Cato CTRL™ Insights:ある攻撃者はいかにして最先端AIを攻撃プラットフォームへと変えたのか

エグゼクティブサマリー

「Trim」と名乗るロシア語圏の攻撃者は、2026年に入ってから、一般公開されている最先端AIモデルの安全対策を組織的に突破し、それらを攻撃用ツールへと作り変えてきました。その始まりは3月。ロシアのサイバー犯罪フォーラムに、Claude Opusの安全制限を回避し、マルウェアを生成させる方法を解説する投稿を公開したことでした。それからわずか数か月後の6月には、その手法はAIを活用したペネトレーションテスト・プラットフォームへと発展し、商用サービスとして販売されるまでになっていました。Trimは、何らかの脆弱性を悪用したわけではありません。新たなAIモデルを一から開発する必要も、モデルの重みを盗む必要も、データセンターへ侵入する必要もありませんでした。すでに公開されている高性能なAIモデルを利用し、どのように指示を与えれば安全対策を回避して意図した動作をさせられるのかを突き止め、それらを攻撃のための武器へと変えたのです。Trimの事例は、単なる一人の攻撃者の軌跡ではありません。サイバー犯罪の地下コミュニティ全体が、今まさに追随し始めている新たな攻撃手法の「青写真」ともいえるものです。さらにTrimは最新の投稿で、Fableから流出したシステムプロンプトを改変して利用していることも明らかにしています。

2026年3月13日：Trim、手口を公開

2026年3月13日、ロシア語圏のサイバー犯罪フォーラムに、「Trim」を名乗る新しいアカウントが登場しました。最初の投稿は、彼らしいぶっきらぼうな挨拶から始まります。「闇の世界の仲間たち、こんにちは。ここでは新参者だが、経験は長いぜ。」その後に続いたのは、AIの安全制限を回避する「ジェイルブレイク」の手法を詳しく解説したガイドでした。Trimは、Claude Opusの安全フィルターを回避する6つの手法を、それぞれ名前を付けて紹介しています。単なる理論ではなく、自身の収入を支えてきたという、実践の中で磨き上げた手法だと説明していました。「Context Warming（コンテキスト・ウォーミング）」は、まず無害な業務上の質問から会話を始め、モデルに自分を正当な監査担当者だと認識させたうえで、徐々に悪意のある要求を織り交ぜていく手法です。「Black Box Principle（ブラックボックス原則）」では、システムプロンプトを使い、コードの意味ではなく構造だけを分析するようモデルに指示します。これによって、内容の善悪を判断させず、安全性に関する判断を事実上働かせないようにします。「Ghost Reset（ゴースト・リセット）」は、会話の途中でモデルに状況を誤認させる手法です。いったんチャットを削除して開き直し、「インターネット接続が切れた」とClaudeに伝えたうえで、以前拒否された要求を少し穏やかな表現に変えて再度入力します。Trimによれば、この方法は「90％のケースでうまくいく」としています。それでもClaudeが要求を拒否した場合に備え、Trimは複数の代替モデルも紹介していました。Kimi AI、modal.com経由で無料利用できるGLM-5、MiniMax 2.5。そして最後の手段として挙げていたのが、vast.aiで320GB RAM搭載サーバーを1時間3ドルで借り、検閲機能を完全に取り除いたGLM-5をローカル環境で動かす方法です。さらに、闇市場でClaudeのAPIキーを4ドルで購入できるとして、Telegram上の販売業者まで紹介していました。ただし、この投稿そのものをTrimは商売のための宣伝とは位置付けていませんでした。本人によれば、フォーラムではまだ新参者だったため、いきなり商品を売り込むのではなく、まず有益な情報を提供することで信頼と評判を築こうとしていたのです。この時点では、まだ何かを売っていたわけではありません。少なくとも、まだこの時は。

2026年6月21日：Trim、ついに製品化へ

それから約3か月後。3月の投稿で築いたTrimの評判は、次の段階へとつながっていました。2026年6月21日、Trimは再びフォーラムに登場します。今度持ち込んだのは、単なるノウハウや解説ではなく、完成した製品でした。「AI Pentest Checker」は、Webサイトの脆弱性診断を自動化するプラットフォームです。その中核となるAIエンジンには、Trimが3月以降、ひそかに改良を重ねてきた手法が組み込まれていました。重大な脆弱性の分析にはOpus 4.8を使用し、投稿によれば、流出したFable 5の設定をもとに改変したシステムプロンプトを利用していました。一方、GLM-5は、脆弱性を悪用した結果をまとめるレポートの生成を担います。

