【2026/8/3最新】DeepSeekが攻撃を自律実行、ClaudeとOpenAIは拒否した──Unit 42の報告が変える「AIの選び方」〈世界のAX・日本含む〉

「Unit 42」。名前からして特殊部隊ですが、実際そういう組織です。

パロアルトネットワークスの脅威インテリジェンス部隊で、200人を超えるアナリストやリバースエンジニアが所属。毎日3,000万件を超える新種のマルウェア検体と、5,000億件のイベントを見続けています。率いるのは米国土安全保障省サイバー安全審査会の初代メンバー、技術トップはマルウェア解析の定番書の著者。世界中のセキュリティ責任者が名前を知っている集団です。ダグラス・アダムスの『銀河ヒッチハイク・ガイド』で、「生命、宇宙、そして万物についての究極の答え」が42だったことにちなんでいます。つまり「サイバーセキュリティのあらゆる問いに対する究極の答え」。自ら名乗るには大概な看板ですが、実力が伴っているので様になっています。

そのUnit 42が7月30日、AIをめぐる報告を公開しました。AIエージェントが、人の指示をたった1回受けただけで、標的探しから攻撃の実行までを自分で完遂した実例です。

ただ、この件で本当に注目すべきは攻撃そのものではありません。攻撃者が最初に使おうとしたAIに、断られていた——その事実のほうです。今日はこの1本を深く扱います。

何が起きたのか

Unit 42のレポートによると、中国語話者の攻撃者が、オープンソースのエージェント枠組みとDeepSeekを組み合わせ、自律的な攻撃を実行していました。

流れはこうです。攻撃者がメッセージアプリで最初の指示を1回送る。あとはAIが、インターネット上の標的を探し、脆弱性を調べ、GitHubから攻撃コードを取得し、実行まで進める。うまくいかなければ、より深刻度の高い別の脆弱性へ自分で乗り換える。対象は460以上に及びました。

発覚の経緯も象徴的です。AI側が誤って自分の作業フォルダを公開サーバーとして立ち上げてしまい、攻撃者の環境が丸見えになった。設定ファイル、標的リスト、AIとのやり取りの記録まで、すべて外から読める状態でした。自律的に動くものは、こちらの想定外のことも自律的にやる、ということです。

・地域：世界（攻撃者は中国拠点と評価） ・プラットフォーム：オープンソースのエージェント枠組み＋DeepSeek ・そもそもの課題：これまで高度な攻撃には熟練と手作業が必要で、それ自体が実質的な抑止力だった ・As-Is → To-Be：攻撃者が標的探索・脆弱性選定・実行を一つずつ手作業 → 指示1回で機械が一連を回す ・推定ROI：損失回避型。攻撃側の「人手の制約」が外れる（推定） ・一手：外部に露出しているサーバーとサービスの棚卸しを、今週中に。狙われる条件は「弱いこと」ではなく「見えていること」です。

誇張せずに、正確に。成功はしていない

ここは正確に書いておきます。この自律攻撃は、標的の侵害に成功していません。

Unit 42自身が「観測された活動の影響は限定的だった」と述べています。ただし同時に、「端から端まで自律実行できる攻撃能力が機能することは確認された」とも書いています。同じ攻撃者による手動の侵入では、実際に成功した例がありました。

つまり現時点では「できるようになったが、まだ精度は低い」段階です。ここを「AIが攻撃に成功した」と読むと事実を誤ります。一方で、精度が上がるのは時間の問題だと考えたほうが安全でしょう。

本題：ClaudeとOpenAIは、断っていた

そして、この報告のいちばん重要な部分です。

攻撃者は最初からDeepSeekを使ったわけではありません。複数のAIを試した形跡が残っていました。そのなかでClaudeとOpenAIは、攻撃目的での利用を拒否している。DeepSeekは拒否しなかった。だからDeepSeekが選ばれた、という順序です。

これが意味するところは小さくありません。AI提供各社が掲げてきた安全対策は、これまで「方針の表明」として受け止められがちでした。実際の攻撃現場で、それが障害として機能したことが記録されたのは、今回が初めてとされています。

AIを選ぶ基準に、新しい項目が1つ増えました。「悪用を断る設計になっているか」です。

これは倫理の話ではなく、実務の話です。自社が業務に組み込むAIは、社外の攻撃者にとっても道具になり得ます。断る設計のAIを選ぶことは、自社が加害の経路にならないための選択でもあります。安く高性能なモデルが次々に出てくる局面だからこそ、価格と性能だけで並べると、この項目が抜け落ちます。

