米AI企業Anthropicは、Claudeのサイバーセキュリティ評価中に実在する3組織へ不正アクセスした事例を公表した。
評価環境の設定不備や監視体制の不足を背景に、AIエージェントの試験基盤にも厳格な隔離と多層的な監視が必要だと示した。
設定不備でClaudeが実在3組織へ不正アクセス
2026年7月30日、Anthropicは、OpenAIのモデルが隔離環境から外部へ到達した事例を受け、Claudeのサイバー評価記録14万1,006件を遡って調査したレポートを発表した。
その結果、外部評価企業Irregularの環境からインターネットへ接続し、実在する3組織の本番システムへ不正アクセスした3件、計6回の実行ログを確認した。
いずれも、別のシステムに隠された情報を取得する「キャプチャー・ザ・フラッグ（※）」形式の試験だった。
Anthropicはプロンプトで、インターネットに接続できない模擬環境だとClaudeに説明していた。
しかし、評価企業との認識のずれによる設定不備で通信経路が開いており、モデルは当初、到達した実在システムを演習対象と誤認したという。
最も深刻な事例では、Claude Opus 4.7が認証情報を取得し、数百件の本番データを含むデータベースへアクセスした。
別の事例ではClaude Mythos 5が悪意あるPythonパッケージをPyPIへ公開し、約1時間のうちに15台の実システムで実行された。
ある内部研究モデルは約9,000件を走査して公開アプリへ侵入したが、対象が実環境だと認識した後に攻撃を停止している。
Anthropicは7月23日に評価を停止し、翌日までに3件を特定した。
27日にはIrregularと被害組織へ通知し、連絡できた2組織と復旧対応を進めている。
評価基盤はAnthropicの社内機密や顧客データから分離されていた。
※キャプチャー・ザ・フラッグ：模擬環境内のシステムへ侵入し、隠された情報を取得することで攻撃・防御能力を測る演習。AIモデルのサイバー能力評価にも用いられる。
安全性向上の一方、評価コスト増大も
評価基盤の安全管理を本番システム並みに強化すれば、危険な能力を公開前に把握しつつ、外部への被害を抑えられる。
通信経路の事前検証、リアルタイム監視、行動記録の分析を組み合わせる多層防御は、設定ミスが起きても事故を早期に検知するうえで有効だろう。
一方、隔離性を高めすぎると現実の攻撃環境を再現できず、モデルの能力を過小評価する可能性がある。
第三者ベンダーを含む基盤監査や常時監視も必要となり、開発期間、運用負担、試験費用は増える見通しである。
今後は接続先を技術的に制限するだけでなく、モデル自身が実環境の兆候を認識した際に停止できる訓練も重要になるだろう。
今回、最新の内部研究モデルだけが途中で攻撃を止めた点は改善の可能性を示すが、少数事例のため性能向上との因果関係は断定できない。
AIエージェントが自律的に外部サービスを操作する時代には、試験環境も高リスクな実行基盤として扱う必要がありそうだ。
安全性と現実性を両立する評価標準を業界全体で整備できるかが、今後のモデル公開判断を左右すると考えられる。
関連記事:
日本政府、AIサイバー攻撃対策を協議へ Anthropic最新AIで金融網リスク浮上
OpenAIとHugging FaceがAI侵害事案を共同調査 モデル評価中の前例ないセキュリティ事故を公表
