CrowdStrike、AI活用の4攻撃グループを報告

調査対象は、中国語、スペイン語と英語、インドネシア語、ロシア語で活動する4グループである。いずれもAIインフラをWebサーバー上で公開状態にしており、研究者は活動内容と使用モデルを分析できた。前二者は高度なAIハーネス（モデルを支えて作業を導くソフトウェア）を持ち、後二者は技術力で劣るものの複数の標的を侵害した。全グループが長時間自律的に動く仕組みを作っていた。 スペイン語と英語のグループはアルゼンチンの医療機関を狙い、少なくとも15組織を侵害した。少なくとも1件で認証情報と診療記録の窃取を示す証拠があるという。Claude Opus 4.5、Claude Haiku 4.5、DeepSeek V4 Proを使い、攻撃手順を指揮するSupervisorのClaude Codeエージェントと、実行するExecutorエージェントを組み合わせていた。中国語のグループは偵察をClaude Codeに任せ、人間が方針を選んだ後に自律攻撃させる構成で、ブラジルとコロンビアの政府機関や米国などの民間組織を侵害した。主にClaude Opus 4.8を使い、中国拠点のAIプロキシ経由で接続し、複数のフォールバックも用意していた。 ガードレール回避では、ペネトレーションテストなど正当で許可された作業だとモデルに信じ込ませる手法が多く使われた。エージェントの作業ディレクトリに承認を示すファイルを置く方法や、従来型のジェイルブレイク、想定される質問を先回りして潰すプロンプトがあった。中国語のグループはClawGodというランタイムパッチでClaude Codeのシステムプロンプトから「CYBER_RISK_INSTRUCTION」の除去を試みた。モデルごと、同じ企業内でもガードレールの強度が異なる点も利用されていた。 CrowdStrikeのAdam Meyersは、用途ごとにモデルを使い分けるルーティングが重要で、コスト面から新しいモデルは過剰になりがちだと述べた。攻撃の初期探索は人間が行い、大規模なハッキングをAIに任せる形で、背後に人間がいることも確認できたという。Anthropicは掲載前にコメントせず、DeepSeekも取材にすぐには応じなかった。

WIRED AIより

推移を表示するための継続的な観測データがまだ足りません。