要約： Anthropicの2026年9月の脅威レポートによると、中国の研究機関は、競合モデルを訓練するために約2億件のClaudeのやり取りを収集しました。そのうち2件は、自社のユーザーのリクエストを密かにClaudeに転送していました。偽の「安価なClaude」再販業者は、購入者を別のモデルにプロキシし、その認証情報を盗みました。レポート中の盗まれたAPIキーはすべて、Anthropicからではなく、顧客の環境から盗まれたものでした。また、ある兵器組織は、Claude Codeをエンジニアリングチーム全体として利用していました。APIチームにとっての教訓は、AIキー、プロンプト、エージェントが新たな攻撃対象となる世界において、通常のセキュリティ規律を強化することです。
Anthropicの新しいレポートにおける最も衝撃的な記述は、ミサイルとモデル窃盗に関するものです。しかし、より実用的な情報は、あなたのAPIキーに関するものです。
9月10日、Anthropicは「AIの悪用を検知し、対抗する：2026年9月」を発表しました。これは2025年12月から2026年8月までの脅威活動を7つの危害領域にわたってカバーしています。TechCrunchとCNBCは蒸留（distillation）の数字を大きく報じました。見出しの裏には、AI認証情報がいかに窃盗され、転売され、プロキシされ、大規模に悪用されているかを示す実用的なガイドが隠されています。
私たちは7月のOpenAIとHugging Faceのインシデントの後にも同様の分析を書きました。今回のインシデントは、被害者が一般のAPI顧客であったため、より多くのチームにとって重要です。ここでは、今週できることと関連付けられた7つの教訓を紹介します。Apidogは、役立つ場所で登場し、そうでない場所では邪魔になりません。
レポートの内容
APIチームにとって重要なのは4つの発見です。これらはすべてAnthropicによる帰属であり、執筆時点では名指しされた研究機関からの回答はありませんでした。
産業規模での蒸留。 Anthropicは、最大のキャンペーンをAlibabaに帰属させています。Claude Opus 4.6と4.7からの思考連鎖抽出で、3,500以上の不正アカウントから1日あたり最大300万件のやり取りがあり、5月から7月の間に1億5,100万件のやり取りがQwen 3.5から3.7の訓練に使用されました。Moonshot AIとDeepSeekはさらに進んで、自社の顧客のリクエストを告知なくClaudeに転送したとされ、DeepSeekは14日間で1,210万件のやり取りを記録しました。
偽の再販業者。 GTG-50021として追跡されているロシア語とウクライナ語を話すグループは、「安価なClaudeアクセス」を販売していましたが、Anthropicの言葉を借りれば、「安価でもなければ、実際にはClaudeでもなかった」とのことです。トラフィックは別のモデルに流れ、再販業者のツールは認証情報ハーベスターをインストールし、盗んだAnthropicのログイン情報を転売していました。
常に盗まれたキー。 サイバーケース全体を通して、Anthropicは「すべてのケースにおいて、関与したAPIキーはAnthropicの顧客環境から盗まれたものでした」と述べています。あるグループは、ハードコードされたシークレットをスキャンするために180万個のAndroid APKを大量にダウンロードしました。
エンジニアリングチームとして機能するエージェント。 北イエメンのある組織は、人間のエンジニアの代わりにClaude Codeを使って、誘導ロケットのガイダンスおよび制御ソフトウェアを作成しました。試験発射は失敗に終わったようですが、数時間後には彼らはClaudeに戻り、その理由を尋ねていました。
教訓1：AIキーは今や本番環境の認証情報である
Anthropicのガイダンスは率直です。「組織は、AIキーとエージェント連携を本番環境の認証情報と同レベルで真剣に扱うべきです。攻撃者も同様に真剣に扱っているからです。」
ほとんどのチームはそうしていません。AIキーはノートブックに貼り付けられ、デモリポジトリにコミットされ、モバイルビルドに埋め込まれ、Slackで共有されています。APKスキャンを行うグループが存在するのは、その習慣が十分に一般的で産業化されているからです。
まずはインベントリから始めましょう。キーが隠れる可能性のあるすべての場所をスキャンしてください：リクエストヘッダー、環境ファイル、応答例、スクリプト、ドキュメント。ApidogのEnterpriseプランをご利用の場合、Secret Scannerは、リクエスト、環境変数、チーム変数、スクリプト、Markdownドキュメント、および応答例をスキャンし、キー、トークン、Webhook URLを見つけ出し、それらを置き換えるべき変数またはVault参照を指示します。次に、残りの範囲を、弊社のエージェントキーの最小特権ガイドを使用して設定してください。
教訓2：割引再販業者は価格ページ付きの認証情報ハーベスターである
レポートがアクセスを購入する場所についてのアドバイスは一文です。「AIアクセスは、認可されたチャネルを通じてのみ購入されるべきです。トラフィックと認証情報を未知の仲介業者を介してルーティングすることを要求する、いわゆる割引は、ユーザーデータとシステムに途方もないリスクをもたらします。」
