TL;DR
- Anthropic は 2026 年 9 月の脅威報告で「AI の自律化は攻撃者 ROI のコスト側を圧縮し、見返りはおおむね変えない」と評価しました。同社の評価で、第三者の検証はありません（Anthropic）。
- 「コスト側だけが縮んだ」は Anthropic の自己評価に基づく見立てです。そのうえで、試行を増やしても成功率と費用が一定という単純化した式の上では、単価が下がると成功率の低い標的でも期待収支がプラスに戻りえます。この条件の下では、成功率を下げるだけの防御は試行数で埋め合わされうる、というのが筆者の推論です。
- この記事では防御策を 3 つに分けます（筆者の整理）。攻撃 1 件の限界コストを戻す、1 件の成功で得られる上限を縛る、検知コストを攻撃量に比例させない。
- まず自社の主要な防御策を 3 分類に振り分け、どこにも入らない策がどれかを数えてください。
はじめに：Anthropic の評価では、AI は攻撃の「単価」を下げ、「取り分」は変えていない
こんにちは、みねです。
AI を使った攻撃の話は「速くなった」「巧妙になった」で語られがちです。ただ、防御の予算を決める立場から見ると、知りたいのは攻撃者の収支がどう変わったかです。
Anthropic の 2026 年 9 月の報告は、そこに答える一文を置いています。"AI autonomy compresses the cost side of attacker ROI calculations"、そして見返りは "largely unchanged" です（Anthropic）。この記事は、この評価文を前提に、防御策をどう選び直すかを整理します。
認可や監査を どの単位で判定するか は Agentの認可はtaskでなくcampaignで見る で扱いました。この記事は 何に投資するか を扱います。
1. 攻撃者 ROI を分解する
攻撃者の 1 つの作戦の収支を、次のように分けて考えます。式は筆者の整理で、標準のモデルではありません。
期待収支 = 標的あたりの取り分 × 成功確率 × 試行数 − 1 試行あたりの限界コスト × 試行数
この式は、試行数を増やしても成功確率と 1 試行あたりの限界コストが一定という単純化を置いています。実際には、試行を重ねれば検知されて成功率が落ちたり、良い標的から先に尽きたりします。以下の推論はすべて、この前提の上での条件付きのものです。
項目は 3 つに集約できます。
| 項目 | 意味 | AI で変わったか |
|---|---|---|
| 取り分（payoff） | 1 件の成功で得られるもの | Anthropic の評価では「おおむね変わらない」 |
| 成功確率 | 1 回の試行が成功する確率 | 防御側が主に投資してきた項目 |
| 限界コスト | 1 回の試行に要する人手・技能・道具 | Anthropic の評価では「圧縮された」 |
この式の上では、成功確率が低くても、限界コストがそれ以上に下がれば、1 試行あたりの期待収支はプラスになりえます。プラスで、かつ前提どおり成功確率と単価が試行数によらず一定なら、試行数を増やすほど期待収支は増えるので、攻撃は大量・低単価に寄ると推論できます。Anthropic も、単価の低下は「以前は割に合わなかった標的を成り立たせ、大量で手のかからない作戦を促す」と書いています（同報告、同社の評価）。
2. 観測された変化：コスト側だけが縮んだ
コスト側が縮んだことを示す材料は、いずれも Anthropic の公表です。
- 速度と並列性: 侵害が 2〜3 時間で完了し、1 人のオペレーターが数十の被害者を並列に扱ったと報告しています。ある事案では、盗まれた開発者トークン 1 つから約 3 時間で管理者権限まで到達しました（Anthropic 2026-09 報告、同社の観測）。
- 規模: ある作戦は約 4 日で約 30 の AI 企業を標的にしました（同報告、同社の観測）。
- 技能の壁: 832 の禁止アカウントを分析した 2026 年 6 月の研究では、medium 以上のリスクと評価した actor の比率が調査期間（2025-03〜2026-03）の前半 33% から後半 56% に増えたと報告しています。また結論部で、低スキルの actor が熟練者並みのハーネスを構築・運用できるようになりうると警告しています（Anthropic Frontier Red Team、同社の分析）。
- 人の関与: 2025 年の諜報事案では作業の 80〜90% を AI が実行したと公表しています（Anthropic、自己公表）。
