Unit 42、AI関連マルウェア405件を分析　実運用環境で確認は12件、既存防御で全件検知

Palo Alto Networksの脅威インテリジェンスチームUnit 42は2026年8月25日、AIと何らかの関連を持つマルウェア405件を分析したレポート「The State of AI-Enabled Malware August 2026: From Brand Abuse to Agentic Execution」を公表しました。

調査対象には、LLMを使ってコード生成されたマルウェアだけでなく、AI機能を攻撃処理へ組み込んだもの、AI製品を装ったマルウェア、ファイル名に「ChatGPT」などの名称を使っただけのサンプルまで幅広く含まれています。

405件のうち、Palo Alto NetworksのCortex XDRで保護された実運用エンドポイント上で確認されたのは12件、3%でした。残る約97%についてUnit 42は、研究用PoC、セキュリティ検証、VirusTotalなどの公開・解析環境に留まり、顧客の本番環境へ到達した証拠を確認できなかったとしています。

さらに、実運用環境で確認された12件はすべてCortex XDRでアラートが生成されました。Unit 42は、AIがマルウェアの開発速度や亜種生成を速めている一方、現時点ではAIの利用によって既存の検知技術を突破する能力が大きく高まったとは確認できないと評価しています。

ただし、この「3%」をAIマルウェアの攻撃成功率とみなすことはできません。調査対象の定義が広く、観測環境もPalo Alto Networksのテレメトリに限られるためです。また、主な観測期間は2024年6月から2025年6月であり、2026年8月時点のAI悪用全体を網羅する調査ではありません。

Unit 42のAI関連マルウェア分析のサマリー

• 【確認済み】Unit 42はAIと何らかの関連を持つ405件のユニークなマルウェアサンプルを分析しました。
• 【確認済み】405件のうちCortex XDRで保護された実運用エンドポイント上で確認されたのは12件、3%でした。
• 【確認済み】WildFireのネットワークテレメトリでは約15～20件のユニークハッシュが確認され、全体の約4%でした。
• 【確認済み】実運用エンドポイント上で確認された12件はすべてCortex XDRでアラートが生成されました。
• 【確認済み】Unit 42は残る約97%について、研究用PoC、セキュリティ検証、AIブランド悪用などが中心だったとしています。
• 【確認済み】実運用で確認された12件は、FunkSec、トロイ化アプリ、Oyster、Rhadamanthys、COM Hijacking DLLの5分類に分かれました。
• 【確認済み】FunkSecでは2025年1月1～6日の6日間に7種類のビルドが確認され、Unit 42はLLM支援による高速な開発サイクルとの整合性を指摘しています。
• 【確認済み】Recipe Listerを装うトロイ化インストーラーは50組織超で確認され、6,500件超のエンドポイント記録と9,600件超のXDRアラートを生成しました。
• 【確認済み】Unit 42は、実運用で確認したAI関連サンプルについて、新しい専用の検知手法を必要としなかったとしています。
• 【確認済み】有効だったのはサンドボックス、振る舞い分析、コード署名の異常検知、ファイルエントロピー分析など従来の防御でした。
• 【重要】「12件／405件＝3%」は攻撃成功率ではなく、Unit 42のテレメトリで実運用環境に確認された割合です。
• 【重要】405件にはAIを実際に攻撃処理へ使わない「AIブランド悪用」も含まれます。

項目	内容
レポート公表日	2026年8月25日
調査主体	Palo Alto Networks Unit 42
サンプル数	405件のユニークSHA-256
主な収集元	WildFire、VirusTotal Intelligence、公開OSINT
Cortex XDR実運用環境で確認	12件（3.0%）
WildFireセッションで確認	約15～20件（約4%）
XDRアラート	実運用で確認した12件すべて
約97%の位置付け	研究用PoC、セキュリティ検証、AIブランド悪用など
実運用で確認した分類	FunkSec、トロイ化アプリ、Oyster、Rhadamanthys、COM Hijacking DLL
Endpoint観測期間	2024年12月～2025年6月
Network観測期間	2024年6月～2025年6月
Unit 42の結論	AIは開発・亜種生成を速めるが、既存検知を無効化する能力は今回のデータでは確認されず

