AIマルウェア405件を分析 — 97%はPoCや検証用で実運用はわずか3%、Unit 42が実態を報告

Palo Alto Networksの脅威研究組織であるUnit 42は2026年8月25日、AIを活用したマルウェアの現状に関する分析「The State of AI-Enabled Malware August 2026: From Brand Abuse to Agentic Execution」 を公開した。同社の研究者であるSara McBroom氏が執筆した報告書で、AIの統合をうたうマルウェア405件を収集し、実運用での出現状況と検知結果を検証している。

Unit 42の中心的な発見は、AIマルウェアの領域は現在、PoC（概念実証）コードやセキュリティ検証用のテスト、研究者の投稿が圧倒的に多くを占めており、実運用（プロダクション環境）に到達したものは一部に限られるという点だ。

405件のうち実運用は12件（3%）

Unit 42は、WildFireの分析レポート、VirusTotal Intelligence、公開されているOSINT（オープンソースインテリジェンス）研究から、AI統合が機能の一部、配信の特徴、またはブランドの一部となっている405件のSHA-256ハッシュを収集した。LLMが生成したランサムウェアのエージェントから、ファイル名に「ChatGPT」を含むだけの暗号資産マイナーまで、意図的に広い基準で集めたデータセットだ。

同社はこのデータセットを複数のテレメトリーで照会し、実運用での出現を測定した。

• Cortex XDRエンドポイント：非テストテナントのエージェントテレメトリー（2024年12月〜2025年6月）
• WildFireセッション：次世代ファイアウォールやCortex XDRエージェントから転送されたサンプル（2024年6月〜2025年6月）
• Cortex XDRアラート：エンドポイントで検知ロジックを発動した記録
• WildFireサンドボックス判定：マルウェア分類の結果

結果は次のとおりだった。

テレメトリー	照会した件数	発見された件数	実運用での出現率
Cortex XDRエンドポイント	405	12	3.0%
WildFireセッション	405	約15〜20のユニークハッシュ	約4%
Cortex XDRでアラート生成	12	12	100%

405件のうち実運用で確認されたのは12件（約3%）で、約97%は研究リポジトリ、サンドボックス、セキュリティ検証プラットフォーム上にのみ存在し、顧客エンドポイントや顧客ファイアウォールを通過した証拠は見つからなかったとUnit 42は報告した。顧客環境に到達を試みたサンプルは、同社の製品がすべて検知・阻止したという。

残る97%の内訳 — PoC、検証用、ブランド悪用の3分類

実運用で確認されなかった97%について、Unit 42は次の3つに分類した。

1. PoC・研究コード
最大のカテゴリで、手法の実証を目的として公開された実装が該当する。ビットコインの創世ブロック（Genesis Block）を身代金の送付先にハードコードしたLLM生成ランサムウェアのフレームワーク、カンファレンスのデモ用に作られたAI支援の偵察スクリプト、実標的の侵害ではなく特定のAI統合パターンの検証を目的としたモジュール型攻撃フレームワークなどが含まれる。共通する特徴として、設定でlocalhostやプライベートIPを標的としている、運用中の脅威アクターが残さないような詳細なデバッグログを含んでいる、単一の研究機関や学術機関から1回だけアップロードされている、といった点が挙げられる。ファイルパスに「research」「mal」「analysis」などの語が含まれるものも多く見つかった。

2. セキュリティ検証・テスト
侵害・攻撃シミュレーション（BAS）プラットフォームや、組織内部のセキュリティチームが検知能力をテストするために意図的に投稿したサンプルだ。短期間に同一組織から同一ハッシュが複数回アップロードされる、単一のタイムゾーンの営業時間帯に集中する、既知のテスト基盤のIPアドレスから送信される、といった特徴がある。

3. AIのブランドを悪用
ファイル名で有名なAI企業やAI製品に言及するものの、ペイロード自体は従来型マルウェアをAIアプリに見せかけたインストーラーで包んだものだ。AIのブランドはソーシャルエンジニアリングの手段で、技術的な能力ではない。ダウンロードした人にとっては現実の脅威だが、新しいカテゴリのAI攻撃を代表するものではないとUnit 42は説明している。

実運用で確認された5つのファミリー

12件のうち、Unit 42がエンドポイントで確認したのは、AI統合やAIをテーマとした配信のパターンが異なる5つのマルウェアファミリーだった。

• FunkSecランサムウェア：エンドポイントのデータで最も多く見つかったファミリーで、LLMの支援を受けて部分的に生成されたと複数の研究者が評価している。2025年1月1日から6日の間にコンパイルされた7つの亜種が確認され、Rustの共通コードベースを用い、PowerShellやレジストリ変更でWindows Defenderを無効化し、ボリュームのシャドウコピーを削除し、壁紙を身代金メモに置き換える手口を共有している。バイナリに埋め込まれたPDBパスには「Dev.pdb」「Funksec.pdb」「Darkzone.pdb」「Darkfunk.pdb」といったプロジェクト名が残り、6日間で7ビルドというペースは、LLM支援による開発で亜種生成がプロンプト生成に近い速度で行われていることを示唆するとUnit 42は分析した。
• トロイの木馬化されたAIアプリケーション：データセットで最も広く遭遇したサンプルで、レシピ検索アプリ「Recipe Lister」を装うNSISインストーラーだ。Global Tech Allies Ltd.に発行されたコード署名証明書（現在は失効）で署名され、実行すると一時ディレクトリからJavaScript製のバックドアを展開する。50を超える組織で確認された。
• Oysterバックドア、Rhadamanthysスティーラー、COMハイジャックDLL：残るファミリーとして、Unit 42はこれら3つを挙げている（詳細は報告書で個別に分析されている）。

Unit 42によると、実運用で確認された12件はすべて、エンドポイントで実行された際にCortex XDRがアラートを生成し、WildFireはすべての亜種をマルウェアと判定した。

防御への示唆 — 振る舞い検知は従来型と同じ仕組みで機能

Unit 42は、AIコンポーネントはコードの作り方を変えるが、実行時の振る舞いは変えないため、既存の防御機構が従来型マルウェアと同じ仕組みで検知できると報告した。同社は次のように述べている。

既存の振る舞い検知、クラウドベースのサンドボックス、エンドポイント分析は、従来型マルウェアを阻止するのと同じメカニズムでこれらの脅威を捕捉する。AIコンポーネントは検知を回避しない。コードがどのように作成されるかを変えるだけだ。

同社は、Palo Alto Networksの顧客は、Advanced WildFire、Cortex XDRおよびXSIAMといった製品・サービスによって、これらのAIマルウェアの脅威を初期状態で検知できていたとしている。

日本企業にとっても示唆は明確だ。報告書が示すように、AIマルウェアの97%が実運用に至っていない現状は、過度な不安を煽るのではなく、検証済みの振る舞い検知とサンドボックス、エンドポイント分析といった基礎的な防御の継続的な運用が、AIが生成したコードに対しても有効であることを示している。一方で、FunkSecのようにLLM支援で亜種生成の速度が上がっている事例は、従来のシグネチャ更新だけに依存せず、振る舞いに基づく検知の運用を維持することの重要性を裏付けている。

出典

• Palo Alto Networks Unit 42, Sara McBroom “The State of AI-Enabled Malware August 2026: From Brand Abuse to Agentic Execution” (Aug. 25, 2026) — https://unit42.paloaltonetworks.com/ai-enabled-malware-analysis/