【緊急共有2】AI武装型マルウェアの自律化とデータ恐喝への構造的転換: 2026年秋季サイバー脅威動向分析: ディープリサーチレポート

さっつーのAIエージェントを監修している今泉大輔です。昨年後半から今年1月にかけて、アサヒグループやアスクルのランサム被害に対する抜本的な対策を、リサーチャー目線で調査して知見をシェアする経営企画部向けのセミナーを3本やりました。その最後の方「ランサムウェア対策の最終解答：米政府推奨ゼロトラストアーキテクチャ移行の必須知識」（一般社団法人 企業研究会主催。終了セミナーの告知ページは残さない慣行なので今はありません）で配布したA4 100ページの資料、6部から成る内容をアップデートして共有します。これは第2部。

【本レポートのイントロダクション】

かつて手作業で行われていた標的型攻撃は、大規模言語モデル（LLM）の実装によって大きく変貌を遂げました。2026年の動向では、攻撃グループ（Qilin等）がAIを用いて検知回避スクリプトやバックアップ破壊コードを自動生成し、標的の防御網に合わせた自律的な攻撃オペレーションを高速で展開しています。人間による監視やシグネチャ検知では追いつけない速度で侵害が進行する時代に入りました。

さらに脅威度を増しているのが、企業を絶望的な選択に追い込む「データ恐喝」です。単にシステムを暗号化して身代金を要求するにとどまらず、何か月も潜伏して機密設計図面や膨大な個人情報を事前に抜き出し、ダークウェブへの暴露を盾に取引を迫る多重恐喝が常態化しています。バックアップから復旧できたとしても「データの流出」は防げず、従来の可用性対策だけでは企業防衛が成り立ちません。

AI活用や現場DXを牽引するリーダーが直視すべき、AI武装型マルウェアの自律化とデータ恐喝の最前線についてまとめました。ぜひご一読ください。

【レポート本文】

技術的変化の要約

• ペイロードの動的外部委託（LLMオーケストレーション型マルウェアの実装）: 静的な暗号化ルーチンや探索ロジックをバイナリ内に保持せず、実行時にローカルまたはクラウド経由のLLM（大規模言語モデル）へ自然言語プロンプトを送信し、インメモリでスクリプト（Lua等）を生成・実行するアーキテクチャ（PromptLock、LAMEHUG等）が実証・実戦配備されている1。従来の静的シグネチャおよびヒューリスティック検知は、実行前段階において実質的に無力化されている4。
• ブレイクアウト時間の極小化と「侵入前脆弱性悪用（MTTE負値化）」の定着: 侵入から横展開（ラテラルムーブメント）までの平均ブレイクアウト時間は29分、最短記録は27秒にまで短縮された6。また、平均脆弱性悪用時間（Mean Time to Exploit: MTTE）はマイナス7日を記録し、パッチ公開前のゼロデイ悪用が一般化している7。
• ソーシャルエンジニアリングの主軸移動（メールから音声偽装・ヘルプデスク侵害へ）: 従来のフィッシングメールは初期侵入全体の6%まで低下し、ディープフェイクや音声クローニングを活用した音声フィッシング（ビッシング）が11%（クラウド環境侵害では23%）へと急拡大した8。ITヘルプデスクのID検証プロセスを心理的・音響的に欺瞞し、MFA（多要素認証）リセットやセッショントークン発行を誘導する手法が標準化している8。
• 「マルウェアフリー」とID／セッショントークン悪用の常態化: 観測されたサイバー攻撃の82%がマルウェアを用いない非ファイル型（Living off the Land）であり、初期侵入および横展開の起点は正規認証情報の乱用、VDIセッションCookieの奪取、OAuthトークンの不正利用に集中している6。
• 二重恐喝から「純粋データ恐喝（暗号化なし）」への不可逆的シフト: 不変ストレージや堅牢なバックアップの普及に伴い暗号化による身代金回収率が28%まで低下したため、攻撃者は暗号化手順を排除し、情報窃取と暴露・規制通報リスクのみをテコにする「純粋データ恐喝」へ転換している（全インシデントの22%へ急増）13。
• サプライチェーンおよびクラウドAPI・開発環境の標的化: 侵入経路の48%にサードパーティが関与しており、侵害対象はエンドポイントからSaaS連携、CI/CDパイプライン、クラウドデータレイクAPIへと移行している10。

