Anthropic の 2026 年 9 月の脅威インテリジェンス レポートは、単なるモデルの安全性に関する文書ではありません。これは、モデルが API、再販業者、プロキシ、コーディング ツール、および盗まれた認証情報を通じて公開されると、商用 AI アクセスがどのように悪用されるかについての警告です。

9 月 10 日に発行されたこの報告書は、2025 年 12 月から 2026 年 8 月の間に特定され妨害された活動 Anthropic を取り上げています。事件は、サイバー犯罪、国家関連監視、影響力作戦、武器関連支援、生物学的二重用途研究、および無許可蒸留。ビジネスにとって最も関連性の高い例のいくつかには、モデル機能だけではなくアクセス制御が含まれています。攻撃者は、地域やポリシーの制限を回避するために再販業者またはプロキシ インフラストラクチャを使用したとされており、一方 ShinyHunters に関連した活動には、攻撃ワークロードを被害者のアカウントに移すために盗まれた AI キーが使用されていました。

企業の購入者にとって、これは AI セキュリティの実際的な見方を変えることになります。リスクは従業員が送信する悪意のあるプロンプトに限定されません。また、侵害されたキー、委任されたアクセス パス、管理されていないリセラー、シャドウ使用、および請求、地理、ワークロード、アカウント履歴のシグナルと結合するまでは正当に見えるモデル呼び出しも含まれています。

変更点

新しいレポートでは、複数の悪用パターンが 1 つの公開脅威インテリジェンス パッケージにまとめられています。 Anthropic は、サイバー犯罪や影響力活動に関わる事件を妨害しただけでなく、兵器関連や生物学的二重用途支援にシステムを使用しようとした試みも妨害したと述べています。また、攻撃者が Claude 出力を使用して他の AI システムをトレーニングまたは改善しようとしたとされる、不正蒸留事件についても説明しています。

アクセス層の詳細は特に重要です。 Anthropic は、一部の攻撃者がプロキシまたは再販業者のインフラストラクチャを使用して、サポートされているリージョンと使用ポリシーの制御を回避したと述べています。別のケースでは、ShinyHunters に関連する活動には盗難された AI キーが関与しており、攻撃者は被害者のアカウントを使用してワークロードを実行していたと同社は述べています。これは、請求先の身元と実際の事業者の身元が異なる可能性があることを意味します。使用料を支払っているアカウントが、それを指示する当事者ではない可能性があります。

Anthropic また、レポートの一部には、社外や国と関係のある関係者の名前や言及も含まれています。これらの申し立ては慎重に処理する必要があります。帰属は、独立して確認されない限り Anthropic の評価であり、特定の企業がリクエストを Claude にルーティングしたかどうかに関する一部の報告には、議論があるか未確認のままです。ビジネスの成果は、帰属の主張をすべて受け入れるかどうかに依存しません。報告書は、攻撃者名を除いても、大規模な AI API プロバイダーやエンタープライズ ゲートウェイが計画しなければならない悪用モードについて説明しています。

API キーが脅威モデルの一部となっている理由

AI API キーは、高価なコンピューティングのロックを解除し、より高機能なモデルにアクセスし、自動悪用のもっともらしいパスを作成できるため、価値の高い認証情報となっています。キーが盗まれると、直接コストが発生する可能性がありますが、そのアクティビティが顧客のアカウント ログに記録されると、コンプライアンスやインシデント対応の問題が発生する可能性もあります。

従来の API セキュリティ パターンは依然として重要です。ローテーション、範囲指定されたキー、レート制限、支出制限、監査ログなどです。ただし、モデルにアクセスすると、新しいシグナルが追加されます。キーが侵害されると、異常なトークン量、突然の地理的移動、なじみのない言語でのプロンプト、抽出形式のタスクの繰り返し、顧客の製品に関係のないコード生成パターン、または高価なモデルの使用量の急増が示される可能性があります。これにより、AI 運用が不正検出とセキュリティ分析に近づくことになります。

エンタープライズ LLM API を実行しているチームにとって、このレポートは、開発者の利便性ではなく、管理されたビジネス資産としてキーを扱うことを強く主張しています。キーには、所有者、予算、有効期限ポリシー、許可されたモデル、許可された環境、およびアラート ルールが必要です。単一の認証情報によって材料コストと評判リスクが蓄積される可能性がある場合、共有キーと長期間有効な運用シークレットを正当化することがますます難しくなります。

