AI悪用レポート公開｜狙われるのはAIの鍵そのもの

AIを作っている会社が、自社のAIを悪用しようとした相手を9か月分まとめて公開しました。国の支援を受けた諜報から、選挙の世論操作まで並んでいて、読み物としては遠い世界の話です。

ただ、1つだけ中小企業に地続きの項目があります。盗まれる対象が、会社のデータではなく「AIの契約と鍵」そのものに移ったという点です。攻撃の手口ではなく、そこだけを読みます。

何が起きたか

Anthropicが9月10日、2025年12月から2026年8月までにClaudeの悪用を検知して止めた事例の報告書を公開しました。サイバー攻撃、監視、世論操作、通常兵器、生物学的な悪用、詐欺、モデルの不正な蒸留の7分類で、それぞれ実際に止めた事案が載っています（Anthropic「Detecting and countering misuse of AI: September 2026」）。

そのうち「詐欺」の章に、AIの契約そのものを狙う手口がまとまっています。格安でClaudeを使えると称する転売業者がいて、買った人の通信は別のAIに流され、裏でパスワードを抜く仕掛けが入っていた。別の犯罪グループは、侵入した先で見つけたAIの鍵を、自分たちの攻撃に使い回していた。報告書はこの2つを、同じ構図として並べています。

中小企業にとって何が変わるか

新しい義務は増えていません。ChatGPTやGeminiのチャット画面で文章を書かせているだけで、AIの機能を外注したツールも無く、正規の窓口で契約している会社は、何もしなくて構いません。

変わるのは「盗まれたら何が起きるか」の前提です。これまで会社の鍵といえば、銀行のログインやサーバーのパスワードでした。AIの契約は、せいぜい月に数千円のサブスクで、盗まれても大した被害は無いと思われてきました。報告書は、その前提が攻撃者の側ではとっくに崩れていることを示しています。

盗んだ鍵は、被害者の名義と請求で使われます

報告書は、AIの鍵を手に入れた攻撃者が同時に3つを得る、と書いています。転売できること。攻撃の計算を他人の負担で回せること。そして、その活動が鍵の正規の持ち主のものとして記録されることです。

3つ目が、中小企業にとっていちばん重い部分です。自社の名義で発行した鍵が盗まれると、どこかへの攻撃が自社の名前で実行され、その利用料の請求が自社に届きます。しかも報告書には、侵入先で見つけたAIの鍵に「自分たちの攻撃の作業を切り替えた」犯罪グループの例が載っています。鍵は、盗まれた時点で相手の道具になります。

「格安のAIアクセス」は、AIではありませんでした

報告書に出てくる転売業者は、安いClaudeを売っていました。実際には、安くもなければClaudeでもなかったと書かれています（報告書の「Scams and fraud」の章）。通信は別のAIに流され、業者の道具が利用者のパスワードを集めていた。買った側は、質の落ちた回答を「Claudeはこんなものか」と思いながら使い、その間に会社のログイン情報を渡していたことになります。

報告書の助言は簡単です。AIの契約は正規の窓口からだけ買う。「割引の代わりに、通信と認証情報を知らない業者経由にする」という条件が付いた時点で、それは割引ではないと書いています。

うちは当てはまるのか

よくある誤解：AIの鍵はAIにしか使えないから、漏れても軽い

「サーバーのパスワードと違って、AIの鍵ではうちのデータには入れない」という見方があります。鍵単体で見れば、その通りです。

ただし報告書には、盗まれた開発者用のトークン1つから、おおよそ3時間でクラウド環境の管理者権限まで到達した事案が載っています。鍵は入口であって、そこで終わりません。そして鍵の漏れ方は、派手なハッキングではありませんでした。報告書が挙げているのは、公開されたソースコード、スマホアプリのインストールファイル、コンテナ、Webサイト、チャットボットです。ツールを作った人が、鍵を埋め込んだまま外に出したのが入口です。外注したAIチャットボットの中に鍵が書き込まれていれば、それは会社のWebサイトに鍵を貼っているのと同じです。

「安く使え」と言うほど、偽物に寄っていきます

AIの費用を抑えたい会社ほど、この手口に近づきます。会社が契約せず、社員に「各自でうまくやって」と任せると、社員は安い経路を探します。悪意ではなく、それしか道が無いからです。

止める層は、指示ではなく経路です。会社として使うAIと、その契約経路を1つ決めて、社員がそれで入れる状態を先に作る。そうすれば「格安」を探す理由が消えます。決め方は社内ルールの記事に書いています。

いま何をすべきか／何もしなくていいか

該当する会社だけ、順に見てください。決めることは2つです。

1. 社内で使っているAIの契約経路を全部書き出す。誰が、どのAIを、どこで契約しているか。公式サイトか、Microsoft 365やGoogle Workspaceのような正規の販売経路以外があれば、その経路で入れた情報は渡ったものとして、パスワードを変えます
2. AI機能付きのツールを外注しているなら、開発会社に2つ聞く。「AIの鍵は誰の名義か」「鍵はどこに置いてあるか」。アプリやWebページの中に直接書いてあると答えが返ってきたら、置き場所を変えてもらいます
3. 自社名義の鍵には、月の利用額の上限を入れる。多くのAI会社の管理画面に、上限と通知の設定があります。盗まれた鍵が回り始めたとき、最初に気づけるのは請求です
4. 退職者が発行した鍵、誰のものか分からない鍵は、使われていなくても失効させます

やらなくていいことも書いておきます。AIの利用を止める必要はありません。この章に出てくる鍵の被害は、AIを使ったから起きたのではなく、鍵の置き場所と契約経路を決めていなかったから起きています。AIの会社を乗り換える必要もありません。この話は、どの会社のAIでも同じ形で起きます。決めるのは、どのAIかではなく、どの経路で契約し、鍵をどこに置くかです。

関連するもっと詳しい話

• 生成AIの社内ルールは3つで足りる｜急ぐ義務はまだない — 入れていい情報の線引き・確認する人・使うツールを1つに絞る、の3つだけ決める方法。契約経路は「使うツール」の欄に一緒に書きます
• 生成AIが社内に浸透しない｜研修より先に決めること — 使う人が1人か2人で止まっている構図と、会社の仕事の形にする決め方。その1人が個人で契約している状態から、会社の契約に移すときに読む記事です

外注したAIツールの鍵がどこにあるか分からない、社員が個人で契約しているAIを会社の形に移したい、というご相談はお問い合わせからどうぞ。