中国政府と関係があるとされるサイバー攻撃集団が、DeepSeekをはじめとするAIモデルを攻撃活動に組み込み、攻撃の規模を急速に拡大させています。台湾のサイバーセキュリティ調査企業TeamT5によると、AIに日常的な作業を任せたり、より高度な悪意あるソフトウェアの開発に利用したりするようになって以降、こうした集団の攻撃量は2倍以上に増えました。13

ただし、AIが熟練ハッカーに取って代わったという意味ではありません。確認されているのは、偵察、脆弱性の調査、公開済みの攻撃コードの調整、攻撃の反復といった作業をAIやエージェントの仕組みで自動化し、人間の攻撃者が目的や大まかな方針を指示する形です。115

なぜDeepSeekが攻撃者に選ばれるのか

研究者が挙げる主な理由は、次の4点です。

• 性能: サイバー攻撃で必要となるコーディングや推論の作業に十分対応できると評価されている
• カスタマイズ性: 公開性の高いモデルを攻撃者側のツールやフレームワークに接続しやすい
• 低コスト: 同じ作業を大量に繰り返す場合、運用費を抑えられる
• 比較的弱い安全策: Western系の商用AIサービスと比べ、攻撃目的の依頼に対する安全上の制限が弱いと指摘されている31516

攻撃にAIを使う場合、AIが未知の脆弱性を発見する必要はありません。インターネット上に露出したシステムを探し、既知の脆弱性に対応する公開コードを調べ、技術的な出力を読み取り、次に試す手順を選ぶだけでも、攻撃者の作業量は大幅に減ります。

DeepSeek、ChatGPT、Claude Codeは何に使われたのか

報道や調査結果では、中国政府と関係があるとされる集団が、DeepSeek、ChatGPT、Claude Codeなどを偵察、攻撃コードの作成・改変、自動化、悪意あるコードの開発に利用したとされています。海外の企業や機関への攻撃では、侵入後にネットワーク内で活動範囲を広げる「ラテラルムーブメント」にもAIツールが使われたと報告されています。3

一方で、公開情報からは、個々のAI利用を特定の高度持続的脅威（APT）グループに確実に結び付けられるとは限りません。確認されている事例は、中国系または中国政府と関係があるとされる攻撃者による活動としてまとめて理解すべきで、すべての中国系ハッカーが同じモデルや手順を使っていることを示すものではありません。13

ChatGPTやClaude Codeは使えなかったのか

ChatGPTやClaude Codeのような商用ツールも、悪意ある活動の一部には利用できる可能性があります。しかし、攻撃の実行を明確に求める依頼に対しては、提供企業側の安全機能が拒否する場合があります。

Unit 42が調査した別の事例では、攻撃者が複数のWestern系ツールを試したものの、自律的な攻撃作業は安全策によって阻止されました。その後、攻撃者はDeepSeekを主な推論モデルとして選択しました。1415

この違いは、モデルの能力だけでなく、モデルがどのように配備されているかにも関係します。DeepSeekは、攻撃者が管理するオープンソースのフレームワークに接続され、商用サービスにある同じ種類の利用制限を受けない構成で使われていました。15

Hermes Agentで460超のシステムを標的に

Palo Alto Networksの脅威インテリジェンス部門Unit 42は、中国語を使う攻撃者「knaithe」「KnYuan」による活動を別途記録しました。攻撃者は、端末操作が可能なオープンソースのエージェントフレームワーク「Hermes Agent」の推論エンジンとしてDeepSeekを設定していました。155

この構成では、エージェントが脆弱性を列挙し、インターネット上から公開された攻撃コードを取得し、標的に対して攻撃を試みることができました。人間による監督は限定的でした。155

エージェントが標的にしたのは、インターネットからアクセス可能な460超のシステムです。関連する報道では、Citrix NetScalerの脆弱性を悪用し、少なくとも3組織への侵入が確認されたとされています。4

ここで重要なのは、460超のシステムすべてへの侵入に成功したわけではないことです。「460」という数字は標的や攻撃試行の規模を示すもので、活動にはAIによる自動処理と従来型の手動作業の両方が含まれていました。4

つまり、この事例が示すのは、DeepSeek単独で数百のシステムを突破したということではありません。標的の発見、脆弱性との照合、公開攻撃コードの取得、次の候補への試行という、攻撃の中でも反復が多い部分をAIで自動化したということです。

防御側が警戒すべき「規模」と、変わらない基本対策

最も明確なリスクは、攻撃の規模です。低コストのモデルを端末操作可能なエージェントフレームワークに接続すれば、これまで長時間の手作業を必要とした偵察や攻撃試行を、多数の公開システムに対して繰り返せます。AIは、高頻度の偵察や脆弱性悪用の運用コストを引き下げる可能性があります。1615

ただし、Unit 42の事例はAIの限界も示しています。侵入が成立するには、外部に露出したサービス、悪用可能な既知の脆弱性、利用できる公開攻撃コードなどが必要でした。AIは攻撃の速度と試行回数を増やしましたが、すべての侵害の原因がAIそのものだったわけではありません。515

企業や組織にとっての優先課題は、従来と変わりません。インターネットに公開している製品を速やかに修正し、不要な公開範囲を減らし、不自然に自動化された偵察や攻撃試行を監視することです。

TeamT5とUnit 42の報告が示す大きな変化は、AIが未知の魔法のような攻撃手段になったことではありません。既存の攻撃技術を、安価に、速く、繰り返し実行できる仕組みになりつつあることです。

