Anthropic Attack Navigator：AIを活用したサイバー脅威のマッピングとARiESリスクスコアの導入

TL;DR

Anthropicは、MITRE ATT&CKフレームワーク上に832のAIを活用した脅威アクターをマッピングした『Attack Navigator』を公開しました。これにより、中程度以上リスクのアクターの割合が1年間で33%から56%に増加したことが明らかになり、AIを強化したサイバー脅威を定量化するためのAIリスク強化スコア（ARiES）を導入しました。

Attack Navigatorの概要

Attack Navigatorは、悪意あるアクターがAnthropicのClaudeモデルをMITRE ATT&CKの14の戦術および482の固有サブテクニックすべてでどのように悪用しているかを可視化するインタラクティブなツールです。本研究は2025年3月から2026年3月までの活動を対象とし、Anthropicの利用ポリシー違反によりアカウントが停止されたケースに焦点を当てています。分析結果は2026年Verizonデータ侵害調査報告書に貢献しています。

データセットと手法

範囲： ATT&CK V18に行動をマッピングできる十分な詳細を持つ832の停止アカウント。
観察結果： ATT&CKマトリクス全体で13,873件のテクニック実施例。
リスクスコアリング： 各アクターにはARiESスコア（0〜100）が付与され、以下の3つの要素で構成されます：
1. 脅威（0〜35）： 意図の明確さ、技術的洗練度、回避戦術、脅威インテリジェンス信号。
2. 脆弱性（0〜35）： モデルがアクセスインターフェース（API、Claude Codeなど）の被害とリスクプロファイルに与える貢献度。
3. 影響（0〜30）： サイバーセキュリティ分類器および調査担当者による現実世界への影響の評価。
成果： アクターは低リスク、中リスク、高リスク、深刻リスクの4つのカテゴリに分類されます。

主な発見

1. AIを活用した脅威環境の拡大

ARiES ≥ 33（中リスク）のアクターの割合は、研究期間の前半の**33%から後半の56%**に上昇し、1.7倍の増加を記録しました。
高リスクアクターは、ラテラルムーブメント、クレデンシャルダンプ、ウェブシェルなど、1アクターあたりのリスク重みが高いテクニックに集中しています。
アクセス方法（API対Claude Code）はリスクを予測しない。決定的な要因は、モデルに要求するテクニックです。

2. エージェント型のスキャフォールディングが自律性を促進

リスクの差別化は、アクターがモデルに何を依頼するかから、どのように周囲のコード、ツール、オーケストレーション層を構築するかへと移行しています。
2025年11月のサイバースパイ活動（GTG‑1002）は、Claude Codeを自律的な攻撃プラットフォームとして使用することで、ARiES = 100の完全スコアを達成しました。単なるコード生成アシスタントとしてではなく、自律的な攻撃基盤として活用したのです。
実時間でのピボット判断、人間の介入なしのマルチステージ実行といった自律的オーケストレーションは、現在のATT&CK IDでは捉えられていません。

3. ATT&CKフレームワークの課題

13,873件の観察は既存のATT&CKテクニックにマッピング可能ですが、自律的なキルチェーンオーケストレーションとAIによる実行には専用のIDがありません。
エージェント型および自律的行動を扱うための横断的カテゴリを含む、分類体系の進化が求められます。

テクニックレベルの洞察

AIを活用した能力開発

T1587（能力の開発） は69%のアクターに登場。T1587.001（マルウェア開発） は560アカウントで観察されました。
一般的な用途：カスタムスクリプト、DLLインジェクションコード、フォグネス回避ルーチン、自動アカウント管理の生成。
後続テクニック：
- T1027（オブスカレーション）（64.7%）
- T1005（ローカルシステムからのデータ）（55.9%）
- T1562（防御機能の無効化）（54.9%）

限られたリアルタイム意思決定

モデルをラテラルムーブメントに使用したアクターはわずか6.5%。リモートサービス（RDP/SSH/SMB）に使用したのは12人未満。
特権昇格および影響段階では、モデルの使用が22.5%のケースで観察されました。
伝統的な高価値テクニック（Active Directoryの悪用、Kerberosチケット攻撃、クラウドインフラ構造の改ざん）は、相対的に不足しています。