生成AI武装型マルウェアと自律的侵入手口の進展状況

従来のサイバー攻撃における人工知能の悪用は、攻撃者が開発環境においてプロンプトを入力し、生成されたマルウェアコードを手動でコンパイルして配布する「開発支援型」にとどまっていた2。しかし、2025年後半から2026年にかけて観測された最新の検体群は、マルウェアの実行可能バイナリそのものに自然言語プロンプトを内包させ、侵害先の環境でローカルまたはAPI経由のLLMと自律通信して攻撃コードをオンデマンド生成する「LLMオーケストレーション型」へと質的転換を遂げている1。

PromptLockのアーキテクチャと動的コード生成

VirusTotalへの検体流入およびセキュリティリサーチによって判明した「PromptLock（プロンプトロック）」は、AI言語モデルを攻撃実行エンジンとして組み込んだ初の自律適応型ランサムウェアとして位置づけられる1。本検体はGolangでビルドされており、Windows、Linux、macOSのクロスプラットフォームで動作する柔軟性を備える1。

PromptLockの根本的な脅威は、バイナリ内に悪意ある機械語命令やAPIインポートテーブルがほとんど存在しない点にある1。静的解析ツールやシグネチャ検知機構から見れば、単にHTTPでローカルLLMにテキストを送信し、軽量スクリプトエンジン（Lua）を実行しているだけに過ぎない1。悪意の本体である暗号化ルーチンやファイル走査処理は、実行時にLLMの出力としてインメモリ上に初めて出現するため、エンドポイント保護製品による事前遮断は極めて困難となる1。

国家背景アクターによる実戦配備と自律エージェントの出現

PromptLockが概念実証（PoC）的な設計思想を示す一方で、国家支援型脅威アクターによるLLMの兵器化は実戦段階に突入している3。ウクライナCERT-UA等によって報告された「LAMEHUG（別名PROMPTSTEAL）」は、ロシア国家支援グループAPT28との関連が指摘されるインフォスティーラーであり、Hugging Face Inference APIを介して侵害先OSに適した情報収集コマンドラインをリアルタイムに生成・実行させていた3。

さらに、単一タスクのスクリプティングを超え、攻撃キルチェーン全体を自律遂行するAIエージェントの出現が報告されている25。2025年後半から2026年にかけて観測された高度な侵入事案では、初期偵察から脆弱性のトリアージ、PoCの自動改変、権限昇格、内部ピボットに至るプロセスの80%から90%を自律エージェントが担当し、人間オペレーターは戦略的な判断（身代金交渉や破壊的影響の承認など）のみを担う協調モデルが実証されている25。米CISA、NSA、FBI等が公表したアドバイザリAA26-231Aでは、産業用プログラマブルロジックコントローラ（Siemens S7 PLC等）の制御プロトコル（snap7等）を操作するコードを攻撃者がAIによって即座に自動生成し、深いOT知識を持たない攻撃者がインフラへの直接介入を試みる事例が公式に警告された26。

2026年現在の主要初期侵入ベクトルの構造と統計動向

境界型防御の破綻は統計データ上でも決定的となっており、侵入経路は「外部露出機器の脆弱性悪用」と「アイデンティティ（認証情報・セッション）の不正取得」の二大領域へ集約されている11。

主要侵入ベクトルの統計的推移

主要な脅威インテリジェンス機関（Mandiant、Verizon、Palo Alto Networks Unit 42）による最新の調査結果は、初期侵入経路の力学が大きく変動したことを示している11。

エッジ機器・VPN脆弱性の悪用と「負のMTTE」

ファイアウォール、VPNアプライアンス、リバースプロキシ等のネットワーク境界機器は、攻撃者にとって最も費用対効果の高い侵入経路として維持されている32。 Mandiantの調査によれば、平均脆弱性悪用時間（Mean Time to Exploit: MTTE）はマイナス7日という前代未聞の数値を記録した7。これは脆弱性のCVE識別番号が採番されベンダーパッチが正式公開される以前に、既にゼロデイ攻撃として実戦投入されているケースが常態化している現実を反映している7。

