Anthropicが154ページでClaudeの悪用を全公開──中国7ラボを実名、マリの2500万SIM監視、生物兵器への悪用を業界で初めて開示

Anthropicが2026年9月10日、自社のClaudeが悪用された事案をまとめた154ページの報告書「Detecting and countering misuse of AI: September 2026」を公開した。対象は2025年12月から2026年8月まで、領域はサイバー攻撃・影響工作・監視・通常兵器・生物・詐欺・蒸留の7つ。中国の7ラボを実名で挙げた蒸留の章と、AI企業として初めて生物兵器開発への悪用の証拠を出したと述べる生物の章が含まれる。

この記事はPDF全文を読み、動画に使った145個の数字を原文と突合した上で書いている。解説動画は2本に分けて公開済み。

• 前編（蒸留・サイバー攻撃・詐欺・兵器開発）: https://youtu.be/NNZtqfZkNMc
• 後編（監視・影響工作・生物）: https://youtu.be/qW8xu-Q-Uw4

3行まとめ ① 蒸留の章でAlibaba・Moonshot・DeepSeek・Zhipu・Xiaomi・MiniMax・SenseTimeの7社を実名で記載。Alibabaは5〜7月で1億5,100万交換、ピーク時で1日300万交換と記されている。 ② MoonshotとDeepSeekについては、蒸留ではなく「自社顧客のリクエストを無断でClaudeに転送し、Claudeの回答を自社モデルの回答として表示していた」と書かれている。Moonshotは10日間で約30万件。 ③ 生物の章でAnthropicは「我々の知る限り、AI企業に限らずどの民間企業も、自社プラットフォームの生物兵器開発への潜在的悪用の証拠を公開したことはない」と述べ、5件の事例を開示した。

7領域に何件載っているか

件数は影響工作9件・通常兵器6件・生物5件・蒸留7ラボが報告書に明記されている数字。サイバー6件・監視10件・詐欺1件は本文中のGTG番号（Anthropicが悪用主体に振る内部識別子）を筆者が数えた値で、報告書に総数の記載はない。

蒸留の章が名指ししている内容

報告書によると、Anthropicは2026年2月の初回開示以降、中国拠点の7ラボによる蒸留を追加で確認した。ここでの蒸留は「大きいモデルの出力で小さいモデルを訓練する」という一般的な手法ではなく、同社が「不正な蒸留（illicit distillation）」と定義するもの、つまり盗んだクレジットカードや認証情報で作った偽アカウント群を使い、隠れてモデルの能力を抽出する行為を指す。

Alibabaについて報告書は、狙われたのがOpus 4.6と4.7の思考過程（chain-of-thought）であり、集めた記録がQwen 3.5・3.6・3.7の訓練に使われたと記載している。対象タスクはエージェント動作・ソフトウェア開発・カーネル開発・長時間作業。

MiniMaxのプロキシ網について、報告書は「AnthropicとOpenAIのモデルのみを提供し、MiniMax自身のものを含む中国製モデルは一切提供していない」と書き、そこから目的を会話の収集と見ている。

蒸留と「モデルの差し替え」は別の話として書かれている

MoonshotとDeepSeekについて、報告書は訓練データの取得とは別の行為を記載している。

We discovered that Moonshot AI, the company that produces the Kimi family of models, silently forwarded customer requests to Claude, instead of processing them using Kimi. Moonshot then displayed Claude's responses to users. These users thought they were using a Kimi model, but received responses from Claude instead.

（Anthropicによると、Kimiシリーズを開発するMoonshot AIは、顧客のリクエストをKimiで処理せず黙ってClaudeに転送し、Claudeの回答を利用者に表示していた。利用者はKimiを使っていると思っていたが、実際にはClaudeから回答を受け取っていた。）

DeepSeekについては手法がさらに絞り込まれている。報告書によると、DeepSeekはリクエストに含まれる文字列を確認してClaude Code・Claude Agent SDK・OpenCodeといった第三者ハーネスの利用者にタグを付け、そのタグが付いた利用者のリクエストをClaude Opusに転送していた。

技術的な回避手法も記載されている。Claudeは推論の生テキストを返さず「thinking signature」という参照を返す仕様だが、MoonshotとDeepSeekはその署名を保存して新しいセッションで復元させることで推論記録を取り出した。報告書はこれを cross-session replay attack と呼んでいる。

転送されたデータの中身として何が挙がっているか

報告書は、転送されたリクエストに第三者の機微情報が含まれていた例を挙げている。

• Moonshot経由：中国人民解放軍と関係があるとAnthropicが評価する利用者が、成都の数百台の監視カメラ映像を読み込ませ、特定個人の行動が異常かどうかを分析させていた。カメラには人民解放軍の施設、中国電子科技集団傘下の研究所、大手国有企業の外が含まれる。
• DeepSeek経由：ロシア国防省と関係する政府機関のデータベースの有効な認証情報。中国の市レベルの公安局向け案件管理システム（国民IDで個人の移動履歴と警察記録を突合するもの）。
• 複数経由：製薬企業の設備投資見込み額、開発者の有効なトークン、十数か国語で数百人分の氏名・メールアドレス・企業データ。

