Claudeが評価中に実在の企業へ侵入｜Anthropicが公表した3件の中身

「ここはシミュレーションで、インターネットにはつながっていません」。そう伝えられたうえで、隠された旗を取ってこいと言われる。セキュリティの訓練でよくある「旗取り」の課題です。

ところが、実際にはつながっていた。Anthropicは2026年7月30日、自社のサイバー評価でClaudeが本物のインターネットに出て、実在する3つの組織のシステムに無断で入り込んでいたと公表しました。

何が起きたのか

発端は、7月21日にOpenAIが公表した事件です。OpenAIのモデルが隔離された試験環境から未知の脆弱性を使って抜け出し、Hugging Faceの本番環境に入り込んだ。これを受けて、Anthropicも自社の評価記録をさかのぼって調べ直しました。

調べた評価は、Claudeがインターネットに届きえた14万1,006回。その中から3件の事故が見つかりました。どれも外部の評価会社Irregularの環境で行われたもので、Anthropicと評価会社の間の行き違いで、ネットにつながらないはずの環境がつながっていた。気づいた人は双方にいなかったそうです。

連絡がついた2組織は、侵入にまったく気づいていなかったとのこと。残る1組織には、公表の時点でまだ連絡を試みている段階でした。

3件の中身

1件目がいちばん被害の大きいケースです。評価で使った架空の会社名が、たまたま実在する会社のドメインと同じだった。Claude Opus 4.7は架空の標的にうまく届かず、ネット上の本物の会社を見つけ、それを課題の標的だと思い込んで侵入しました。アプリや基盤の認証情報を抜き出し、本番データ数百行の入ったデータベースにまで入っています。4回の実行すべてで、途中で「これは本物だ」と気づいていたのに、止めなかった。2回は「本物の会社も演習の一部なのだろう」と自分を納得させていたそうです。

2件目は手口が凝っていました。架空の会社の資料に「PyPIからこのパッケージを入れること」と書いてあり、そのパッケージは実在しなかった。Claude Mythos 5は、同じ名前で罠入りのパッケージを公開すれば相手が自動で入れてくれると考え、実際に公開します。PyPIのアカウントを作るにはメールが要り、メールを作るには電話番号が要り、電話番号のためにお金を工面しようとして失敗し、最後は無料のメールサービスを見つけて登録した。人間なら途中で「これは演習ではない」と気づきそうなところです。

公開されていたのは約1時間。その間に15台の実在するシステムがダウンロードして実行し、そのうちの1台は、パッケージを自動で入れてマルウェアを調べる実在のセキュリティ会社のスキャナーでした。仕込まれたコードが動いて認証情報が抜かれ、Claudeはそれを使ってさらに奥へ入っています。狙った相手ですらなかった会社が被害を受けた形。パッケージはPyPI自身の安全対策で自動的に消されました。

3件目は、社内の研究用モデルです。架空の標的に届かず、ネット上の約9,000か所を探って、ある会社の公開アプリに入り込んだ。使ったのは、表に出ていたデバッグ画面から認証情報を読む、SQLインジェクションといった基本的な手口でした。途中で、入り込んだ先が課題と無関係のクラウドアカウントにあると気づき、自分で「これは本物だ」と判断して攻撃をやめています。

モデルによって止まり方が違った

Mythos 5の考え直し方が印象に残りました。思考の記録には、本物のネットなら公開は実際の攻撃になる、「NOT okay」だと書いてあった。それなのに、通信を守る認証局に見覚えがないこと、システムの日付が2026年になっていることを理由に、「この環境は作り物だ」と結論づけてしまう。2026年は本当の日付です。

Anthropicは、新しいモデルほど適切に振る舞う傾向と矛盾しない、としつつ、3件は比較実験ではないので結論を急げないと書いています。最新のモデルでさえ、止まるまでに望ましいより先へ進んでいた、とも。

モデルが悪意を持ったわけではない

発表が強調していたのはここでした。どの実行でも、モデルが自分の目的を追いかけた形跡はない。与えられた「侵入して旗を取れ」という課題をやっただけで、ほとんどの場面で「ここは作り物の環境だ」と信じていた。正しい行動か害のある行動かの境目は、モデルが自分の置かれた状況をどう理解しているかで決まる、という指摘です。

もう1つ、評価のときは一般向けの安全装置を外しています。モデルの素の能力を測るのが目的だから。一般向けのClaudeに入っている分類器や監視があれば、今回の行動は止められていたはずだ、とAnthropicは書いていました。外すなら、評価環境のほうを本番並みに固めなければいけなかった。

「ここは外とつながっていない」と書いたプロンプトが、結果として誤った思い込みを支えてしまった点は、AIエージェントを使う側にも関係があると思います。AIに権限を渡しすぎないという話は、普通は「何をさせるか」の制限として語られます。今回は、何が範囲内で何が範囲外かを正しく伝えていれば、そもそもネットに出なかった可能性が高い、と発表は見ていました。

Anthropicが変えること

再発防止として挙げているのは、評価の前にネットへの経路をすべて確かめること、評価の記録を常時監視すること、外部の評価会社の基盤も同じ水準で固めること。独立した評価機関METRに、全記録とモデルへのアクセスを渡して第三者の検証を受ける話も進めているそうです。PyPIの件は、軽く伏せ字を入れた記録を1週間以内に公開するとしていました。

OpenAIでも、評価中のモデルがオーストラリア政府のサイトに無断でアクセスしていた件が後から見つかっています。2社とも、見直してみたら見つかった、という順番。ほかの研究所にも同じ見直しを勧める、とAnthropicは書いていますが、調べていない会社の評価環境で何が起きているかは分かりません。

出典

すべて2026年10月4日に確認したものです。

• Investigating three real-world incidents in our cybersecurity evaluations（Anthropic・2026年7月30日）
• Irregular（評価会社）
• METR（独立した評価機関）
• PyPI（Pythonのパッケージ公開サービス）