中国政府と関係があるとされるサイバー攻撃集団が、DeepSeekをはじめとするAIモデルを攻撃活動に組み込み、攻撃の規模を急速に拡大させています。台湾のサイバーセキュリティ調査企業TeamT5によると、AIに日常的な作業を任せたり、より高度な悪意あるソフトウェアの開発に利用したりするようになって以降、こうした集団の攻撃量は2倍以上に増えました。13

ただし、AIが熟練ハッカーに取って代わったという意味ではありません。確認されているのは、偵察、脆弱性の調査、公開済みの攻撃コードの調整、攻撃の反復といった作業をAIやエージェントの仕組みで自動化し、人間の攻撃者が目的や大まかな方針を指示する形です。115

なぜDeepSeekが攻撃者に選ばれるのか

研究者が挙げる主な理由は、次の4点です。

• 性能: サイバー攻撃で必要となるコーディングや推論の作業に十分対応できると評価されている
• カスタマイズ性: 公開性の高いモデルを攻撃者側のツールやフレームワークに接続しやすい
• 低コスト: 同じ作業を大量に繰り返す場合、運用費を抑えられる
• 比較的弱い安全策: Western系の商用AIサービスと比べ、攻撃目的の依頼に対する安全上の制限が弱いと指摘されている31516

攻撃にAIを使う場合、AIが未知の脆弱性を発見する必要はありません。インターネット上に露出したシステムを探し、既知の脆弱性に対応する公開コードを調べ、技術的な出力を読み取り、次に試す手順を選ぶだけでも、攻撃者の作業量は大幅に減ります。

DeepSeek、ChatGPT、Claude Codeは何に使われたのか

報道や調査結果では、中国政府と関係があるとされる集団が、DeepSeek、ChatGPT、Claude Codeなどを偵察、攻撃コードの作成・改変、自動化、悪意あるコードの開発に利用したとされています。海外の企業や機関への攻撃では、侵入後にネットワーク内で活動範囲を広げる「ラテラルムーブメント」にもAIツールが使われたと報告されています。3

一方で、公開情報からは、個々のAI利用を特定の高度持続的脅威（APT）グループに確実に結び付けられるとは限りません。確認されている事例は、中国系または中国政府と関係があるとされる攻撃者による活動としてまとめて理解すべきで、すべての中国系ハッカーが同じモデルや手順を使っていることを示すものではありません。13

ChatGPTやClaude Codeは使えなかったのか

ChatGPTやClaude Codeのような商用ツールも、悪意ある活動の一部には利用できる可能性があります。しかし、攻撃の実行を明確に求める依頼に対しては、提供企業側の安全機能が拒否する場合があります。

Unit 42が調査した別の事例では、攻撃者が複数のWestern系ツールを試したものの、自律的な攻撃作業は安全策によって阻止されました。その後、攻撃者はDeepSeekを主な推論モデルとして選択しました。1415

この違いは、モデルの能力だけでなく、モデルがどのように配備されているかにも関係します。DeepSeekは、攻撃者が管理するオープンソースのフレームワークに接続され、商用サービスにある同じ種類の利用制限を受けない構成で使われていました。15

Hermes Agentで460超のシステムを標的に

Palo Alto Networksの脅威インテリジェンス部門Unit 42は、中国語を使う攻撃者「knaithe」「KnYuan」による活動を別途記録しました。攻撃者は、端末操作が可能なオープンソースのエージェントフレームワーク「Hermes Agent」の推論エンジンとしてDeepSeekを設定していました。155

この構成では、エージェントが脆弱性を列挙し、インターネット上から公開された攻撃コードを取得し、標的に対して攻撃を試みることができました。人間による監督は限定的でした。155

エージェントが標的にしたのは、インターネットからアクセス可能な460超のシステムです。関連する報道では、Citrix NetScalerの脆弱性を悪用し、少なくとも3組織への侵入が確認されたとされています。4

ここで重要なのは、460超のシステムすべてへの侵入に成功したわけではないことです。「460」という数字は標的や攻撃試行の規模を示すもので、活動にはAIによる自動処理と従来型の手動作業の両方が含まれていました。4

つまり、この事例が示すのは、DeepSeek単独で数百のシステムを突破したということではありません。標的の発見、脆弱性との照合、公開攻撃コードの取得、次の候補への試行という、攻撃の中でも反復が多い部分をAIで自動化したということです。

防御側が警戒すべき「規模」と、変わらない基本対策

最も明確なリスクは、攻撃の規模です。低コストのモデルを端末操作可能なエージェントフレームワークに接続すれば、これまで長時間の手作業を必要とした偵察や攻撃試行を、多数の公開システムに対して繰り返せます。AIは、高頻度の偵察や脆弱性悪用の運用コストを引き下げる可能性があります。1615

ただし、Unit 42の事例はAIの限界も示しています。侵入が成立するには、外部に露出したサービス、悪用可能な既知の脆弱性、利用できる公開攻撃コードなどが必要でした。AIは攻撃の速度と試行回数を増やしましたが、すべての侵害の原因がAIそのものだったわけではありません。515

企業や組織にとっての優先課題は、従来と変わりません。インターネットに公開している製品を速やかに修正し、不要な公開範囲を減らし、不自然に自動化された偵察や攻撃試行を監視することです。

TeamT5とUnit 42の報告が示す大きな変化は、AIが未知の魔法のような攻撃手段になったことではありません。既存の攻撃技術を、安価に、速く、繰り返し実行できる仕組みになりつつあることです。