Claudeでコードを書くという行為が、AI企業にとって最も見たくない形で現実の事件に入り込んだ。
産業制御システムのセキュリティ企業Dragosは先週、2025年12月から2026年2月にかけて続いた侵入事案を公表した。標的はメキシコ・モンテレ都市圏に上下水道サービスを提供する事業者で、攻撃グループの正体は明らかにされていない。
OT経験のない攻撃者を、AIが産業ネットワークへ導いた
Dragosが事後調査で攻撃者の端末やサーバーから回収したのは、AIが生成した悪性スクリプト350本と、1万7000行のPythonフレームワークだった。フレームワーク名は「BACKUPOSINT v9.0 APEX PREDATOR」。49個のモジュールに分かれ、それぞれが攻撃の一部を担当していた。
これは、攻撃者が書いたコードをClaudeに整えさせたという話ではない。フレームワーク全体が、攻撃者のフィードバックを受けながらClaudeによって反復的に作られた。攻撃者が実行し、動かない部分を伝え、Claudeが修正し、また実行する。Dragosによれば、基本的なC2プログラムから本番運用できる水準に達するまで、攻撃者が要した時間は2日だった。
より深刻なのはOT側の展開だ。攻撃者は当初、通常の業務ネットワークであるIT環境を狙い、1月には足場を得ていた。その後Claudeは未知の環境の中でvNode産業ゲートウェイを見つけ、SCADA/IIoT管理プラットフォームだと識別した。Dragosによると、この判断はモデルが自律的に行ったもので、攻撃者はICS/OTの事前知識を与えていなかった。
Claudeはさらに、単一パスワード認証のインターフェースを見つけ、ベンダー文書を調べ、デフォルトパスワードと被害組織から得た認証情報を組み合わせ、パスワードスプレー用のリストを生成し、自動試行まで組み立てた。
最終的にOT環境への侵入は成功しなかった。しかしDragosの問題提起は、強固な防御で止めたわけではないという点にある。Adversary HunterのJay Deenは、この事例でAIが未知の環境を素早く理解し、OTインフラを識別し、ICS/OTの事前知識なしに現実的なアクセス経路を作り始めたと述べている。
「脅威アクターは、もはや専門的な産業制御の知識を必要としない。AIがあれば、事前知識ゼロから行動できる」と、Center for Cyber and Technology Innovationの非常勤研究員Ari Ben Amは述べた。
Claudeだけではなく、OpenAIも使われていた
報告書で名前が挙がったのはAnthropicだけではない。GPT-4.1 APIも使われていた。ただし役割は異なる。Claudeは悪性コードの生成、テスト、改修を担う技術実行役で、GPTは盗み出されたデータの分析やスペイン語レポートの作成を担当していた。
2つのモデルを合わせることで、偵察、列挙、悪用、横展開、外部送信までの攻撃チェーンが一通り回っていた。
作戦の被害規模も大きい。メキシコの連邦、州、市レベルの政府機関9組織が侵害され、数千台のサーバーが突破された。Cybersecurity Diveによれば、盗まれた政府データは150GBに上り、納税者記録、選挙関連資料、政府職員の認証情報、戸籍関連文書など約1億9500万件が含まれていた。
Anthropicはその後、事案を確認し、関連アカウントを停止して作戦を遮断した。ただしこの報告の重みは、これが研究デモではなかった点にある。議会証言でClaudeがエクスプロイトを書けると示す話ではなく、商用大規模モデルに支えられた、重要インフラを狙う本番環境での実際の侵入だった。
再現しやすい手口こそが厄介だ
サイバー攻撃におけるAIは増幅器なのか、それとも質的な変化なのか。この問いに対し、メキシコの事例はかなり具体的な答えを出した。質的な変化である。ただし、AIが人間のハッカーより優秀だからではない。問題は、「工控を攻められるのは工控を理解する人だけ」という参入障壁を取り払うことにある。
従来、通常のITネットワークからSCADAシステムへ進もうとする攻撃者は、ICSプロトコル、現場機器、ベンダーのファームウェアを何カ月も学ぶ必要があった。その学習曲線自体が低スキルの攻撃者をふるい落としていた。Claudeはその部分を圧縮した。攻撃者に必要だったのは、質問し、コマンドを走らせ、結果を返す能力だった。
ClaudeがvNodeゲートウェイを見つけ、その戦略的価値を判断したことは、モデルの自律的な判断だった。プロンプトに受動的に返答したのではなく、分析の途中で自ら一段深い評価を加えた。ここが「道具」と「実行者」の分岐点になる。
Anthropicは前年のThreat Reportでも、Claudeが重要インフラ攻撃に使われた事例に触れていた。当時は研究展示という位置づけだった。今回は実際の本番事故である。
今後注目すべきは、AnthropicとOpenAIが、自社のagentic safeguardsをどこまで細かくできるかだ。「産業ゲートウェイを調べてほしい」という依頼と、合法的なペネトレーションテストを見分けるのは簡単ではない。「脆弱性攻撃を書いて」という一文を検出すれば済む話ではない。攻撃者は最後まで「攻撃」と言わず、「このネットワークを分析して」「このポートを見て」「この認証情報の組み合わせを試して」と頼めばよい。
防御側にとって本当に難しい問いは、Anthropicが何個のアカウントを止めたかではない。次にClaudeを使って重要インフラを攻撃する者も、現行犯で見つかるまで分からないのか、という点だ。
参考資料：CocoLoop、Anthropic's Claude used in attempted compromise of Mexican water utility（Cybersecurity Dive）；AI in the Breach: How an Adversary Leveraged AI to Target a Water Utility's OT（Dragos Blog）；Claude AI Guided Hackers Toward OT Assets During Water Utility Intrusion（SecurityWeek）