AIによるサイバー攻撃のMITRE ATT&CKマッピング

1. はじめに

ここ1〜2年で攻撃者側のAI活用が目に見えて増えており、主要な調査がそれを数字で裏付けています。WEFの調査では回答者の94%がAIをサイバーセキュリティ最大の変化要因と答え、国内でもIPA「情報セキュリティ10大脅威2026」にAIリスクが初めてランクインしました。

ダークウェブで流通するWormGPTやFraudGPTといったDarkAIツールの普及がその背景にあり、技術的な知識がなくてもフィッシングメールやマルウェアを生成できる環境が整いました。AI生成フィッシングのクリック率は54%（従来型12%）に達し、Anthropicの調査では、AIを使って侵入後の横展開や認証情報窃取まで実行する攻撃者の割合が1年間で33%から56%に増えました。

2026年6月9日にはAnthropicがMythosクラスの能力を持つClaude Fable 5を一般公開しましたが、その3日後の6月12日に米商務省の輸出規制指令を受けて停止されました。Fable 5・Mythos 5ともに6月15日時点でアクセス不能であり、再開日は未定です。この停止はあくまで一時的であり、AIツールが攻撃の参入障壁を下げているという流れは止まっていません。

以降では、Claude MythosやFable 5に代表されるAgentic AI（自律型AIエージェント）とWormGPT等のDarkAIツールを利用した攻撃手法をMITRE ATT&CKにマッピングし、それぞれの特徴を見ていきます。

2. MythosとDarkAIは何が違うか

「AIが使われた攻撃」とひとくくりにされることが多いですが、MythosやFable 5に代表されるAgentic AI（自律型AIエージェント）とDarkAIツールでは、攻撃の構造そのものが違います。

攻撃の主体

DarkAIツールは「攻撃者がAIを道具として使う」モデルです。何をするかを決めるのは人間で、AIはその作業を補助・加速します。フィッシングメールを書くのに半日かかっていたものが10分になる、マルウェアのコードを書けなかった攻撃者が書けるようになる、という変化が起きています。Agentic AIは違います。「AIそのものが攻撃者として機能する」モデルで、脆弱性の発見から攻撃コードの生成・実行まで、人間の逐次的な指示なしにAIが自律的に進めます。

カバーする攻撃フェーズ

DarkAIツールのほとんどは、攻撃チェーンの前半——マルウェアやフィッシングツールの準備（リソース開発）と初期アクセス獲得——に集中しています。一方Agentic AIは、偵察から始まり権限昇格・防御無効化・探索までカバーします。侵入後の動きの一部を自律的にこなせる点がAgentic AIの特徴ですが、横展開・C2通信・持ち出しといった侵入後の後半フェーズへの対応は公開情報では確認されていません。

ツールの流通状況

DarkAIツールはすでに月額€60〜からダークウェブとTelegramで調達できます。Agentic AIはClaude Mythos 5とFable 5に代表されますが、6月15日時点では両モデルとも停止中です。Fable 5は6月9日に一般公開（ガードレール付き）されたものの3日後に停止されており、Mythosクラスの能力が誰でも使える状態に近づきつつあることを示した出来事でした。

3. Agentic AI — Mythosと類似ツールの動向

Claude Mythos（Preview → 5）

Mythos Previewは2026年4月にAnthropicが公開したセキュリティ研究用のAIモデルで、重要インフラ事業者40社超への限定提供にとどまっています。主要なOSとブラウザ全てでゼロデイ脆弱性を自律発見し、動作するエクスプロイトを181件生成しました。発見した脆弱性の99%以上がパッチ未適用だったことも特筆されています。

実証済みの能力は、ブラウザの二重サンドボックス突破（4脆弱性の連鎖）、LinuxカーネルへのLPE（レースコンディション＋KASLRバイパス）、クローズドソース商用バイナリのリバースエンジニアリングの3点です。いずれも人間の熟練研究者が相当の時間をかけて行う作業をAIが自律的にこなした点が問題視されています。

2026年6月9日、AnthropicはMythos Previewの正式後継としてMythos 5を公開しました。研究パートナーへの限定提供を継続しており、能力の詳細は非公開ですが、Mythos Previewの上位互換とされています。攻撃利用を前提としない設計で、悪用される前に脆弱性を発見することを目的としたセキュリティ研究用モデルとして位置づけられています。