誰が影響を受けるか

モデル プロバイダーが最初の対象者です。一括抽出、不審なアカウントの作成、リージョン回避、資格情報の悪用、ポリシーの境界をテストしていると思われるワークロードを検出するシステムが必要です。課題は、攻撃者が調整できる検出しきい値を公開せずに行動することです。

次に影響を受けるのはエンタープライズ AI プラットフォーム チームです。現在、多くの企業は、内部ゲートウェイ、可観測性プラットフォーム、または調達承認ベンダーを介してモデルへのアクセスをルーティングしています。これらのチームは、キーごとの支出上限、モデルのホワイトリスト、ユーザー レベルのアトリビューション、プロジェクト レベルの予算、地理アラート、不審なトラフィックのエスカレーション ワークフローなど、どの程度の適用を一元的に行うかを決定する必要があります。

再販業者とパートナー API オペレーターも、より難しいガバナンスの問題に直面しています。顧客が中間インフラストラクチャを通じてフロンティア モデルにアクセスできる場合、再販業者はコントロール サーフェスの一部になります。サポートされている地域のルール、顧客の確認、使用ポリシーの適用、サブアカウントの帰属、および迅速な停止手順はすべて重要です。 Anthropic のプロキシと再販業者の不正行為に関する説明は、弱い中間管理がプロバイダーの制限を回避する方法になる可能性があることを示唆しています。

開発者は、より直接的な形で影響を受けます。ローカル ファイル、CI ログ、ブラウザ側のコード、ノートブック、または共有チャット スレッドに保存されている API キーが攻撃パスになる可能性があります。すでにクラウド認証情報とデータベース シークレットをローテーションしているチームは、可能であればシークレット スキャンや有効期限の短いキーなど、同じ規律を AI 認証情報に適用する必要があります。

ビジネスへの実際的な影響

このレポートは、エンタープライズ AI 運用における 3 つの具体的な変更を裏付けています。

まず、コスト管理とセキュリティ管理を組み合わせる必要があります。突然のトークンの急増は、予算に関するイベントであると同時に、セキュリティ イベントの可能性もあります。同じ異常な使用法が悪用を示す可能性がある場合、財務ダッシュボード、開発者の可観測性、セキュリティ監視を別の世界に置くべきではありません。

第 2 に、ガバナンスはキー、ユーザー、プロジェクト、プロバイダーのレベルで機能する必要があります。グローバル制限を 1 つだけ設定するのはあまりにも単調です。カスタマー サポート チャットボット、コーディング アシスタント、バッチ要約ジョブ、リサーチ プロトタイプには、通常の使用パターンが異なります。それぞれが独自の予算エンベロープとモデル権限を持つ必要があります。

第三に、インシデント対応には AI 固有のハンドブックを含める必要があります。不審なアクティビティが見つかった場合、チームはキーの無効化、ログの保存、公開されたシステムの特定、コストへの影響の見積もり、内部関係者への通知、データやポリシーへのコミットメントが影響を受けたかどうかを判断する方法を知る必要があります。請求異常が発生してからでは遅すぎます。

メッセージに関するレッスンもあります。公的指導では、検証されたプロバイダーの行為と、特定の行為者に関する申し立てを区別する必要があります。 Anthropic は、自身のシステム上で何を観察し、何を妨害したかを伝えることができます。国家の関与、企業の行為、またはルート化された顧客トラフィックに関する広範な主張については、確定した事実として扱われる前に、より多くの証拠が必要になる可能性があります。

依然として不確実な点

この報告書では、いくつかの重要な詳細が未解決のままになっています。すべての技術指標を提供しているわけではなく、攻撃者を支援することなくすべての検出方法を公開することはできません。帰属に関する主張の中には、公的報告において異議が唱えられたり、未確認のままのものもあります。無許可の蒸留活動の規模も、公開資料だけから部外者が評価するのは困難です。

それでも、運営の方向性は明確です。 AI の悪用は、モデルの安全性の問題だけでなく、アクセス管理、請求、ガバナンスの問題にもなりつつあります。マルチモデル AI システムを導入している企業は、API 認証情報、再販業者のパス、および使用状況テレメトリがセキュリティ境界の一部になっていると想定する必要があります。