EDR回避も攻撃計画も「月額」で買える？ 地下市場に広がるAI犯罪ビジネスの実態：8ドルから利用可能

AIでマルウェアを作るだけなら、もはや珍しくない。地下市場では今、攻撃経路の設計や検知回避、AIサービスの不正利用、さらには採用面接まで、攻撃に必要な「能力」そのものが売られ始めている。その実態とは。

[＠IT]

　AIはサイバー攻撃者の「副操縦士」から、犯罪そのものを支える商品に変わりつつある。攻撃経路の設計や検知回避、AIサービスの不正利用、さらには採用面接まで。地下市場で異変が始まっているようだ。

　Trellix（Musarubra US）は2026年8月12日（現地時間）、同社の脅威インテリジェンスチーム「Trellix Advanced Research Center」が2026年前半にダークWebのアンダーグラウンドフォーラムや犯罪者間の通信で確認したAI悪用の実態を公表した。

　調査によると、アンダーグラウンドフォーラムでは、AIを使った攻撃計画や検知回避、制限のないAIサービス、窃取されたAIサービスの認証情報、採用活動における不正支援などが、商品やサービスとして流通している実態が確認された。

　もはや単に「AIでマルウェアやフィッシングメールを開発する」といった段階は終わり、攻撃は次のフェーズに進んでいるのだ。

「EDR検知を回避するAI」まで商品化　下がるサイバー犯罪のボーダー

　例えばハッキングフォーラム「DarkForums」では、「APEX AI」と呼ばれる自己ホスト型ツールが宣伝されていた。同ツールは、標的ドメインの調査からランサムウェア投入までの優先攻撃経路を示し、それぞれの手順で実行するコマンドを生成するという。

　APEX AIには、IoT機器向け検索エンジン「Shodan」や流出したパスワード情報を調査できるWebサイト「DeHashed」が組み込まれている。「APT Simulation」モードでは攻撃チェーンを、「Pentest」モードではOWASP（Open Worldwide Application Security Project）やPTES（Penetration Testing Execution Standard、ペネトレーションテスト実行基準）に準拠したチェックリストを生成すると説明されていた。

　アンダーグラウンドフォーラムの広告では、Jenkinsに存在する「Amazon Web Services」（AWS）認証情報、「Pulse VPN」の既知の脆弱（ぜいじゃく）性、CISO（最高情報セキュリティ責任者）を狙ったスピアフィッシングなどを攻撃経路として抽出した例も示されていた。ただし、Trellixは広告で示された性能を再現できるかどうかは確認できなかったとしている。

　こうしたツールが自己ホスト型で提供されている点にも注目だ。サービス提供者側のログやアカウントを押さえるだけでは、利用者の活動を追跡できない可能性がある。

　セキュリティ製品の検知を回避する商品も販売されていた。「Metamorphic Crypter」というツールは、処理ごとに固有のビルドを生成し、AIによる変形や難読化によってセキュリティ製品のシグネチャ検知を回避するという。商品ページでは、DLLサイドローディングや直接syscallを利用してアンチウイルス製品やEDR（Endpoint Detection and Response）を狙うと説明されていた。

　アンダーグラウンドフォーラムでは約5週間にわたって、Metamorphic Crypterにおけるバージョン更新や公開レビュー、サポートを巡るやりとり、機能拡張に関する議論が確認されていた。つまり、単発の実験的なツールというより、通常のソフトウェア製品に近い形で提供されていたことが分かる。

倫理制限のない攻撃特化型AIも市場に流通

　AIも攻撃用途に特化した形で販売されている。

　ハッキングフォーラム「BreachForums」では「MessiahGPT」が、倫理的制約やRLHF（人間のフィードバックによる強化学習）、Constitutional AI（人間が定義した倫理原則のリストを基準にAI自身が自己評価・自己修正し、安全で有益な応答を学ぶアライメント手法）による制御を持たないAIサービスとして宣伝されていた。登録なしで50回まで無料で利用でき、その後は月額8ドルから。有料版では暗号資産による決済を受け付けていた。

　運営者は独自モデルを一から訓練したと主張しているが、技術仕様は確認できない。広告ではランサムウェアや情報窃取型マルウェア、rootkit、フィッシング、詐欺などへの利用が列挙されていた。

　この他、正規AIサービスそのものの「盗用市場」もあるという。

　ハッキングフォーラム「Exploit」では、「Claude」のセッションクッキーを自動購入するbotが確認され、契約種別や残量に応じた価格表を提示していた。同フォーラム「Cracked」では、「Claude Mythos」や「GPT-5.6」へのアクセス再販も確認された他、「CheapAI」は公式APIより65％安い価格と、追加のフィルターなしで正規AI基盤への要求を中継すると宣伝していた。

　ここで問題になるのは、AIの悪用だけではない。盗まれたセッションを利用すれば、攻撃者が正規ユーザーのセッションを乗っ取る形になるため、通常の認証情報だけでは正規利用者と攻撃者を区別しにくくなる可能性がある。AIサービスのアカウントそのものが、攻撃インフラの一部になっているわけだ。

企業に潜入するための“面接対策ツール”まで登場

　Trellixが確認した商品は、マルウェアやAIサービスだけではない。

　Exploitでは、Rust製の採用面接用AI不正支援ツールも販売されていた。直前20秒の音声を文字起こしして質問を抽出し、回答案を表示する他、コーディング課題から解答と説明を生成する。「Zoom」などの画面共有から見えにくい設計も掲げていた。

　こうしたツールは技術面接を突破し、正規の従業員として企業のシステムにアクセスする経路に悪用される可能性がある。

　ロシア語圏の「Telegram」では、OpenAIの技術をベースにしたOSINTツール「DarkGPT」も継続的に宣伝されていた。悪意のあるコードやエクスプロイトの作成を制限なく支援するサービスとうたわれ、3回の無料利用後は有料になる仕組みだ。実装方式や性能は外部から確認できないが、サービスの稼働と宣伝が継続していることが確認された。

　これらを個別に見ると、アンダーグラウンドフォーラムで怪しげなAIサービスが幾つも売られている、という話に見える。しかし、Trellixが捉えている変化はもっと大きなものだ。

　従来、攻撃者が高度な攻撃を実行するには、脆弱性の知識や偵察、コード開発、検知回避、認証情報の窃取など、複数の専門技能が必要だった。しかし今は、AIと地下市場の商品化が組み合わさることで、その一部を自ら身に付ける必要がなくなりつつある。攻撃者が気にすべきは「必要な能力をどこから調達するか」だけだ。

防御側にできることはあるのか？

　サイバー攻撃用のAI商品がまん延する中で、防御側ができることはあるのだろうか。

　Trellixはシグネチャ中心の検知から、攻撃者の挙動を捉える検知へと軸足を移すことを推奨している。加えて、AIを利用した脅威検知・自動対応、AIサービスの認証情報が悪用された場合の対応手順、条件付きアクセスや多要素認証（MFA）、アンダーグラウンドフォーラムの継続的な情報収集などを挙げた。

　AIによって攻撃者の能力が底上げされること自体は、もはや新しい話ではない。今回の調査が示しているのは、その能力が「誰でも買えるサービス」に変わり始めているという点にある。攻撃者が高度な技能を持っているかどうかを前提にした従来の防御モデルは、この変化によって見直しを迫られる可能性がある。