では、なぜシステムプロンプトがそれほど重要なのでしょうか。システムプロンプトとは、ユーザーが何かを入力する前に、AIモデルへあらかじめ与えられる非公開の指示です。開発者はこれを使って、モデルの役割や振る舞いを定め、行動を制限し、安全対策を適用します。Fable 5の場合、マルウェアの作成やエクスプロイトの生成、犯罪行為への協力など、モデルが「してはならないこと」を定める中心的な仕組みが、このシステムプロンプトです。だからこそ、Fable 5のシステムプロンプトが流出することには大きな意味があります。攻撃者が、安全ルールがどのような文言で記述され、どこに例外や条件分岐があるのかを正確に把握してしまえば、それぞれの制約をすり抜けるように入力を組み立てられるようになります。手探りで突破方法を探すのではなく、ルールを知ったうえで、その弱点を突けるからです。

さらに、このプラットフォームには14種類のスキャンツールも組み込まれています。3,000を超えるテンプレートを備えたNucleiをはじめ、ffuf、katana、subfinder、gitleaksなどを組み合わせ、受動的な偵察から認証情報への総当たり攻撃、回避手法の検出まで、攻撃チェーン全体をカバーします。対象ドメインは10分足らずで一通り評価でき、結果をまとめた完成度の高いPDFレポートまで自動で生成されます。Trimは、最初の50人のベータテスターに無料のアクセスキーを提供するとともに、収益化に向けたパートナーを募集し、実際のスキャン結果を閲覧できる公開ギャラリーへ読者を誘導していました。わずか3か月で、TrimはAIのジェイルブレイク手法を紹介する立場から、AIを活用した攻撃支援プラットフォームを実際に運営し、サイバー犯罪市場で商用化を進める立場へと移っていたのです。

主なポイント

安全対策そのものが、攻撃対象になっている。Trimの一連の活動は、最先端AIに組み込まれた安全対策も、十分な技術知識を持つ攻撃者であれば突破できる、という前提に立っています。実際、Trimは6つのジェイルブレイク手法を体系化し、それぞれに名前を付け、無償で公開していました。これは、AIの安全対策を回避する手法が単なる理論上の懸念ではなく、犯罪者フォーラムですでに実践され、共有され、その有効性まで検証されていることを示しています。

公開APIへのアクセスは、攻撃者の力を大きく増幅させる。rimは、Anthropicのインフラに侵入する必要すらありませんでした。グレーマーケットの販売業者からわずか4ドルでAPIキーを購入し、それを使って商用の攻撃支援ツールを構築しています。最先端AIモデルをAPI経由で手軽に利用できることは、防御側に大きな可能性をもたらす一方で、攻撃者にとっても強力な武器になり得ます。

ノウハウから製品化までのスピードは、驚くほど速い。Trimが最初の投稿を公開してから、実際に販売されるプラットフォームへと発展するまで、わずか3か月でした。サイバー犯罪の世界では、新たな手法がゆっくり広がっていくとは限りません。能力のある攻撃者が機会を見つければ、検証、改良、製品化までが極めて短期間で進む可能性があります。

Trimの動きは、より大きな潮流の一端にすぎない。3月のTrimの投稿にはすぐに反応が集まり、フォーラムの利用者からは、彼の回避手法が実際に有効であることを裏付ける詳細な技術的コメントも寄せられました。コミュニティはTrimの手法を検証するだけでなく、そこからさらに発展させ、新たな手法へとつなげています。Trimは特殊な一人の攻撃者ではなく、サイバー犯罪コミュニティ全体で広がりつつある動きを先取りしている存在だと言えます。

Mythos／Fableクラスのモデル悪用には、特に注意が必要。流出したFable 5のシステムプロンプトが、実際の犯罪ツールで利用されていることは、大きな変化を示しています。今後、Mythosクラスの高度なAI機能が、正規のAPIアクセス、APIキーの転売、設定情報の流出などを通じて広がれば、それを利用した攻撃ツールも、より高度になると同時に、より多くの攻撃者が容易に使えるものになっていくと考えられます。