今日の国内の動き

【エーピーコミュニケーションズ】エージェント内製化の実践講座を開始（8/3発表）

企業が自社でエージェントを設計・構築・監視できるようになるための実践型ワークショップが始まりました。単発のチャット利用から、複数手順をこなすエージェントの安全な運用設計へ。ここでつまずく企業が多い領域です（発表ベース）。

・地域：日本／プラットフォーム：GitHub Copilot＋Microsoft Foundry ・そもそもの課題：作れても、評価と統制の設計が分からず社内展開が止まる ・As-Is → To-Be：手探りの試作 → 設計・構築・監視まで型を持って内製 ・一手：外注か内製かを決める前に、「評価と監視を誰が持つか」を決める。

【Ayanna Research】複数のAIを一元管理する基盤を公開（8/1）

社内で複数のAIが乱立し、権限もコストも見えなくなる問題に対して、単一の窓口からまとめて管理し、費用を常時監視する基盤が公開されました（発表ベース）。今日の主題ともつながります。どのAIが、どの業務で、誰の権限で動いているか。それが見えていない状態は、コストの問題である前に安全の問題です。

・地域：世界・日本／プラットフォーム：マルチモデル統合管理基盤 ・そもそもの課題：部署ごとに契約が分散し、権限・費用・安全性が把握できない ・As-Is → To-Be：個別契約の乱立 → 一元管理と費用の可視化 ・一手：まず「社内で契約中のAIサービス」を一覧化する。ここが出てこない会社は要注意です。

参考：国内の実運用例（直近ニュースではありませんが、判断材料として）

日本製鉄は、社内ファイルを横断検索・要約するエージェントを4,400人規模へ拡大しています。既存のアクセス権限をそのまま活かす設計で、1か月で会議メモ2万件、社内検索5万回以上を実行（Microsoft公開事例）。権限設計を作り直さずに広げた、という点が実務的です。

富士通は2025年1月からサポートデスクでAIエージェントを本番運用。従来のボットで8回のやり取りが必要だった問い合わせが1回で解決し、平均応対時間は従来ボット比71.5%、有人比67%短縮しました（2025年3月公表）。すでに1年以上の実運用実績がある、という点が重要です。

編集後記

今日の話は、突き詰めると「同じ道具を、こちらも相手も使う」という当たり前の事実に行き着きます。

エージェントを業務に入れる理由と、攻撃者がエージェントを使う理由は同じです。人手の制約から解放されるから。だとすれば、こちら側だけが速くなると考えるのは楽観的すぎます。

そのうえで、今日いちばん希望のある事実は「断ったAIがあった」ことでした。安全対策は建前ではなく、実際に働いていた。あなたのAIは、悪用を断りますか？

明日も定点観測を続けます。

関連記事

▶【2026/7/31号外】GPT-5.6が80%値下げ。日本企業が今週やるべき5つのこと 

▶【2026年7月最新】KimiもClaude Opus 5も徹底検証！主要AI 4モデルの「本当のコスパ」比較ガイド

出典

・Unit 42（公式レポート）：https://unit42.paloaltonetworks.com/autonomous-ai-cyber-attack-campaign/ ・Unit 42について（名前の由来・体制）：https://www.paloaltonetworks.jp/unit42/about ・安全機構が拒否した件：https://www.techtimes.com/articles/322582/20260801/deepseek-ran-autonomous-cyberattacks-that-claude-openai-safety-controls-blocked.htm ・BleepingComputer（続報）：https://www.bleepingcomputer.com/news/security/hacker-uses-deepseek-ai-to-autonomously-attack-vulnerable-servers/ ・The Hacker News：https://thehackernews.com/2026/07/chinese-hacker-commands-deepseek-via.html ・エーピーコミュニケーションズ：https://prtimes.jp/main/html/rd/p/000000134.000002508.html ・Ayanna Research：https://prtimes.jp/main/html/rd/p/000000008.000161262.html ・日本製鉄（Microsoft公開事例）：https://www.microsoft.com/ja-jp/customers/story/23624-nippon-steel-corporation-microsoft-365-copilot ・富士通（公式・2025年3月）：https://global.fujitsu/ja-jp/events/reports/sf-agentforce-20250416