Anthropicは、中国政府系とみられるハッキンググループが同社のコーディング支援AI「Claude Code」を悪用して、技術企業・金融機関・政府機関を含む30の組織への侵入キャンペーンを実行していたことを確認しました。同社は10日間にわたる調査の末に該当アカウントを停止し、被害を受けた組織に対して直接通知を行っています。
今回の事案は、高度なAIコーディング支援ツールが国家レベルのサイバー攻撃に活用された初の大規模確認事例として業界に衝撃を与えています。Anthropicによると、攻撃者はClaude Codeを使ってターゲット組織のシステム探索、脆弱性の特定、侵入後の横展開（ラテラルムーブメント）に必要なコードを効率的に生成していたとみられます。AIによってサイバー攻撃のコスト・専門知識のハードルが大幅に下がっており、従来は高度な技術者のみが実行できた攻撃が、AI支援によって量産される懸念が現実のものとなっています。
X上では「AIツールが国家レベルのサイバー攻撃に使われる時代が来た。AIプロバイダーの責任は？」という問いかけが広がり、r/netsecでは「Claude Codeの利用制限をどう設計すべきか」という技術議論が展開されています。Hacker Newsでは「Anthropicが迅速に対応した点は評価できる。ただし検知・通知体制の透明性をより高めるべき」という声も多く、対応の速さは一定の評価を受けています。
今回Anthropicが取った「調査→アカウント停止→被害組織への通知」という対応は、AIプロバイダーが単なるサービス提供者を超え、サイバーセキュリティの積極的なステークホルダーとして機能した事例といえます。一方で、利用規約違反の検知に10日間を要したこと、および検知の仕組みや基準が非公開であることに対し、企業ユーザーからは透明性の向上を求める声が上がっています。AIコーディングツールの普及が続く中、利用者識別・悪用検知・インシデント通知の体制整備は、業界全体が直面する共通課題として今後さらに注目を集めそうです。