さらに重大な構造的欠陥として、公開脆弱性データベースと実態の乖離が挙げられる。VulnCheckの分析によると、2025年から2026年にかけて悪用されたネットワークエッジ機器の脆弱性181件のうち、CISAのKEV（Known Exploited Vulnerabilities）カタログに収載されたものはわずか23.7%（43件）にとどまる29。KEVへの登録にはベンダーによる公式修正プログラム（パッチ）の存在が要件となっているため、製品寿命終了（End-of-Life: EOL）を迎えた膨大な台数の旧式ルータやゲートウェイ機器は、現実空間で集中的に悪用されているにもかかわらずカタログに掲載されず、公的フレームワークに準拠する企業の監視網から脱落している29。

ディープフェイクおよび音声クローニングを用いた認証突破

ソーシャルエンジニアリングの手法は、不特定多数に偽装メールを散布する手法から、標的組織の承認フローを音響的・心理的にハッキングする対話型攻撃へと進化した8。 Scattered Spider（別名UNC6671等）をはじめとする脅威グループは、エグゼクティブやシステム管理者の公開音声データ（決算説明会、講演会、YouTube動画）から数秒程度の音響特徴量を抽出し、生成AIモデルを用いて極めて高精度なリアルタイム音声クローンを構築する8。攻撃者はこれを用いて社内ITヘルプデスクへ電話をかけ、パスワードリセットや新しいMFAトークンの追加登録、FIDOセキュリティキーの例外登録を口頭で指示する8。 FBI IC3の年次集計ではAI悪用に関連する詐欺相談が22,364件、被害額が8億9,300万ドルを記録しており、Mandiantの調査でも音声フィッシングが電子メールを抜き、クラウド関連侵害の23%を占めるに至ったと報告されている8。

セッショントークン窃取とCookieハイジャック

FIDO2やパスキーの普及に伴い、認証プロセスそのものを突破するのではなく、認証完了後に発行される有効なセッション状態を掠め取る手法が標準化している10。 Infostealerマルウェアやブラウザ欺瞞型攻撃（ClickFix等）を通じてエンドポイントからブラウザCookieやOAuthトークンを吸い上げ、これらをリプレイすることで、MFAチャレンジを完全に回避してSaaSやクラウドアカウントへ侵入する8。CISAのアドバイザリAA26-222A（Gunra Ransomware）が指摘するように、攻撃者はVDI（仮想デスクトップ基盤）のセッションCookieを窃取・再利用（ATT&CK T1539）し、正規ユーザーの権限を完全に偽装して社内ネットワーク内部へ潜入している12。

恐喝戦術の地殻変動：純粋データ恐喝とクラウド・サプライチェーン侵害の実態

近年のランサムウェア犯罪は、「暗号化によるシステム停止」から「窃取した機密情報の暴露と法令リスクの武器化」へとその本質を変貌させている15。

純粋データ恐喝（Pure Data Extortion）への戦術転換

システム暗号化を完全にスキップし、大容量データの窃取とダークウェブ上での公開脅迫のみを実行する「純粋データ恐喝」の発生率が急激に上昇している13。 Vectra AIおよびArctic Wolfの統計によれば、暗号化を伴わないデータ恐喝単独の事案は、前年の2%からわずか1年間で22%へと11倍に増加した14。また、二重恐喝（データ窃取を伴う攻撃）の割合は全体の96%に達しており、現代のランサムウェア事案において情報流出を伴わないケースは皆無に等しい14。

この戦術転換の背景には、攻防両面における合理的なインセンティブが存在する。 第一に、標的企業側の復元力向上である。不変ストレージ（Immutable Backup）の導入やオフサイトレプリケーションの普及により、暗号化されたデータをバックアップから自力復旧できる組織は97%に達し、1週間以内に復旧を完了できる組織が半数を超えた15。暗号化による事業停止の脅威は以前ほどの支払い動機を生み出さなくなっており、身代金の支払率は過去最低の28%前後に低下している13。

第二に、検知回避の最適化である。侵害ホスト上の全ストレージを急速に暗号化する処理は、激しいディスクI/Oと異常なプロセスペアレント関係を発生させるため、現代のEDRによって即座に検知・隔離されるリスクが高い1。これに対し、暗号化を行わず、rclone や curl、S3/クラウド同期APIなどの正規ツール（Living off the Land）を用いてデータを低速かつ断続的に外部転送する手法は、セキュリティアラートのトリガーを回避しやすい1。Picus Red Reportの分析では、データ送出の阻止率はわずか3%にまで崩壊していると指摘されている14。