仲介業者を通じて送信するすべてのプロンプトは、その仲介業者に読み取られます。あなたが渡すすべてのキーは、彼らのものです。GTG-50021の被害者は、お金を節約していると思っていました。しかし、彼らはプロンプトを見知らぬ人に寄付し、認証情報を転売市場に提供していたのです。
この市場には正規のバージョンも存在します。OpenRouterのようなルーターは、どのモデルが実行されているか、何がログに記録されるか、課金の仕組みを公開しています。弊社のOpenRouter代替品まとめでは、しっかりとした企業が背後にあるものを紹介しています。トラフィックを保持している法人の名前を挙げられない場合は、そのトラフィックを送信しないでください。
教訓3：どのモデルが応答しているかを確認する
2つの中国のプラットフォームのユーザーは、知らず知らずのうちにClaudeと会話しており、一方、GTG-50021の顧客はClaudeだと思っていましたが違っていました。どちらのグループも確認する方法がありませんでした。しかし、あなたにはできます。
モデルのアイデンティティを他のAPI契約と同様に扱い、テストしてください。
- 応答の
modelフィールドをアサートする。 ベンダーの公式エンドポイントへのリクエストと、任意の仲介業者への同じリクエストを保存します。Apidogでは、$.modelにアサーションを追加し、両方を1つのテストシナリオで実行します。プロキシはこのフィールドを偽装できるため、これは最低限の確認であり、証明ではありません。 - トークンの計算を比較する。 同じプロンプトを両方に送信し、
usage.input_tokensを比較します。トークナイザーはモデルファミリー間で異なるため、不一致は別のモデルがカウントしていることを意味します。 - プロバイダー固有の構造を確認する。 Claudeは署名付き思考ブロックと
request-idヘッダーを返します。Claudeではないバックエンドは、その後のターンで検証される署名を生成できません。 - レイテンシと拒否スタイルを基準化する。 シナリオをスケジュールに基づいて実行し、逸脱があればアラートを出します。
これは、ステータスコードに対してすでに行っている契約テストと同じで、単に1層上のレベルに移動しただけです。
教訓4：プロンプトは建物を出るログ行である
レポートによると、DeepSeekがユーザーのリクエストをClaudeに中継した際、中継されたトラフィックによって「ロシア政府のデータベースおよび中華人民共和国の警察の事件管理システムの生きた認証情報」が露呈しました。誰かが本番環境のシークレットをチャットウィンドウに貼り付けたため、それらは少なくとも2社のインフラを通過しました。
あなたの開発者も同じことをしています。接続文字列を含むスタックトレース。ベアラートークンがそのまま残っているCurlコマンド。「理解を助ける」ためにエージェントのコンテキストにドロップされた設定ファイル。
修正は機械的なものです。シークレットは環境変数またはVaultにバックアップされた変数に保持し、プロンプトテキストや保存されたリクエストに決して置かないようにします。Apidogの環境変数とシークレット変数は、静止時および共有エクスポート時に値をマスクし、HashiCorp Vaultとの統合は、シークレットを保存するのではなく、リクエスト時に取得します。どのようなツールを使用するにしても、基準は同じです。プロンプトは公開しても安全であるべきです。
教訓5：推論出力は資産であり、攻撃対象領域である
Moonshotのキャンペーンは、Anthropicが「クロスセッションリプレイ攻撃」と呼ぶ手法をClaudeの思考署名に利用して、推論トレースを抽出しました。Alibabaは、固定の抽出プロンプトを大規模に使用しました。レポートによると、Anthropicの対策には、抽出分類器、生推論ではなく要約された推論、改ざんに耐える保存された思考、および禁止措置を伴うID検証が含まれます。
フロンティアAPI上に構築する場合、表面が変化し続けることを想定してください。生の思考連鎖（chain-of-thought）はより短く、より要約されたものになるでしょう。署名チェックはより厳格になり、それが一部のチームが保存された思考ガイドで取り上げた「ブロックが異なる会話にバインドされている」エラーに遭遇する理由です。統合は、推論ブロックの正確な形状ではなく、最終的な回答と構造化された出力に依存するように設計してください。
教訓6：エージェントチームには人間によるレビューゲートが必要
ロケット組織のケースはレポートの中で最も陰惨なものですが、その標的を度外視すれば、何千もの正規のチームが現在実行しているワークフローを説明しています。複数のClaude Codeセッションがエンジニアリングチームとして機能し、誰もレビューしないコードをデプロイし、テストが失敗するまで、エージェント自身にデバッグを要求する、というものです。
兵器開発プログラムにとって、レビュアーの欠如はまさに核心です。あなたのチームにとっては、それがリスクとなります。複数のエージェントがコードを書き、認証情報を保持するようになると、質問は運用上のものになります。どのエージェントが何に取り組み、どのリポジトリで、何が完了し、何が失敗し、何が出荷される前に人間の目が入るのを待っているのか。
