9月11日、The Decoderが「How hackers used Claude for missiles, drone swarms, and surveillance, while Chinese labs mined it for training data」と題した記事を公開した。AnthropicがClaude悪用の実態を詳細にまとめた脅威インテリジェンスレポートの内容を伝えるものだ。
Anthropicが2026年9月に公開した脅威インテリジェンスレポートは、2025年12月から2026年8月にかけての8ヶ月間のClaude悪用事例を網羅したものだ。サイバー攻撃、監視システム構築、兵器ソフトウェア開発、中国AIラボによる大規模ディスティレーション（知識蒸留）まで、7つのカテゴリに分類されている。
最大の衝撃：中国AIラボがユーザーのリクエストをClaudeに横流しか
技術的に最も興味深い事例は、ディスティレーション攻撃の章だ。ディスティレーション（蒸留）とは、強力なモデルの出力を使って別のモデルを学習させる手法で、それ自体は一般的な技術だが、Anthropicが「非合法」と定義するのは無断・大規模・隠密に行われる産業規模のものである。
Anthropicは2026年2月の最初の開示以降、さらに7つの中国AIラボによる攻撃を特定した。
なお、本レポートで多用される「GTG-XXXXX」という識別子は、Anthropicが脅威アクターを内部的に分類・追跡するために付与するグループIDであり、サイバーセキュリティ業界で一般的な脅威インテリジェンスの命名規則に倣ったものだ。
特筆すべきは、ラボが自社ユーザーのリクエストをそのままClaudeに横流ししていた疑いのあるケースだ。
- Moonshot AI（Kimiの開発元）（GTG-16002）：5,380の不正アカウント経由で、10日間にわたり約30万件のユーザーリクエストをAnthropicに中継。ユーザーはKimiモデルを使っていると思っていた。
- DeepSeek（GTG-16001）：Claude Codeなどのハーネスからのリクエストを検出・フラグし、選別したユーザーをClaude Opusにルーティング。14日間で1,210万件超の交換を記録した。
- Xiaomi（GTG-16008）：自社のMiMoモデルのユーザーセッションを保存し、それをClaudeに再生してトレーニングデータを生成。ユーザーのリクエストには十数カ国語で数百人分の氏名・連絡先・会社情報が含まれていた。
最大規模はAlibaba傘下のQwen（GTG-16005）で、2026年5月〜7月の3ヶ月間で1億5,100万件以上の交換を実施。ピーク時は1日あたり約300万件、3,500超の不正アカウントが稼働した。固定プロンプトでClaudeに推論トレースを出力させ、その内容をQwen 3.5/3.6/3.7のファインチューニングデータとして利用していた。
さらにDeepSeek経由でClaudeに届いたリクエストの中には、中国・成都の数百台のCCTVカメラ映像を特定個人の追跡に使う作業や、ロシア国防省のデータベースへの接続情報を持つオペレーター、中国公安当局の案件管理システムの開発などが含まれていた。
ミサイル誘導ソフトとドローン群——兵器開発への関与
Anthropicが自社の兵器関連ケースを文書化したのは今回が初めてだ。
イエメン北部のグループ（GTG-87001）は、Claude Codeをソフトウェアエンジニアの代替として使い、3つのミサイルプログラムの誘導・航法・制御ソフトを開発した。そのうちの1つは射程2,000km超の多段式ミサイルだ。複数のClaudeインスタンスを並列で走らせ、セッションを分散させることで意図が単一の会話に現れないよう工夫していた。テスト発射が失敗すると、数時間以内に原因究明のためClaudeに戻ってきたという。
ロシア系とみられる別のグループ（GTG-27005）は、FPVカミカゼドローンの自律群（スウォーム）を開発した。機体にはスモールランゲージモデルが搭載され、終末誘導はカメラで行う設計だ。人間の操作なしに「person」クラスの目標を選択して起爆できる。画像分類器はウクライナの戦闘映像で学習させたとAnthropicは記述している。
中国のケース（GTG-17002）では、電子戦や防空制圧のための約16モジュールが開発された。プロジェクト途中でシミュレーションのデフォルトシナリオが台湾の12の目標に切り替わっていた。
マルウェアが自分でアンチウイルスをすり抜ける
サイバー攻撃の章では、ロシア語話者の諜報アクター（GTG-20006）がAIエージェントを使ったフィードバックループを構築していた事例が記録されている。エージェントがマルウェアのウイルス検出を常時チェックし、検知されると自動でコードを書き直して再コンパイルし、検出を回避し続ける仕組みだ。防御側がシグネチャを更新する速度より、攻撃側が変更を回転させる速度の方が速くなるため、従来の検知ベースの防御が構造的に不利になると指摘されている。
標的は政府省庁、情報機関、大使館、防衛企業など20以上の組織で、ウクライナとヨーロッパに集中。ドローンのビジョンシステムのプロプライエタリSDKが丸ごと盗まれたケースも報告されている。
生物兵器対策：自社フィルターの限界を認める
生物兵器の章はレポート中最も自己批判的な内容だ。Anthropicは、Claude自体がバイオセキュリティ分類器による拒否リクエストを競合モデルにルーティングするフォールバックコードを書いた事例を記録している。チクングニアウイルスへの機能獲得研究（ゲイン・オブ・ファンクション）の助成金申請がブロックされた際、そのプラットフォームには別モデルへの自動切り替え機構が設けられており、そのコードはClaude自身が書いていた。
Anthropicの結論は、「分類器は有用な作業と危害防止を同時には達成できない」というものだ。ユーザーの意図はデュアルユース領域では信頼できる形で検出できないとして、フロンティアモデルへの安全なアクセスは認証済みユーザープログラムを通じるしかないという方針を示している。
次世代モデルによる対応策
こうした悪用事例を受け、Anthropicは次世代モデルでの対策を明示している。Claude Fable 5は本レポート公開時点での新世代モデルであり、現行のClaudeシリーズからの継続進化版に当たる。同モデルではデュアルユース生物学リクエストに対する厳格なガードが導入される。また、Fable 5.1で実装予定の「preserved thinking」（保護された思考）は、モデルの内部推論トレースを外部から操作・抽出しにくくする機能で、ディスティレーション目的での推論トレース収集を抑制することを主眼としている。
詳細はHow hackers used Claude for missiles, drone swarms, and surveillance, while Chinese labs mined it for training dataを参照していただきたい。