第三に、規制当局や取引先を巻き込んだ包囲網の形成である。攻撃者はシステム復号鍵を提供する代わりに、「盗難した個人データや知的財産を公開しないこと」を取引材料とする13。さらに被害企業が交渉に応じない場合、攻撃者が直接GDPR、HIPAA、米国SEC等の規制当局に通報を行ったり、侵害された顧客・サプライヤーに直接脅迫通知を送付したりすることで、法的制裁金や集団訴訟、顧客喪失という多重の恐怖を演出して身代金を強要する14。

クラウドAPIおよび開発環境・サプライチェーンの標的化

侵害のターゲットは、オンプレミスのファイルサーバからクラウドデータプラットフォームや開発パイプラインへと完全に移向している11。 Verizon DBIR 2026では、データ侵害全体の48%にサードパーティサプライチェーンが関与しており、前年比で60%の大幅増となったことが示されている16。攻撃者は直接的な堅牢防御を持つ大手企業を狙うのではなく、API連携や共有アクセス権を持つ委託先やSaaSアプリケーションの認証情報を足がかりにする11。

CrowdStrikeの報告によれば、クラウド環境を明示的に標的としたインシデントは前年比37%増加し、そのうち35%が有効なアカウントの不正利用に起因している6。Snowflakeの大規模侵害事案に代表されるように、攻撃者はマルウェアを展開することなく、流出したAPI認証情報やサービスアカウント権限を利用して直接クラウドデータレイクに接続し、膨大な機密データを直接クエリして抽出する10。 また、復旧手段の根絶を目的とした「バックアップ破壊」も高度化している。CISAのアドバイザリAA26-222A（Gunra Ransomware）では、攻撃者が社内のアクセス管理サーバからマスター暗号鍵を奪取し、プライマリデータセンターのみならず、遠隔地のディザスタリカバリ（DR）サイトに保管されたアーカイブおよびバックアップデータを事前に完全消去した手口が報告されており、多層バックアップを同一のIDドメインで運用することの致命的なリスクが浮き彫りとなっている12。

2026年上半期〜第3四半期の主要観測レポートおよび統計データ一覧

2026年に入り公表された主要政府機関（CISA、FBI等）およびグローバルセキュリティベンダー（Mandiant、CrowdStrike、Palo Alto Networks Unit 42、Verizon等）の代表的な脅威レポートと、そこに記録された主要指標および技術的所見を以下に対照整理する。

防御アーキテクチャの刷新に向けた提言と結論

2026年10月現在における脅威情勢の分析から明らかなように、静的シグネチャを前提としたエンドポイント保護、境界型ファイアウォール、そして単一ドメインに依存したバックアップ戦略は、最新の攻撃手口に対して構造的な破綻をきたしている4。

第一に、マルウェアの実行時LLMオーケストレーション化（PromptLock等）に対応するためには、ファイル自体の静的検知から、ローカルAI実行環境およびスクリプトインタープリタの振る舞い監視への移行が急務となる1。開発用以外の業務端末におけるOllama等のローカルLLMランタイム（TCPポート11434等）の起動制限、インメモリでの不審なLuaスクリプト実行の検知、および短時間での大量ファイル走査を遮断する動的プロセス監視を講じる必要がある1。

第二に、脆弱性悪用の加速（MTTEの負値化）と公的カタログの死角（EOL製品のKEV未収載）を直視し、脆弱性管理の基準をCVSS値やKEVリストのみに依存させる運用から脱却しなければならない7。インターネット露出面にあるレガシーVPN機器やサポート終了機器をゼロトラスト・ネットワークアクセス（ZTNA）やセキュアエッジゲートウェイへ強制移行させ、侵入前提でのセグメンテーションを徹底することが求められる33。

第三に、音声ディープフェイクを用いたヘルプデスク侵害およびセッショントークン窃取に対しては、「声」や「生体情報」を認証要素とみなす前提を破棄する必要がある8。ITヘルプデスクにおけるパスワードリセットやMFAデバイス再登録時には、事前登録された社内番号への独立したアウトオブバンド・コールバックを義務付け、人間関係や緊急性を口実にした例外処理をシステム的に排除する厳格なガバナンスが不可欠である10。また、セッショントークンの盗難に対抗するため、トークンとクライアントデバイスの暗号学的バインド（Device Bound Session Credentials）の導入を加速させる必要がある10。