Claude Fable 5

Claude Fable 5はMythosクラスの基盤モデルをベースにした一般公開モデルで、Mythos 5と同時の2026年6月9日に公開されました。サイバーセキュリティなどの高リスク領域への操作に対してガードレールを設けており、該当クエリは安全性の高いモデルへ自動的に転送される設計になっています。Anthropicは1,000時間超のレッドチーミングで普遍的な回避は確認されていないとしていますが、公開から48時間ほどで研究者Pliny the Liberatorが複数の手法を組み合わせてガードレールを回避したと主張しています。Anthropicはこれを「コードの脆弱性を指摘させる程度の狭い回避」とし、深刻な突破ではないとの立場です。この対立を受けて6月12日に米輸出規制指令が出され、Fable 5は6月15日時点でアクセス不能です。

類似ツールの動向

Mythos Previewが注目を集めた一方で、同様の「自律的に脆弱性を発見・実証する」カテゴリのツールは他にも急増しています。Hadrian社の調査によれば、GPT-4がリリースされた2023年4月以前は類似ツールは5本未満でしたが、その後の18か月で65本以上が公開されました。以下は代表的なものです。

Mythosとの能力比較

各ツールが何を自律的にできるかを整理すると、Mythos Previewがいかに突出しているかがわかります。

△ = 限定的または条件付き

XBOWやNodeZeroは既知の脆弱性クラスや設定不備を高速かつ広範囲に探すのが得意ですが、Mythosが示したような未知の脆弱性を自律発見する領域にはまだ達していません。一方でXBOWがHackerOneで人間の研究者を抑えてトップに立ったように、既知の攻撃クラスにおける自動化の成熟度は急速に上がっています。

4. DarkAIツール

DarkAIツールの登場と普及

WormGPTが初めてダークウェブに登場したのは2023年7月でした。マルウェア関連データで特化学習された独自LLMで、倫理的な制約をすべて取り除いたことを売りにしていました。

同月FraudGPTが、翌8月にはEvilGPTが出現し、WormGPTが2024年にサービスを停止した後も後継ツールが次々と現れました。2024年にはDarkGPT、GhostGPT、WolfGPTが登場し、2025年にはGrokとMixtralをベースにしたkeanu-WormGPTがTelegram経由で配布されています。ダークウェブフォーラムでの言及は2024年に前年比219%増を記録しました。

現在これらのツールはサポートチャンネルと料金プランを備えた事実上のSaaSとして流通しており、ブラウザUIを通じて誰でも使えます。

5. Agentic AI・DarkAIツールのMITRE ATT&CK対応

Agentic AI（Mythos）とDarkAIツール6ツールのTTPを一覧にまとめます。MITRE ATT&CKのタクティクス順に並べており、ひとつのテクニックを複数ツールがカバーしている場合は横断して確認できます。本表は MITRE ATT&CK Enterprise v19.1（2026年4月28日リリース）に準拠しています。

〇 = 公開情報で確認済み　△ = 限定的または条件付き（公開情報からの推測を含む） * Agentic AI 列は Mythos Preview・Mythos 5 の実証結果に基づく

DarkAIツールが対応しているフェーズはリソース開発と初期アクセスが中心です。T1587.001（マルウェア開発）は全ツールが対応しており、AI生成のフィッシングコンテンツとマルウェアが攻撃準備の標準手段になっていることを示しています。

一部のツールはその先まで対応しており、WormGPTは認証情報アクセス（T1539）、FraudGPTは金融詐欺（T1657）への関与が確認されています。DarkGPTは難読化（T1027）機能を主張していますが、ツール自体の実在性に疑義があるため確定的ではありません（表中△）。

T1566のマッピングについては、具体的な送付手法が公開情報で確認できたツール（WormGPT・FraudGPT）はサブテクニックへマッピングし、「フィッシングコンテンツを生成する」という記述にとどまるツール（GhostGPT・EvilGPT）は親テクニックのT1566に留めています。

Agentic AIとDarkAIツールの最大の差は、攻撃チェーンをどこまで連続して実行できるかです。DarkAIツールが武器調達と侵入口の突破に集中しているのに対し、Mythosは偵察から権限昇格・防御無効化・探索までのチェーンを自律的に実行できることがAnthropicの公開レポートで実証されています。

横展開・C2通信・持ち出しはいずれのツールでも対応が確認されていません。ただしこれは「対応できない」ことの証明ではなく、現時点の公開情報に該当する記述がないことを示しています。