405件中、実運用エンドポイントで確認されたのは12件

Unit 42は、AI関連マルウェアの実際の普及状況を調べるため、405件のユニークなSHA-256ハッシュを収集しました。

対象はWildFireの解析レポート、VirusTotal Intelligence、公開された脅威インテリジェンスや研究情報などから集められています。

その上で、405件を複数のPalo Alto Networksテレメトリと照合しました。

Cortex XDRの非テスト環境におけるエンドポイントテレメトリでは12件、3.0%を確認しました。Next-Generation FirewallやCortex XDRからWildFireへ送られたネットワークセッションでは、およそ15～20件のユニークハッシュ、約4%が確認されています。

Unit 42は、405件と実運用で確認された12件の差を今回の分析で最も重要な数字と位置付けています。

約97%は、研究リポジトリ、サンドボックス、VirusTotal、セキュリティ検証環境などには存在したものの、Unit 42の観測範囲では実際の顧客エンドポイントや顧客ファイアウォールを通過した証拠を確認できませんでした。

「3%」はAIマルウェアの攻撃成功率ではない

SecurityWeekは今回の分析について、AIがマルウェア開発を速めても「success rate」を高めていないとの見出しで報じています。

一方、Unit 42の一次レポートが直接示しているのは、405件のうち3%がCortex XDRで保護された実運用環境に確認されたという「production prevalence」です。

つまり、405件の攻撃を実施して12件だけ成功したという実験ではありません。

405件には研究者が作ったPoC、社内セキュリティチームが検知検証に使ったファイル、AI製品名を餌にした通常のマルウェアまで含まれています。

さらに、Palo Alto Networks製品が導入されていない環境での流通状況は、この数字からは分かりません。

したがって、「AIマルウェアの成功率は3%」と単純化するのは適切ではありません。

一次レポートから読み取れるのは、「公開マルウェアリポジトリに存在するAI関連サンプルの量に比べ、Unit 42が確認した本番環境での実運用は限定的だった」という点です。

約97%は研究用PoC、セキュリティ検証、AIブランド悪用

Unit 42は、実運用環境で確認されなかった約97%を大きく3種類に分類しています。

一つ目は研究・PoC用のコードです。

localhostやプライベートIPを攻撃対象として固定していたり、実際の攻撃者なら残さないような詳細なデバッグログを出力したり、大学やセキュリティ研究機関から一度だけアップロードされていたりするサンプルが確認されています。

二つ目は、BAS（Breach and Attack Simulation）や企業の内部セキュリティチームによる検証です。

報道されたAIマルウェアが自社製品で検知できるかを確認する目的で、同じファイルが短時間に何度も投入されるケースが含まれていました。

三つ目がAIブランドの悪用です。

ChatGPTなどAI製品を装ったインストーラーや、AI関連のファイル名を使っているものの、マルウェア自体にはAI機能を持たないサンプルです。

Unit 42は、これはAIを技術的に悪用した新しいマルウェアではなく、AIへの関心を利用するソーシャルエンジニアリングだと整理しています。

セキュリティ対策Labでも、AI関連キーワードや偽のAIサービスを検索結果に表示させ、VidarやLummaなどのマルウェアを配布する事例を取り上げています。

実運用の12件は5つのマルウェア分類

Cortex XDRで保護された実運用環境に確認された12件は、3カ国の複数組織に分散しており、特定業界や地域への統計的に有意な集中は確認されませんでした。

Unit 42は12件を次の5種類に分類しています。

• FunkSecランサムウェア
• トロイ化されたアプリケーション
• Oysterバックドア
• Rhadamanthys Stealer
• COM Hijackingを使うDLL