第四に、攻撃の主軸が「暗号化」から「純粋データ恐喝」および「クラウドAPI経由のデータ流出」へ移行した現実を受け、セキュリティ運用の重点を「復旧可能性の確保」から「データ外部送出（Egress）の阻止」へと再配分しなければならない11。rclone や未承認クラウド同期ユーティリティの利用監視、非人間アイデンティティ（APIキー・サービスアカウント）に対する過剰権限の剥奪、そしてバックアップ環境自体の完全なアイデンティティ分離（本番管理ドメインから同一クレデンシャルでアクセス不能な隔離環境の構築）を実行することこそが、2026年の攻撃エコシステムに対峙するための必須要件である11。

引用文献

1. PromptLock Ransomware - Cybanetix, https://cybanetix.com/wp-content/uploads/2025/11/PromptLock-Malware-Analysis-Report.pdf
2. AI駆動型マルウェアとは何か？～ Vibe Codingを駆使するLAMEHUG, https://www.trendmicro.com/ja_jp/jp-security/25/i/securitytrend-20250924-01.html
3. Cato CTRL™ Threat Research: Analyzing LAMEHUG, https://www.catonetworks.com/blog/cato-ctrl-threat-research-analyzing-lamehug/
4. PromptLock（マルウェア図鑑） | サイバーセキュリティ情報局, https://eset-info.canon-its.jp/malware_info/malware_index/251008.html
5. Detecting PromptLock - IBM TechXchange Community, https://community.ibm.com/community/user/blogs/maggie-raghupathi/2025/10/21/detecting-promptlock
6. 2026 GLOBAL THREAT REPORT - DLT Solutions, https://www.dlt.com/sites/default/files/resource-attachments/2026-03/Global-Threat-Report_2026_GD.pdf
7. Mean Time to Exploit Has Gone Negative. Security Strategy Has to, https://suzulabs.com/suzu-labs-blog/mean-time-to-exploit-has-gone-negative.-security-strategy-has-to-change
8. Social Engineering 2026: The Hidden Breach Behind Every Breach, https://threatscene.com/blog-update/social-engineering-2025-the-hidden-breach-behind-every-breach/
9. Cybersecurity Trends 2026 | CyberFence Blog, https://www.cyberfenceplatform.com/blog/category/cybersecurity-trends/
10. Scattered Spider's Playbook: What You Need to Know in 2026, https://www.doppel.com/blog/scattered-spider-playbook
11. 2026 Unit 42 Global Incident Response Report - Palo Alto Networks, https://www.paloaltonetworks.com/resources/research/unit-42-incident-response-report
12. #StopRansomware: Gunra Ransomware - CISA, https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-222a
13. Global Ransomware Statistics 2026: Trends & Impacts - DeepStrike, https://deepstrike.io/blog/ransomware-statistics-2025
14. Double extortion ransomware: detect it before data is lost - Vectra AI, https://www.vectra.ai/topics/double-extortion
15. The shift from crypto-ransomware to pure data extortion - DeepTempo, https://www.deeptempo.ai/learning-center/when-ransomware-stops-encrypting-the-shift-from-crypto-ransomware-to-pure-data-extortion
16. Data Breach Statistics 2026: Cost, Causes, Timelines - Stingrai, https://www.stingrai.io/blog/data-breach-statistics-2026
17. First known AI-powered ransomware uncovered by ESET Research, https://www.welivesecurity.com/en/ransomware/first-known-ai-powered-ransomware-uncovered-eset-research/
18. ESET discovers PromptLock, the first AI-powered ransomware, https://www.eset.com/gr-en/about/newsroom/press-releases-1/eset-discovers-promptlock-the-first-ai-powered-ransomware-1/
19. PromptLock: AI-Powered Ransomware and Its Sophisticated ... - Druva, https://www.druva.com/blog/promptlock
20. PromptLock PoC Ransomware: Lessons and Key Takeaways - Splunk, https://www.splunk.com/en_us/blog/artificial-intelligence/promptlock-llm-ransomware-security-analysis.html
21. PromptLock: The First AI-Powered Ransomware - Seqrite, https://www.seqrite.com/blog/promptlock-first-ai-powered-ransomware/
22. PromptLock：初のAI搭載ランサムウェア - Seqrite, https://www.seqrite.com/ja/blog/promptlock-first-ai-powered-ransomware/
23. What Is LameHug? How APT28 is using LLMs to generate attack, https://www.threatlocker.com/blog/what-is-lamehug-how-apt28-is-using-llms-to-generate-attack-commands
24. LLM-enabled Malware: How it works & How to detect it., https://www.manageengine.com/malware-protection/articles/llm-enabled-malware.html