単価を金額で示した材料は、スマートコントラクトの実験です。GPT-5 を使ったシミュレーションで、エージェント 1 回の実行は平均 1.22 ドル、脆弱な契約 1 件を見つけるのに平均 1,738 ドル、1 件の収益は平均 1,847 ドル、純益は 109 ドルでした（Anthropic Frontier Red Team）。著者はこれを上限値としています。この数字はブロックチェーン上のシミュレーションという 1 分野の値で、一般の攻撃単価には外挿できません。この記事では「純益がわずかでもプラスなら、試行を増やす動機になる」という構造の例としてだけ使います。同じ研究は、成功した exploit に要した token の中央値が Claude の 4 世代で 70.2% 減ったとも報告しています。
一方、取り分が変わっていないという点は、Anthropic の評価文に拠っています。payoff 側を直接測った観測は確認できていません。
3. 成功率だけを下げる防御が負ける条件
防御側の投資の多くは、成功確率を下げるためのものです。脆弱性の修正、検知ルール、フィッシング訓練などです。
これらは今も必要です。ただし 1 節の式の上では、成功確率を半分にしても、限界コストも半分以下に下がっていれば 1 試行あたりの期待収支の符号は変わりません。その場合、攻撃者は試行数を増やして埋め合わせうる、というのがこの式からの条件付きの推論です。
この推論の上で、成功率だけを下げる防御が負けやすくなるのは、次の 2 つが重なったときです。
- 攻撃者の 1 試行あたりの期待収支がプラスである（1 節の条件）。
- 防御策が 1 回の試行ごと に判定し、攻撃者の 1 試行の限界コストが防御側の 1 判定のコストより安い。
2 つ目は防御側のコスト負担の話で、これだけでは攻撃者の期待収支がプラスだとは言えません。1 つ目と重なったときに、攻撃量が増えるほど防御側のコストだけが積み上がる構図になります。Anthropic は、攻撃者が検知を回避できるまで試行のループを回せるようになった文脈で、「AI がコストを防御側に押し戻した」と評価しています（Anthropic 2026-09 報告、同社の評価）。
4. 制御を 3 つに分ける
ここからは筆者の整理です。標準のフレームワークではありません。防御策を、1 節の式のどの項目に効くかで 3 つに分けます。
| 分類 | 効く項目 | 例 |
|---|---|---|
| A. 限界コストを戻す | 1 試行あたりの限界コスト | 認証情報の短命化（盗んだトークンの再利用を難しくする）、レート制限、試行ごとに人の確認を要する操作、AI の API キーを本番の認証情報と同じ扱いにする |
| B. 取り分を縛る | 標的あたりの取り分 | 権限の最小化と影響範囲の分割、データの分離、1 つのトークンで届く範囲を狭める |
| C. 検知コストを攻撃量に比例させない | 防御側のコスト | 単発ではなく束ねて見る監査、異常な並列性・速度そのものを信号にする検知 |
A について、Anthropic の報告は AI の API キーを本番の認証情報と同じ真剣さで扱うよう勧めています（同報告）。盗まれた 1 つのトークンから約 3 時間で管理者権限に達した事案は、A と B の両方が弱いと 1 回の成功で取り分が最大化する例として読めます。
B は自社エージェントの権限設計と同じ考え方です。詳しくは AIエージェントの権限は影響範囲で設計する を参照してください。ここでは「攻撃者から見た 1 件あたりの取り分の上限」として読み替えます。
C の具体策の 1 つが、session を跨いで identity・対象資産・時間窓で束ねる監査です。設計は Agentの認可はtaskでなくcampaignで見る にまとめています。
3 分類のどれにも入らない策は、成功確率だけに効く策です。不要という意味ではありませんが、3 節の条件が成り立つ場合、単独では期待収支を逆転させにくいと筆者は見ています。
5. 防御側の予算をどう置くか
この記事では、防御予算の総額の決め方は示しません。セキュリティ投資の経済モデルとして Gordon–Loeb モデルがあり、最適な投資額は侵害による期待損失の 1/e（約 37%）を超えないと示したと紹介されています（Wikipedia: Gordon–Loeb model、原論文は Gordon & Loeb 2002, ACM TISSEC）。筆者は原論文の本文と前提を確認できていないため、自社予算の上限としては使いません。参考として紹介するにとどめます。
3 分類は、配分を決める規則ではなく、見直しの材料として使います。筆者の提案は次の手順です。
- 自社の脅威（どの資産が、どの攻撃者に狙われうるか）と、各防御策の効果・費用を評価する。
- 主要な防御策を A / B / C / どれでもない（成功確率のみ）に振り分ける。