ただし、これらすべてが「AIによって生成されたマルウェア」という意味ではありません。

例えばCOM Hijacking DLLは、AIブランドを使った誘導キャンペーンと一緒に配布されていたためデータセットへ含まれていますが、DLL自身の動作にAIが必要なわけではありません。

今回の405件を「AI生成マルウェア405件」と表現すると、調査の実態より広くAIの技術利用を印象付けることになるため注意が必要です。

FunkSec、6日間で7種類のビルド

実運用環境で最も多く確認されたのはFunkSecランサムウェアで、7種類の亜種が確認されました。

7件は2025年1月1日から1月6日の6日間にコンパイルされており、共通のRustコードベースを使いながら、PDBパスには複数の異なるプロジェクト名が残っていました。

Unit 42は、この短期間での反復速度について、LLMによる開発支援で新しい亜種を生成するサイクルが高速化した可能性と整合すると評価しています。

一方、7種類すべてをWildFireはマルウェアと判定し、Cortex XDRもエンドポイントで実行された全サンプルについてアラートを生成しました。

つまり、AI支援によって開発や亜種生成の速度が上がっても、それ自体が検知回避能力の向上につながったとは今回の観測では確認されませんでした。

50組織超に到達したトロイ化アプリ、9,600件超のアラート

今回のデータセットで最も広く確認された単一サンプルは、「Recipe Lister」というレシピ検索アプリを装うNSISインストーラーでした。

このファイルはコード署名証明書で署名されていましたが、実行するとJavaScriptベースのバックドアを展開するものでした。使用された証明書はその後失効しています。

Unit 42によると、このサンプルは50を超える組織で確認され、6,500件を超えるエンドポイントプロファイル記録と、約9,600件のXDRアラートを生成しました。

Cortex XDRで保護された環境では、実行に成功したケースは確認されていません。

Unit 42は、署名済みファイルだったことで静的解析上は信頼されやすかった一方、組織内でほとんど見られない署名者であることや、ファイルのエントロピーが極端に高いことなど、別の異常信号によって検知されたと説明しています。

最終的にはWildFireによるクラウドサンドボックス判定も組み合わされ、悪性ファイルとして遮断されました。

OysterやRhadamanthysも確認

実運用サンプルにはOysterバックドアも含まれています。

Dropboxのインストーラーを装い、署名情報にもDropboxの名前を表示させて正規ソフトウェアに見せかける手口が使われていました。

Unit 42は、攻撃者がAIツールを使って初期侵入や配布段階で必要なコードを短時間で生成することで、こうしたローダーの作成・投入コストを下げていると指摘しています。

Rhadamanthys情報窃取型マルウェアも1件確認されました。Unit 42は、過去の調査でAI支援型の感染チェーンと関連付けられたサンプルとして今回のデータセットに含めています。