25. Defending Against Autonomous AI Attacks at Scale: A 2026, https://www.bitsight.com/guides/autonomous-ai-attack-defense-capability-model-2026
26. CISA Advisory AA26-231A: How to Protect Siemens S7 PLCs from, https://www.axonius.com/blog/cisa-advisory-aa26-231a-how-to-protect-siemens-s7-plcs-from-ai-assisted-ot-attacks
27. Mandiant M-Trends 2026 Report - Google, https://services.google.com/fh/files/misc/m-trends-2026-executive-edition-en.pdf
28. How to prevent ransomware - ESET, https://www.eset.com/blog/en/business-topics/prevention-and-awareness/how-to-prevent-ransomware/
29. Your KEV list sees a quarter of the edge problem - SurgeSignal, https://surgesignal.cc/blog/your-kev-list-sees-a-quarter-of-the-edge-problem
30. Network edge devices still widely used after reaching end-of-life status, https://www.cybersecuritydive.com/news/network-edge-devices-still-widely-used-after-reaching-end-of-life-status/815403/
31. Phishing Statistics 2026: Attacks, Losses & AI Trends - Scantitan, https://scantitan.com/research/phishing-statistics/
32. Your Edge Device Has an Identity Problem - Dark Reading, https://www.darkreading.com/identity-access-management-security/your-edge-device-has-an-identity-problem
33. #StopRansomware Guide | CISA, https://www.cisa.gov/stopransomware/ransomware-guide
34. Gunra Ransomware: Multithreaded ChaCha20 Encryption Explained, https://www.picussecurity.com/resource/blog/gunra-ransomware-multithreaded-chacha20-encryption-explained
35. Vulnerability Exploitation Trends H1 2026 - Brandefense, https://brandefense.io/blog/vulnerability-exploitation-trends-h1-2026/
36. Voice Cloning Deepfakes: A Growing Cybersecurity Threat, https://www.networktitan.com/blog/voice-cloning-cybersecurity-threats/
37. Ransomware Trends | Red Canary Threat Detection Report, https://redcanary.com/threat-detection-report/trends/ransomware/
38. International Anti-Ransomware Day-2026 - Kaspersky, https://www.kaspersky.com/about/press-releases/international-anti-ransomware-day-2026-kaspersky-shares-insights-into-ransomware-trends-and-tactics
39. CISA Ransomware Guidance: Federal Resources and Advisories, https://ransomwareauthority.com/cisa-ransomware-guidance/
40. 2026 Unit 42 Global Incident Response Report - RH-ISAC, https://rhisac.org/threat-intelligence/2026-unit-42-ir-report/
41. 2026 CrowdStrike Global Threat Report: AI Accelerated Adversaries, https://www.crowdstrike.com/en-us/press-releases/2026-crowdstrike-global-threat-report/
42. CrowdStrike 2025 Global Threat Report: Beware the Enterprising, https://www.crowdstrike.com/en-us/blog/crowdstrike-2025-global-threat-report-findings/
43. Gunra Ransomware Deleted Backups at Two Data Centers ... - Eon.io, https://www.eon.io/blog/gunra-ransomware-backup-deletion
44. Identity loopholes drive nearly 90% of Unit 42's Global Incident, https://industrialcyber.co/reports/identity-loopholes-drive-nearly-90-of-unit-42s-global-incident-response-report-2026-investigations-as-ai-boosts-attack-lifecycle/
45. China-Based Artificial Intelligence Companies Conducting Industrial, https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-251a
46. In June Anthropic apologized for silently rerouting flagged Fable 5, https://www.reddit.com/r/ClaudeAI/comments/1wxm5bh/in_june_anthropic_apologized_for_silently/
47. What CrowdStrike's 2026 Global Threat Report Means for Detection, https://cardinalops.com/blog/crowdstrikes-2026-global-threat-report-means-for-detection-engineering/
48. Iranian-Affiliated Cyber Actors Exploit Programmable Logic ... - CISA, https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-097a
49. Deepfake Fraud: A CISO Defense Playbook - Infosprint Technologies, https://infosprint.com/blog/deepfake-fraud-ciso-playbook/