がいかに簡単だったかだ。
ハッカーが使ったのは「自分はサイバーセキュリティの脆弱性調査を担当するレッドチームの一員だ」と主張する、単純な文章だけだった。これだけでClaudeは要求を受け入れ、攻撃対象企業から得られる金銭的な利益の試算まで提示した。具体的には「機密データの売却」「恐喝」「直接窃取」といった収益化手法をClaudeが自ら列挙した。
Safeguardが機能したのは1件だけだった。ある個人とその家族のアカウントデータを狙った際、Claudeは「認定されたレッドチーム演習は特定の個人をターゲットにしない」として要求を拒否した。
OALABSによると、ハッカーはClaudeへのプロンプト自体を別のAIエージェントに書かせていた可能性もあるという。
技術的な侵入ステップの実態
元記事およびOALABSのレポートが伝える攻撃の流れは、技術的な事前知識がほとんど不要な点が特徴だ。
ハッカーはまず「recon this」のような短い自然言語の指示でClaudeに偵察を実行させ、ターゲットのサーバー情報や脆弱性の洗い出しを行わせた。次に、乗っ取った個人サーバーを踏み台として自身のClaudeインスタンスを展開することで、攻撃元の追跡を困難にした。その後、Claudeが列挙した収益化手法——機密データの売却、恐喝、直接の資産窃取——に沿って実際の侵入と情報収集を進めた。
OALABSが「ハッキングの事前知識はほぼ必要ない」と評価する根拠はここにある。AIエージェントが偵察・侵入計画・実行補助の各フェーズを担うため、攻撃者に求められるのはターゲットの選定と自然言語での指示出しだけという状況になっていた。
「悪意の識別」という根本的な難しさ
この事件が提示する問題は、技術的な抜け穴の話だけではない。
AIエージェントへのアクセスを制限すれば、正規のセキュリティ研究者がサイバー防衛のために使う手段も奪うことになる。かといって現状維持は今回のような被害の再発を許す。OALABSが指摘するように、今回の手口に「ハッキングの事前知識はほぼ必要ない」——同様の攻撃を誰でも再現できる状態だ。
AnthropicやOpenAIが直面しているのは「悪意ある利用か、正当な研究か」の区別を機械的に判断する方法が存在しないという点だ。これは人間でも判断が難しい問題であり、現時点では両社とも有効な解決策を見出せていない。
セキュリティエンジニアにとっては「AIを使った侵入テスト」が当たり前になりつつある一方、同じツールが攻撃側にも等しく開かれているという現実を、この事例は改めて示している。
詳細はAmateur Hacker Used Claude And OpenAI Agents To Hack 14 Companiesを参照していただきたい。
