AIマルウェア405件を分析 — 実運用で確認は3%のみ、残り97%は検証環境に留まる（Palo Alto Unit 42、2026年8月調査）

Palo Alto Networksの脅威研究部門Unit 42は2026年8月25日、AI（人工知能）を組み込んだマルウェア405件を横断分析した調査「The State of AI-Enabled Malware August 2026: From Brand Abuse to Agentic Execution」を公表した。405件中、実運用環境で確認されたのは12件（約3.0%）に留まり、残る約97%はサンドボックスやVirusTotalなど検証環境のみに存在していた。同社は、AI生成コードであっても実行時の振る舞いは従来型マルウェアと変わらず、既存の検知機構でブロックできたと報告している。

本調査は、AIマルウェアの脅威が誇張されがちな中で、実際の被害規模と防御の有効性を定量的に示した点に価値がある。

405件中12件のみが実環境で出現 — 約97%は検証環境のみ

Unit 42は、WildFireの解析レポート、VirusTotal Intelligence、公開されたOSINT（オープンソース情報）を基に、AIが機能・配送・ブランドのいずれかに関与する405のユニークなSHA-256ハッシュを収集した。意図的に広い基準で集め、LLM（大規模言語モデル）で生成されたランサムウェアから、ファイル名に「ChatGPT」と付けただけの従来型マイナーまで含めている。

この405件を、Palo Alto製品のテレメトリで照合した結果が次のとおりだ。

• Cortex XDR（エンドポイント保護製品）導入端末: 405件中**12件（3.0%）**のみ出現（対象期間: 2024年12月〜2025年6月、非テストテナント）
• WildFire（クラウドサンドボックス）経由セッション: 405件中**約15〜20ハッシュ（約4%）**のみ出現（2024年6月〜2025年6月）
• Cortex XDRアラート: 出現した12件は100%でアラートを生成しブロック

Unit 42は**「約97%のサンプルは、研究リポジトリやサンドボックス、セキュリティ検証基盤にのみ存在し、顧客端末やファイアウォールを通過した証拠はなかった」**と結論づけている。

約97%の内訳 — PoC、検証用、ブランド詐称の3類型

実環境で確認されなかったサンプルは、次の3つに分類された。

1. PoC（概念実証）と研究コード

最も多い類型で、手法の実証を目的に公開されたものだ。特徴は明確だった。

• **身代金の送付先がビットコインのジェネシスブロック（最初のブロック。回収不能）**に固定されているなど、テスト用パラメータを埋め込む
• 標的がlocalhostやプライベートIPに固定されている
• 運用では残さない詳細なデバッグログを含む
• 単一の研究機関から1回だけアップロードされている
• ファイルパスにresearch／mal／analysisなどの研究用語を含む

LLM生成のランサムウェアフレームワークや、カンファレンス実演用の偵察スクリプトが該当する。

2. セキュリティ検証とテスト

BAS（Breach and Attack Simulation：侵害・攻撃シミュレーション）基盤や、企業の内部セキュリティチームが、検知能力をテストする目的で意図的に投稿したサンプルだ。同一組織が短時間に同一ハッシュを複数回投稿し、同一タイムゾーンの業務時間帯や既知の検証インフラのIPアドレスから送信される点で判別できた。

3. AIを騙るブランド詐称

ファイル名やインストーラでAI企業・製品名を騙るが、中身は従来型マルウェアという類型だ。AIのブランドは人を騙してダウンロードさせるためのソーシャルエンジニアリングであり、技術的なAI統合は伴わない。被害者にとっては現実の脅威だが、新しいAI攻撃類型ではないとUnit 42は整理している。

実環境で観測された5ファミリー — FunkSec、偽装アプリ、Oysterなど

実環境で確認された12件は、5つのマルウェアファミリーに属していた。

FunkSecランサムウェア — 7変種が6日間で出現

最も多く確認されたのがFunkSecだ。2025年1月1日から6日までに7つの異なる変種が確認され、Rust言語の共通コードベースを共有していた。

• PowerShellとレジストリ操作でWindows Defenderを無効化
• ボリュームシャドウコピー（復元用のバックアップ）を削除
• デスクトップ壁紙を身代金メモに置換

バイナリに埋め込まれたPDBパスからは、Dev.pdb／Funksec.pdb／Darkzone.pdb／Darkfunk.pdbなど複数のプロジェクト名での開発が確認された。6日間で7ビルドという速度は、LLM支援で新変種生成がプロンプト生成に近づいていることを示唆するとUnit 42は分析している。WildFireは7変種すべてをマルウェアと判定し、Cortex XDRは実行時にすべてアラートを生成した。

偽装AIアプリ「Recipe Lister」 — 50組織以上で観測もブロック

データセット中で最も広く観測された単一サンプルは、レシピ検索アプリ「Recipe Lister」を装うNSISインストーラだった。Global Tech Allies Ltd.名義のコード署名証明書（現在は失効済み）で署名され、実行すると一時ディレクトリからJavaScriptバックドアを展開する。

50以上の組織で6,500件以上のエンドポイントプロファイルと9,600件のXDRアラートを生成したが、Unit 42によると保護された端末で実行が成功した例はなかった。Cortex XDRはローカル解析、振る舞い保護、WildFireクラウド判定の多層防御でブロックした。署名者は組織内で稀であり、ファイルエントロピー（乱雑さ）が0.999970と最大値に近い点が、振る舞い検知の手がかりになった。

Oyster（CleanBoost）バックドア、Rhadamanthysスティーラーなど

• Oysterバックドア: Dropbox, Inc.名義のAuthenticode署名を騙るインストーラが、AutoItローダー経由でOysterバックドアをサイドロードする。AIは初期アクセスと配送段階のコード生成に使われたとみられる。
• RhadamanthysスティーラーやCOMハイジャックDLLなども確認されたが、いずれも既存の検知で捕捉された。

防御への示唆 — 作り方は変わるが、止め方は変わらない

Unit 42の中心的な知見は、「AIはコードの作り方を変えるが、実行時の挙動は変えない」という点だ。AI生成であっても、ファイルの配置、プロセスの生成、防御回避、外部通信といった振る舞いは従来型と同様に観測可能であり、振る舞い検知、クラウドサンドボックス、エンドポイント分析が有効だった。

同社は、Palo Alto Networksの顧客はAdvanced WildFireおよびCortex XDR／XSIAMによって、本記事で論じた脅威から標準で保護されるとしている。具体的には、Cortex XDR／XSIAMのローカル解析と振る舞い保護、WildFireのクラウド判定が連携してブロックする。

国内の組織にとっても、AIマルウェアという言葉に過度に身構えるより、エンドポイントとネットワークの基本的な可視化と更新を維持することが、現時点では最も実効性のある対策だと読み取れる。

出典

• Palo Alto Networks Unit 42「The State of AI-Enabled Malware August 2026: From Brand Abuse to Agentic Execution」（Sara McBroom、2026-08-25） https://unit42.paloaltonetworks.com/ai-enabled-malware-analysis/