ただし、最終的に動作するRhadamanthys自体がAIモデルを内部で利用するという意味ではありません。

「開発にAIを使った」「配布チェーンでAIが使われた」「AIブランドで誘導した」「マルウェア自身がAIを実行する」は、それぞれ別の分類として扱う必要があります。

新しいAI専用の検知方式は必要なかった

Unit 42の結論で防御側にとって重要なのは、実運用で確認されたAI関連マルウェアが、従来のマルウェアと同じ手法で検知できた点です。

使用された主な検知手法は次の通りです。

• サンドボックスでの実行解析
• 振る舞い分析
• コード署名の異常検知
• ファイルエントロピー分析

Unit 42は、405件のデータセットについてAI専用の新しい検知方式を必要としたサンプルはなかったとしています。

AIはマルウェアが「どのように書かれたか」を変えているものの、生成された実行ファイルは依然として従来型マルウェアと共通する不審な挙動を示しているという評価です。

これは、AI生成コードを見分けること自体を防御の中心に置く必要があるという意味ではありません。

最終的に端末上で行われるプロセス実行、永続化、認証情報窃取、外部通信、セキュリティ機能への干渉などを検知することが引き続き重要です。

AIは「攻撃の成功率」より開発速度と参入障壁に影響

Unit 42は、AIの影響を過小評価すべきではないとも強調しています。

FunkSecで確認された短期間の亜種生成は、LLM支援によってランサムウェア開発の反復速度が上がる可能性を示しています。

また、初期侵入用コードやインストーラー、配布用スクリプトの生成をAIで支援できれば、高度なプログラミング能力を持たない攻撃者でもツールを作りやすくなります。

一方で、マルウェアを作ることと、防御された企業環境へ展開して検知を回避し、目的を達成することは別問題です。

Unit 42は、今回の観測では攻撃者がAIを使うことで後者を解決できた証拠は確認できなかったとしています。

つまり、現在のAIの主な効果は「より高度で見つからないマルウェアを自動生成すること」より、「既存の攻撃コードをより短時間・低コストで作り、変種を増やすこと」に表れているという分析です。

観測期間は主に2024～2025年、2026年全体の状況ではない

今回のレポートを読む上でもう一つ注意が必要なのが観測期間です。

Cortex XDRのエンドポイントテレメトリは2024年12月から2025年6月、WildFireのネットワーク可視性データは2024年6月から2025年6月が対象です。

レポート自体は2026年8月に公表されていますが、3%という実運用確認率は主として2024～2025年のテレメトリから算出されています。

2026年に入り、AIエージェントを用いて偵察、脆弱性検証、攻撃対象選定などを自律化する事例も増えています。

Unit 42自身も2026年には、DeepSeekなどを使って数百の標的を自動評価し、一部で実際の侵害に成功した攻撃活動を別途報告しています。

そのため、今回の調査は「2026年8月時点でもAI攻撃はほとんど実用化されていない」と断定する材料ではありません。

マルウェアファイルそのものへのAI利用と、攻撃キャンペーン全体をAIエージェントで自動化する動きは分けて追う必要があります。

情報システム・セキュリティ部門への示唆

今回の分析から、企業がAIマルウェア対策として全く新しいセキュリティ製品へ置き換える必要があるとは読み取れません。

まず優先すべきなのは、EDR、振る舞い検知、サンドボックス、Web・メールゲートウェイ、アプリケーション制御など既存の多層防御を適切に運用することです。

AIで生成されたコードであっても、端末上で不審な子プロセスを起動する、外部C2へ通信する、永続化する、認証情報へアクセスするといった挙動は従来の攻撃と共通します。

一方、AIによって開発速度が上がれば、マルウェアの亜種数や攻撃キャンペーンの試行回数が増える可能性があります。

そのため、防御側では単一ハッシュや固定IOCだけに依存するのではなく、振る舞い、親子プロセス、通信先の特徴、署名者の希少性などを使う検知へ比重を置く必要があります。

また、「AI製品を装うだけ」のマルウェアも今回の調査で大きな分類となっています。

業務で生成AIサービスを導入する企業では、従業員が検索結果や広告経由で非公式のAIアプリやブラウザ拡張機能をダウンロードしないよう、利用可能なAIサービスや配布元を明確にすることも重要です。

セキュリティ対策Labでは、AI関連の検索キーワードを悪用してマルウェアを配布するキャンペーンや、生成AI・AIをサイバー攻撃へ利用した事例を継続的に整理しています。

今回のUnit 42の分析は、「AIを使ったマルウェアだから特別な挙動をする」と決めつけるのではなく、AIが攻撃工程のどこへ使われているのかを分解して評価する必要性を示しています。

出典

• The State of AI-Enabled Malware August 2026: From Brand Abuse to Agentic Execution – Palo Alto Networks Unit 42
• AI Speeds Up Malware Development, Not Its Success Rate: Analysis – SecurityWeek
• AI 人気を悪用したマルウェア拡散キャンペーンに注意 – セキュリティ対策Lab
• AIや生成AIの悪用事例や事件を解説 – セキュリティ対策Lab