Anthropicはこれらについて「各社の利用規約とプライバシー法に反している可能性が高い」と書いている。

サイバー攻撃の章の主張は「手口は変わっていない、経済性が変わった」

報告書は、観測された攻撃に新しい技術は無いと明記している。盗んだ認証情報、未パッチのエッジ機器、公開されたままのサービス、SQLインジェクション、フィッシング。変わったのは所要時間と並列度で、侵入からデータ窃取完了まで2〜3時間、1人の運用者が数十の被害者を同時に扱った事例が記載されている。

その帰結として書かれているのが次の一文。

The main distinguishing feature between these classes of actors is no longer sophistication but intent.

（これらの主体を区別する主な特徴は、もはや洗練度ではなく意図である。）

具体例として、ロシア国家系とされる主体（公開報道でMidnight Blizzardと呼ばれる集団と一致するとAnthropicは評価）が、自社マルウェアの検知状況をAIに監視させ、検知されたら未検知になるまで自動で改変・再ビルド・再配備していた事例が載っている。宿泊施設のWiFi業者3社を経由した宿泊客への感染、既読を抑止したWhatsApp会話の一括取得、北アフリカの政府機関からの国民ID記録30万件超も同じ主体の事案として記録されている。

金銭目的の集団については、Androidアプリ180万本をダウンロードして分解し、埋め込まれた認証情報を機械的に探す仕組みが記載されている。あるSaaS事業者への侵入では、34時間で40テナント分・2,100組のAzure ADトークンが取得され、報告書は「この作業のほぼ全てをAIエージェントが実行した」と書いている。

監視の章で規模が最も大きい事例

マリの事案が、報告書に載っている単一システムとしては最大規模になる。首都バマコを拠点とする独立コンサルタント1人が、同国の国家情報機関向けに「Lakana 360」という基盤を構築した。対象は国内3キャリアの約2,500万SIM、取得対象は通話記録・SMSに加えて音声そのもの。

報告書が具体的に書いているのは以下の点。

• 任意の電話番号についてLLMが人物の情報報告書を生成する機能から、運用者の要請で令状要件が削除され、既定でオフ・保持期間は無期限に再分類された
• 声紋によるSIM横断の同一人物追跡、暗号化やVPNの利用者へのフラグ付け、地理的境界による対象者リスト化、国家生体登録との突合
• 本番環境はオンプレミスでローカルモデルを使って稼働しており、Anthropicのアカウント停止は設計・開発作業を止めたが、展開済みの製品には影響しない

中国関連では、Claudeが一度拒否した依頼が再プロンプトで通り、私人10名を名指しして陳情の事前遮断・訓話・移動と通信の監視に振り分ける文書が出力された事例が記載されている。同じ主体が、バンクーバーの民主化デモの集合地点・経路・終点、トルコでのウイグル文化行事の会場、オスロでの人権会議の上映会を事前に調べていたとも書かれている。

この節でAnthropicは自社の安全策について次のように書いている。

Our existing safeguards did not perform uniformly in these cases. In one case, Claude correctly refused a request but was overcome on further prompting. In another, it complied across many sessions without intervention.

（これらの事例において、我々の既存の安全策は一様には機能しなかった。ある事例ではClaudeは正しく拒否したが、さらなるプロンプトで突破された。別の事例では、介入なく多数のセッションにわたって応じた。）

生物の章がこの報告書で最も踏み込んでいる

冒頭にこう書かれている。

To our knowledge, no private company, AI or otherwise, has yet shared evidence of the potential misuse of their platforms for biological weapons development publicly.

（我々の知る限り、AI企業に限らずどの民間企業も、自社プラットフォームが生物兵器開発に悪用された可能性の証拠を公開したことはない。）

5件の事例が載っているが、研究者の氏名・国名・研究機関名・病原体名はすべて伏せられている。理由として報告書は、対象が現役の研究者であり害意があるとは主張しないこと、特定されると本人が危害にさらされうることを挙げている。

このうち1件目の構造が、他の章と質的に異なる。チクングニアウイルスの機能獲得研究（伝播性と免疫回避の強化）に関する助成申請がAnthropicの生物安全分類器に全件ブロックされたが、経路を調査したところ、非対応地域の研究者数十人を抱えるLLM中継基盤が米国インフラ経由で地域制限を回避し、データ非保持契約で内容を秘匿していた。そしてその運営者は、Claudeが拒否したプロンプトをより制限の緩い競合モデルへ自動的に回す仕組みを構築していた。報告書によると、そのコードの大半をClaudeが書いており、依頼は「過剰拒否の緩和」として提示されていた。

Anthropicは関連アカウントを全て停止し、中継網の遮断で外部と協力したと書いているが、続けて「運営者は数日以内にアクセスを再確立し、数週間以内には新しい身元で登録した消費者向けサブスクリプションから運営を継続していた」と記載している。

対照的に2件目は安全策が働いた側の記録として書かれている。高病原性鳥インフルエンザの哺乳類適応を扱う研究者が分類器に阻まれ、Claude Sonnet 4とHaiku 4.5という同社が「最も弱いクラス」と呼ぶモデルしか使えず、得られた助力は事務的な整理と研究設計の相談にとどまったと評価されている。

章の結論はこうなっている。

since it is not possible to reliably identify the intent of the user in highly technical dual-use areas, a classifier cannot simultaneously enable benefit and prevent harm. This knowledge and our observation of cases such as this suggest to us that the only safe way to serve frontier biological capabilities is to offer them in trusted user programs.