- 1 の評価に照らして、「どれでもない」に偏りすぎていないかを見直す材料にする。なお、1 つの認証情報で届く範囲を狭める策（B）は、攻撃量が増えても効果が落ちにくいと筆者は見ています。
6. この整理で言えないこと
- 1 節の式と 4 節の 3 分類は筆者の整理で、効果を測ってはいません。
- 根拠の多くは Anthropic の自己公表・自社の評価です。第三者の検証は確認できていません。
- スマートコントラクト実験の単価は 1 分野のシミュレーション値で、一般の攻撃単価ではありません。
- 取り分が変わっていないという前提は、Anthropic の評価文に拠ります。AI で恐喝や詐欺の手口が変われば、payoff 側も動く可能性があります。
- 1 節の式は、試行数によらず成功確率と単価が一定という単純化の上に立っています。3 節の結論はその前提の上での条件付きの推論です。
- Gordon–Loeb の 1/e は、原論文の前提（損失関数の形など）を確認していないため、予算の根拠には使っていません。
まとめ
- Anthropic の自己評価に基づく見立てでは、AI は攻撃者 ROI のコスト側だけを縮めました。
- 単純化した式の上では、単価が下がると、成功率を下げるだけの防御は試行数で埋め合わされうる、と推論できます。
- 防御策を「限界コストを戻す」「取り分を縛る」「検知コストを比例させない」に分けると、どこが手薄かが見えます（筆者の整理）。
- まず自社の防御策を振り分け、成功確率だけに効く策への偏りを数えてください。
FAQ
AIで攻撃者の取り分（payoff）も増えたのではありませんか
この記事では増えていない前提を置いています。根拠は、AIの自律化は攻撃者ROIのコスト側を圧縮し、得られる見返りはおおむね変えていないというAnthropicの評価文です。payoff側を直接測った観測は確認できていません。
スマートコントラクト実験の1回1.22ドルは、攻撃1件の相場と考えてよいですか
考えないでください。Anthropicの実験はシミュレーション上の値で、GPT-5を使った1分野の結果であり、著者自身が上限値だと書いています。この記事では、単価が試行回数を左右するという構造の例としてだけ使います。
防御策の3分類は標準のフレームワークですか
標準ではなく、筆者の整理です。攻撃1件あたりの限界コストを戻す制御、1件の成功で得られる上限を縛る制御、検知コストを攻撃量に比例させない制御の3つに分けています。
防御予算の総額はどう決めればよいですか
この記事では総額の決め方は示しません。Gordon–Loebモデルは、最適な投資額は期待損失の約37%（1/e）を超えないと示したと紹介されていますが、筆者は原論文の前提を確認できていないため、自社予算の上限としては使わず参考として紹介するにとどめます。3分類は、自社の脅威・効果・費用を評価したうえで配分の偏りを見直す材料として使ってください。
References
- Anthropic「Countering misuse of AI: September 2026」 https://www.anthropic.com/threat-intelligence-report-september-2026
- Anthropic Frontier Red Team「AI agents find smart contract exploits」 https://www.anthropic.com/research/smart-contracts
- Anthropic Frontier Red Team「Mapping AI-enabled cyber threats: Insights from the LLM ATT&CK Navigator」（2026-06-03） https://www.anthropic.com/research/attack-navigator
- Anthropic「Disrupting the first reported AI-orchestrated cyber espionage campaign」 https://www.anthropic.com/news/disrupting-AI-espionage
- Wikipedia「Gordon–Loeb model」 https://en.wikipedia.org/wiki/Gordon%E2%80%93Loeb_model
- Gordon, L. A. & Loeb, M. P.「The Economics of Information Security Investment」ACM TISSEC 5(4), 2002（本文未確認） https://doi.org/10.1145/581271.581274
