Anthropicが2026年9月の脅威レポート公開 — 中国7研究所による大規模蒸留攻撃を詳細化、Alibabaは1.5億超の対話を観測

Anthropicは2026年9月、脅威インテリジェンスチームによる報告書「Detecting and countering misuse of AI: September 2026」を公開した。2025年12月から2026年8月に同社が検出・阻止したClaudeの悪用事例を、サイバー作戦、影響工作、監視、詐欺、生物学的悪用、通常兵器開発、不正蒸留（illicit distillation）の7分野で報告する内容だ。使用されたモデルはClaude Haiku・Sonnet・Opusで、FableやMythos系が関与した事例は1件の蒸留を除きなかったと記載されている。以下は報告書の記載内容の整理であり、各社の見解など報告書外の事実は含めない。

報告書の全体像：7分野の悪用阻止事例

• 対象期間と体制: 2025年12月〜2026年8月に検出・阻止した活動が対象。2025年3月・8月・11月の前回報告に続くもので、検出内容をもとにセーフガードを強化し、当局や業界パートナーと情報を共有したとしている。
• 行為者の幅: 国家支援が疑われる集団、金銭目的の犯罪者、市販スパイウェア業者、国家の宣伝機関、政治的動機の個人などが含まれると記載されている。
• サイバー作戦の傾向: 高度な攻撃に高度な攻撃者が不要になりつつあること、偵察から侵入・データ窃取まで複数エージェント構成で実行される自律化の進行を傾向として挙げている。ロシアの諜報活動と整合するとした事例（GTG-20006）など、国・地域をまたぐ複数のケーススタディを含む。
• 蒸留以外の新規分野: 前回報告以降、通常兵器（銃器・ミサイル・武装ドローン・爆弾など）向けソフトウェア開発への悪用という新たな行為者区分を確認したとしている。

不正蒸留：7研究所の追加攻撃と4件の帰属記載

• 定義と規模感: 報告書は、許可なく大規模かつ隠密にモデルの能力を抽出・複製する活動を不正蒸留と定義し、正規の蒸留（自社モデルの小型化など）とは区別している。2026年2月の初回開示以降、中国拠点の7研究所による追加の蒸留攻撃を検出・阻止し、いずれもOpus級モデルを標的にしていたと記載している。
• GTG-16005（Alibaba〈Qwen／Tongyi Lab〉に帰属）: 報告書が「過去最大」と表現する攻撃で、Opus 4.6・4.7の chain-of-thought 推論記録を標的に固定プロンプトで書き出させ、Qwen 3.5・3.6・3.7への蒸留に使われたと記載。ピーク時は1日あたり約300万対話、3,500超の詐欺的アカウントからで、2026年5〜7月の観測総数は1.51億超としている。AI研究開発基盤の開発支援にもClaudeが使われたとの記載もある。
• GTG-16002（Moonshot AIに帰属）: 利用者のKimiへのリクエストを無断でClaude（大半はOpus）に転送し、応答をKimiのものとして表示していたと記載。10日間で約30万件の転送があった事例、シンガポール・日本に所在するように見せかけた5,380の詐欺的アカウントによるプロキシ網、推論痕跡参照（thinking signature）を別セッションで再生して全文に戻す「クロスセッション・リプレイ」による抽出パイプラインが詳述されている。2026年5〜7月の観測総数は2,300万超としている。
• GTG-16001（DeepSeekに帰属）: 同様の転送・抽出の手口で、Claude CodeやClaude Agent SDK・OpenCodeといった第三者コーディングハーネス利用者を文字列で判別し、Opusへ転送していたと記載。転送された利用者データには中国テクノロジー企業の内部文書や認証情報などが含まれていた可能性が指摘されている。2026年7月の14日間で1,210万超の対話を観測としている。
• GTG-16006（Zhipu〈中国国外ではZ.ai〉に帰属）: 捕捉したClaudeの推論痕跡をClaude自身に再投入して整形し、GLMの学習用に清浄化するパイプラインを、273のアカウントを回転させながらOpus 4.8に対して実行したと記載。6月の10日間で770,609対話を計数としている。

手口・対策と読み方の注意

• 接近経路: 中国国内向けの商用提供を行っていないなか、Claude等へのアクセスを転売する商用プロキシサービス経由で迂回されると説明している。盗難クレジットカードや認証情報・APIキーで作られた詐欺的アカウント網（単一網で2万超のアカウントを同時運用した例）が典型としている。
• 対策: 推論痕跡の直接返却を避ける参照（thinking signature）方式などの蒸留対策を導入し、攻撃側が回避策（デバッグや翻訳を装う指示など）を繰り出す応酬になっていると記載している。
• 帰属の位置づけ: 各案件の帰属はIP相関・リクエストメタデータ・インフラ指標などに基づく「高い確度（high confidence）」の同社評価として記載されている。報告書はAnthropic側の主張・分析であり、名指しされた各研究所側の見解や反論は報告書の範囲外のため、本記事では断定せず「報告書が〜と記載」との形で facts を限定している。

出典

• Detecting and countering misuse of AI: September 2026 | Anthropic
• Detecting and preventing distillation attacks | Anthropic