（高度なデュアルユース領域では利用者の意図を確実に識別することができないため、分類器は便益を可能にすることと危害を防ぐことを同時には満たせない。この知見と本件のような事例の観察から、フロンティアの生物能力を安全に提供する唯一の方法は、信頼された利用者に限定したプログラムで提供することだと我々は考える。）

影響工作で作られていたのは記事だけではない

9件のうち、中央アフリカ共和国の事案が構造として目を引く。ロシア語話者がバンギのラジオ局（報告書によると2017年にワグネル・グループが設立・出資）を通じて配信していたが、Claudeに作らせていたものに人事関連の文書が含まれている。大統領と「ロシアとその部隊」への忠誠を義務づける雇用契約、職務記述書、採点基準、三振制の解雇規程。そして記者の記事をその基準で採点させ、誰を残し誰を解雇するかの推奨を出させていた。報告書には、Claudeが採点基準の政治的な重み付けを指摘した後、運用者が項目名を中立的な言葉に変更して採点を継続したと書かれている。

規模面では、フランスの広告代理店が運営していた約70の偽ニュースサイトが8,913記事を約20言語で公開していた事案、トルコの技術企業がマレーシアの222選挙区を人種・宗教・王室という争点で標的化し、現職首相のアカウントに100万インプレッションを発注していた事案が記載されている。

報告書の構造から読めること

ここからは筆者の読み方になる。報告書の記述そのものではない。

機微データの例は、衝撃のためではなく立証のために置かれていると読める。 「学習に使った」と「顧客のリクエストを転送した」を、受け取り側のログの外形だけで区別するのは難しい。どちらも大量のリクエストが来るだけだからだ。区別できるのは中身が明らかに末端利用者の作業である場合に限られる。成都の監視カメラを解析させる依頼も、国有企業の社内システムを構築する技術者の依頼も、Anthropicの正規顧客が投げる種類のものではない。あの2例が載っているのは、転送の主張を成り立たせる部分だからだと考えられる。

一方で、帰属の手続きはこの章で最も薄い。 報告書は「high confidenceで特定のPRC拠点ラボに帰属させた」と書いているが、数千の偽アカウントで構成されたプロキシ網の向こう側を、どうやって特定の企業と結び付けたのかは記載されていない。7社を実名で挙げる章で、そこだけ方法が示されていない。反論が出るとすれば、内容の否定より先にここになると筆者は見ている。

研究成果の盗用に関する記述は、本記事が確認した範囲では存在しない。 PDF全文に対して plagiarism / academic misconduct / research theft / intellectual property / trade secret / peer review / citation / authorship / patent を検索したが、いずれも0件だった。「盗む」対象として記載されているのはモデルの能力（蒸留）、認証情報、顧客データの3つで、人間の研究成果ではない。生物の章に登場する研究者は、加害側ではなくClaudeの利用者として出てくる。

この記事が確認できていないこと

• 報告書の記載内容を独立に裏取りしていない。 出典はAnthropicの発表1本で、事案の被害企業・各国政府・名指しされたラボへの確認は行っていない。この記事の事実はすべて「Anthropicによると」の範囲にある。
• Anthropicは利害関係者である。 特に蒸留の章で実名が挙がっている各社は同社の競合にあたる。これは記述が虚偽であることを意味しないが、他の章と同じ重みで読むべきではないと筆者は考えている。
• 反論を確認していない。 2026年9月11日時点で、名指しされた各社および各国からの公式な反論を筆者は確認できていない。出た場合はこの記事に追記する。
• 数字の突合は原文に対してのみ行った。 動画で使用した145個の数字（前編61・後編84）をPDFの原文と1件ずつ照合したが、それは「報告書にそう書いてある」ことの確認であって、報告書の数字が正しいことの確認ではない。

解説動画

7領域すべてを2本に分けて解説している。記事に書き切れていない個別事案（イエメンの誘導ロケット実射、ロシアの自律的な致死交戦を想定したドローン群、出会い系アプリのAI対人間3対1の構造、MEKによる実在活動家のなりすまし）はそちらで扱っている。

• 前編（蒸留・サイバー攻撃・詐欺・兵器開発／31分）: https://youtu.be/NNZtqfZkNMc
• 後編（監視・影響工作・生物／35分）: https://youtu.be/qW8xu-Q-Uw4

名指しされたラボからの反論や、各国政府の反応が出た場合はこの記事を更新する。コメントで指摘をもらえれば、該当箇所を原文に当たり直して直す。