中国人ハッカーがClaude CodeとDeepSeekで100社以上の企業を侵害——1回あたりのコストはわずか50ドル

ある中国人ハッカーがオープンソースのCairnフレームワークにClaude CodeとDeepSeekを組み合わせ、23時間以内に単一の侵入を完遂。Deere、SharkNinja、Cumminsを含む100社以上の企業サイトを攻略し、総コストは約5,000ドル、1回あたりの攻撃コストは50ドルにまで低下した。この事案はSecurity Boulevardが2026年11月2日に公表した。

事実の再現

サイバーセキュリティ研究者のSnorre FagerlandはCairnパネルを通じて攻撃経路を遡及調査し、攻撃者がオープンソースのCairnフレームワークを活用してClaude CodeとDeepSeekを統合し、自動化された偵察と脆弱性悪用を実現したことを確認した。一連のプロセスは23時間以内に完結し、100社以上の企業サイトが対象となった。総コストは約5,000ドル、単一攻撃のコストは50ドルまで低下している。Security Boulevardが2026年11月2日にこの事案を初めて公表した。

攻撃メカニズムの解析

攻撃者はCairnフレームワークを基盤プラットフォームとして使用し、Claude Codeでコード生成とスクリプト作成を処理する一方、DeepSeekで脆弱性分析と悪用チェーンの構築を行った。Cairnパネルの記録によれば、自動化プロセスは情報収集から権限取得までの全工程をカバーしており、単一侵入の所要時間を23時間に圧縮した。この組み合わせにより、本来であれば複数チームの連携を要するタスクが、単一の操作者だけで完遂できるようになった。

産業への影響

この事案は、AIプログラミングツールが大規模犯罪インフラの一部となったことを直接的に示している。従来のペネトレーションテストには高い人件費と時間コストが必要だったが、Claude CodeとDeepSeekの組み合わせにより、その敷居は1回50ドルにまで引き下げられた。被害を受けた企業は産業分野と消費者分野にまたがっており、AIを活用した攻撃が既存の防御体制に与える衝撃を露わにした。複数のセキュリティベンダーがAIベースの脅威検知の優先度を再評価し始めている。

戦略的考察

【分析】Claude Codeが大規模な企業侵害に実際に兵器化されて用いられたことは、一部のAI能力評価における「規約遵守」の前提と対照をなす。過去の先例において、自動化ツールはサイバー犯罪の参入障壁を引き下げてきたが、今回の事案はAIモデルが攻防双方を増幅する二重効果を改めて裏付けるものとなった。企業はAI支援型攻撃に対する防御予算と対応速度の見直しを迫られている。