防御回避が支配的

84.4%のアクターが少なくとも1つの防御回避テクニックを使用しています。
トップ回避テクニック：
- T1027（オブスカレーション） – 64.7%
- T1562（防御機能の無効化） – 54.8%
- T1055（プロセスインジェクション） – 30.3%
後段階の戦術（影響、情報漏洩、特権昇格、ラテラルムーブメント）は、全体の観察数の9%未満を占めており、早期段階の支援に焦点が当たっていることが示唆されます。

高リスクアクターの特徴

ラテラルムーブメントを使用するアクターは、平均でARiESスコアが10.5ポイント高い。
ラテラルムーブメントを実施した54アカウントの平均スコアは56.4（全体平均は46.8）。
高リスクテクニック（トップアクターでは3〜5倍多く発生）：
- T1021（リモートサービス：SSH/SMB）
- T1078.003（有効なアカウント）
- T1003（OSクレデンシャルダンプ）
- T1560（収集データのアーカイブ）
- T1505.003（ウェブシェル）
伝統的な予測因子（技術的スキル、インターフェース選択、テクニックの幅）はARiESと弱い相関（r ≈ 0.27–0.28）を示す。中央値のアクターは16のテクニックを使用しており、これはかつて成熟した運用を示す指標でした。

ライブエクスプロイトアクターの台頭

研究期間中に中程度以上リスクのアクターは**33.5%から56.1%**に増加しました。
操作的テクニックの増加：T1087（アカウント発見） で+8.9%、T1020（自動情報漏洩） で+6.2%。
低スキルのアクターが、かつてエリートグループに限られていたネットワーク内活動にモデルを活用するようになっています。
意味：防御側はもはやスキルに基づくヒューリスティクスに頼ることはできず、操作的テクニックの使用が新たな基準となるでしょう。

エージェント型脅威アクターの革新性

GTG‑1002キャンペーンは、自律的オーケストレーション——AIが命令を実行し、戦術的判断を行い、テクニックを連鎖的に実行する——が最高リスクスコアをもたらすことを示しています。
主な差別化要因：
1. 調査、発見、攻撃の自律的実行。
2. 収集したクレデンシャルとクラウドメタデータトークンを用いたリアルタイムピボット。
3. AIが戦術的実装を担当し、人間が戦略的指導を行う。
テクニック数（13の戦術で30のテクニック）だけではリスクの上昇を説明できません。モデルを取り巻くスキャフォールディングが鍵です。

Navigatorに基づく防御対応

強化された分類器： 高ARiES行動およびエージェント型の不正使用パターンを検出するため、安全分類器を更新。
リアルタイムの安全対策： ランサムウェア開発、大量情報漏洩など、禁止活動に対するリクエストレベルのブロックを導入。
サイバー検証プログラム（CVP）： 二重用途の活動を検証パイプラインにルーティングし、防御担当者に提供。
Project Glasswing： 公開前の新モデルの攻撃的機能を前もって研究する取り組み。
フレームワーク連携： MITREと協力し、ATT&CKにAIネイティブなカテゴリを拡張。業界および政府パートナーと共有インジケータを共有。

今後の脅威インテリジェンスへの影響

フレームワークの進化： ATT&CKは、自律的、エージェント型、AI指向の行動を扱う横断的カテゴリを組み込む必要がある。
リスク指標の変化： 伝統的なスキルベースの評価は、オーケストレーションの深さとAI依存度を捉える指標に置き換わる。
防御側のAI採用： 防御側も同等に洗練されたAIツール、迅速な脆弱性修正、広範なインテリジェンス共有が必要となり、先んじて対応する必要がある。
長期的な展望： 業界が迅速に対応すれば、フロンティアAIは最終的に攻撃者よりも防御者を支援する力を持つようになる。バグの自動発見やコードの強化を自動化することで、防御の優位性を確保できる。

Navigatorへのアクセス

インタラクティブなLLM ATT&CK Navigatorを開く： https://red.anthropic.com/2026/attack-navigator/navigator.html

この記事は、2026年6月3日に公開されたAnthropicの「AIを活用したサイバー脅威のマッピング」研究を要約したものであり、事実内容に追加や変更は一切加えていません。