DarkAIツールはその性質上これらのフェーズ向けスクリプトを生成できる可能性がありますが、公開情報での実証報告はありません。Mythosも研究の焦点が初期侵害に置かれていたため、侵入後フェーズへの対応は未実証です。

公開情報が示す範囲では、AIは現時点で攻撃チェーンの前半（武器調達・初期侵害・権限昇格・環境把握）を自動化しています。

6. 検出と防御の優先事項

5章のマッピングから、防御の優先事項は2つの軸で整理できます。

DarkAIツールへの対策

最優先になるのはフィッシング検知とマルウェア検知です。全DarkAIツールがT1587.001（マルウェア開発）に対応しており、T1566系のフィッシングも4ツールで確認されています。AI生成フィッシングは従来型と検知の前提が大きく異なり、既存のシグネチャベースフィルタでは対応が難しくなっています。メールゲートウェイへのAI生成コンテンツ検出レイヤーの追加が必要です。マルウェア検知については、WolfGPTをはじめ複数ツールが難読化・暗号化処理を組み込んでいるため、静的シグネチャへの依存度を下げてEDRの振る舞い検知を軸にする必要があります。

Agentic AIへの対策

6月15日時点でMythos 5・Fable 5ともに輸出規制により停止中であり、これが現段階での実質的な抑止となっています。ただし停止は一時的なものであり、再公開や同等ツールが出現する局面に備えた対策の方向性は変わりません。

対策の中心は脆弱性管理サイクルの短縮です。Agentic AIはAI速度で0-dayを発見・実証するため、月次パッチサイクルでは発見から侵害まで対応が間に合わない可能性があります。ASM（攻撃対象領域管理）ツールで公開サービスを継続的に把握しながら、カーネルレベルの保護機能（KASLRなど）が有効になっているかの確認も必要です。外部公開サービスのバージョン情報やHTTPヘッダの余分な情報を削ることも、Agentic AIが偵察段階で収集できる情報を絞り込む観点で有効です。

侵入後の検出では、探索フェーズ（T1082・T1083）の検出シナリオを整備して環境把握行動を早期に捉えることが基本です。加えて、Mythosのブラウザサンドボックス突破事例が示すように、Agentic AIは複数の手順を短時間で次々と実行するため、「一定時間内に複数回失敗」といった人間の攻撃速度を前提にした閾値では捉えにくくなります。偵察・エクスプロイト・権限昇格という一連のシーケンスを横断して相関検出するルールの整備が必要です。

侵入後フェーズ（横展開・C2通信・持ち出し）

既存の検出・防御策は引き続き有効です。ただし、DarkAIツールはその性質上これらのフェーズ向けスクリプトを生成できる可能性があり、同等ツールが出現するにつれ、侵入後フェーズへの対応も必要になる可能性があります。この領域の動向は引き続き注視が必要です。

7. まとめ

「Mythosクラスの能力が一般ユーザーの手に届く」という懸念が、Fable 5の一般公開で想定よりずっと早く現実になりました。公開から48時間ほどで研究者Pliny the Liberatorがガードレールの回避を主張し、米政権はAnthropicに修正またはモデルの取り下げを求めましたが、Anthropicは「深刻な突破ではない」として応じず、6月12日の輸出規制指令につながりました。

ホワイトハウスは中国系グループによるMythosへのアクセスも疑っていますが、Anthropicはこの点を否定しています。規制はジェイルブレークの修正を条件に解除される見込みで、再公開時のガードレールの耐久性は引き続き注視が必要です。Project Glasswingを通じたMythos 5の防御利用フレームワークの進捗も注目しています。

DarkAIツールでは、商用LLMをベースにしたkeanu-WormGPT（Grok/Mixtral）の動向に注目しています。倫理制約を回避するためだけに独自モデルを使っていた初期と違い、能力の高い商用モデルをジェイルブレークする方向へのシフトが見られます。この傾向が続くなら、モデルの能力向上がそのまま攻撃能力の向上につながるリスクがあります。

MITRE ATT&CKは2026年4月28日にv19.1をリリースし、これまでのDefense Evasion（TA0005）をStealth（TA0005）とDefense Impairment（TA0112）に分割しました。隠蔽・偽装と、セキュリティ機構の無効化・破壊を別タクティクスとして扱うことで、検出シナリオの粒度が上がります。ただし、AIがエージェントとして攻撃の各ステップを自律的にオーケストレートする行動には、v19.1時点でも対応するATT&CK IDが存在しません。このギャップが今後どのように埋められるかは引き続き注目しています。

出典