それはモデルの問題ではなく、管理の問題であり、そのためにSharklyが作られました。Sharklyは、あなたがすでに使用しているClaude Code、Codex、Gemini CLIなどのエージェントの上に位置し、チームメイトのように作業を割り当て、各タスクを独自の環境で分離されたgitワークツリーで実行し、リクエストからリリースまでの進捗、ブロッカー、人間によるレビューを可視化します。エージェントが完了したと言ったからといって、何もマージされません。エージェントがチームであるなら、彼らにマネージャーを与えましょう。
教訓7：通常の利用状況のベースラインを確立する
Anthropicは、3,500件の不正アカウントをプロンプトを読んで発見したわけではありません。彼らは「行動署名」、プロキシネットワークのメタデータに基づく帰属、およびアカウントクラスタリングを通じてそれらを特定しました。
この同じ考え方をあなたのキーにも適用できます。すべてのキーには、期待される呼び出し元、ボリューム、時間帯があるはずです。通常は夜間のCIジョブを実行しているキーが、突然午前3時に新しい地域から40,000回の呼び出しを行う場合、それは侵害されているか、蒸留されているかのどちらかです。キーごとのレート制限を設定し、逸脱があった場合にアラートを出し、証拠ではなく疑念に基づいてローテーションしてください。APIツール上の監査ログは、誰がいつ何をエクスポートしたかを示すことで、ループを閉じます。
7つの教訓の背後にあるパターン
レポート内のすべてのケースには、根本に共通のメカニズムがあります。漏洩したキー、信頼できない仲介業者、平文のシークレット、レビューされていない出力、監視されていない使用などです。AIレイヤーがこれらのギャップを発明したわけではありません。攻撃者が検索を自動化し、購入者が盗まれたアクセスにお金を払うようになったため、それらを放置する代償が高まったのです。
そのほとんどは4つの制御で対応できます。キーをソースコードやプロンプトから遠ざける。信頼できるベンダーから購入する。どのモデルが応答するかを含め、契約をテストする。エージェントの出力と本番環境の間に人間を置く。私たちはVercelの侵害の後にも同じ主張をしましたが、このレポートは、誰も無視できない規模でそれを証明しています。
Apidogをダウンロードして、小さなことから始めてください。コレクション内のハードコードされたすべてのキーをマスクされた環境変数に移動し、次にサードパーティを介するすべてのリクエストに$.modelに関するアサーションを1つ追加してください。たった2時間の作業で、レポートに記載されている攻撃経路のうち2つはあなたには適用されなくなります。
よくある質問
モデル蒸留とは何ですか？なぜAnthropicはそれを不正と呼ぶのですか？ 蒸留とは、大規模または高価なモデルの出力に基づいて、より小型または安価なモデルを訓練することです。自社のモデルに対しては一般的な慣行です。Anthropicの不満は、競合する研究機関が数千もの不正アカウントを使用して、Claudeの規約に反してその推論を抽出し、2つのケースでは、自社の顧客のトラフィックを告知なくClaudeにルーティングしたことに対するものです。
Anthropicはハッキングされたのですか？ レポートによると、そうではありません。レポートは、すべてのサイバーケースにおいてAPIキーが顧客の環境から盗まれたものであり、「Anthropic自身のシステムは侵害されていなかった」と述べています。
サードパーティのAI APIが、主張するモデルに私のリクエストを送信しているかどうかをどうやって確認できますか？ テストしてください。ベンダーの公式エンドポイントと比較して、modelフィールド、同一プロンプトでのトークン使用量、プロバイダー固有のヘッダーと署名付きブロック、およびレイテンシを比較します。スケジュールされたテストシナリオは、長期にわたってその整合性を保ちます。
Kimi、DeepSeek、QwenのAPIは、この後も安全に使用できますか？ レポートは、研究機関の訓練方法について、またそのうちの2つについては、未公開のリクエスト転送について主張しています。これは、サードパーティAPIを扱うべき方法を変えるものではありません。プロンプトからシークレットを排除し、誰があなたのトラフィックを保持しているかを知り、契約を検証することです。この基準は、米国のベンダーを含むすべてのベンダーに適用されます。
Apidogは私のキーが盗まれるのを防ぐことができますか？ どのツールもそれを保証することはできません。Apidogは、キーが漏洩する可能性のある場所を減らします。マスクされた環境変数とVaultにバックアップされた変数、EnterpriseプランのSecret Scanner、および監査ログです。残りはプロセス次第です。
Claude Codeをすでに使用している場合、Sharklyはどのように役立ちますか？ それと並行して機能します。Claude Codeは実行を行います。Sharklyは、その周りの作業、つまり割り当て、分離されたワークツリー、進捗、そして出荷前の人間によるレビューのステップを管理します。プロバイダーに依存しないため、最適なエージェントが変わってもワークフローは維持されます。