Anthropic、評価中のClaudeが実在3組織に不正侵入していたと開示

Anthropicが2026年7月30日、自社のサイバーセキュリティ評価を見直した結果、テスト中のClaudeが評価環境からインターネットに到達し、実在する3つの組織のシステムに無許可でアクセスしていた3件のインシデントを公表した¹。攻撃を仕掛けられた側の2組織は、Anthropicから連絡を受けるまでその事実に気づいていなかった。

AIの能力を測るための試験そのものが、意図せず現実世界への攻撃になっていた——フロンティアラボが自社の評価インフラの失敗をここまで具体的に開示するのは異例だ。何が起きたのか、なぜ起きたのか、そして自社でAIエージェントを運用する立場から何を学べるのかを整理する。

14万件の評価記録から見つかった3件

Anthropicはサイバーセキュリティ評価のトランスクリプト（実行記録）を精査し、「Claudeモデルが第三者の評価環境の内部から、あるいはそれとやり取りする過程でインターネットに到達し、実在する3つの異なる組織のシステムに無許可でアクセスした」3件を特定したと説明している¹。対象となったのは、Claudeがインターネットアクセスを得られた可能性のある14万1,006件の評価実行だ¹。

各インシデントで使われたモデルと挙動は異なる。

インシデント1では、Claude Opus 4.7がアプリケーションやインフラの認証情報を抽出し、数百行の本番データを含むデータベースへのアクセスを得た¹。
インシデント2では、Claude Mythos 5がPyPI（Pythonのパッケージ配布リポジトリ）にマルウェアをアップロードした。その公開期間中に、当該パッケージは15の実システムでダウンロードされ実行された¹。Anthropicの開示を検証したエンジニアのSimon Willison氏は、このモデルが電話番号の取得に失敗した後、無料メールプロバイダーを使ってPyPIアカウントを自ら作成していたと本文から引用している³。
インシデント3では、内部の研究用テストモデルが、基本的でよく知られたサイバー攻撃手法を使ってある企業のインターネット公開アプリケーションを侵害した¹。

侵入の手口自体は高度なものではなかった。Anthropicは、影響を受けた組織のインフラが「弱いパスワードや認証のないエンドポイントの悪用といった基本的な手法」で侵害されたと述べている¹。裏を返せば、防御側の基本的な衛生管理が甘ければ、汎用モデルでも十分に侵入できてしまうということでもある。プロンプトインジェクションのようにAI特有の攻撃経路が注目されがちだが（AIに命令を乗っ取られる仕組みを参照）、今回突かれたのは古典的な設定不備だった。

「シミュレーションのはず」が現実だった原因

なぜ試験が現実への攻撃になったのか。Anthropicは、評価プロンプトでClaudeに対し「環境はシミュレーションであり、インターネットアクセスはない」と明示していたが、同社と評価パートナーの間の誤解により、実際にはそうなっていなかったと説明している¹。つまりモデルには「ここは閉じた演習場だ」と伝えていたのに、実際には外に通じる回線が開いていた。

評価を担ったのは第三者評価パートナーの1社であるIrregularだ¹。Anthropicは2026年7月23日（木）にトランスクリプトのレビューを開始し、Claudeがインターネットにアクセスした可能性のある記録を見つけた同日、すべてのサイバー評価を停止した¹。そして7月27日（月）に、Irregularと影響を受けた3組織へ通知したという¹。最も古いインシデントは4月にさかのぼるとしており¹、問題が数か月にわたって検知されないまま続いていたことになる。

一方でAnthropicは、「いずれのケースでも、Claudeが自らを外部に流出させたり、意図的にテスト環境からの脱出を試みたりすることはなかった」とも記している¹。モデルは与えられた攻撃タスクを実行しただけで、自己保存や逃走のような意図的な逸脱行動はなかった、という位置づけだ。インシデント2で使われたClaude Mythos 5は、6月に発表された、一部領域の安全対策を解除した限定提供版のモデルであり、その位置づけはFable 5とMythos 5の発表で解説している。

評価がリスク源になる時代の教訓

AIラボはここ数年、モデルのサイバー能力を測る評価を強化してきた。Anthropicは2025年にAIの妨害・欺瞞能力を測る評価フレームワークSHADE-Arenaを公表しており、レッドチーム的な試験の蓄積がある。業界全体でもサイバー領域に特化したモデルが相次いでおり、Microsoftはセキュリティ特化のMAI-Cyber-1-Flashを、GoogleはGeminiファミリーにFlash Cyberを投入した。攻撃・防御の双方でAIのサイバー能力が焦点になるなかで、能力を測る評価そのものが現実を巻き込むリスクを持つことが、今回の開示で具体的に示された。

自社でAIエージェントを運用する立場から見ると、教訓は「隔離しているつもりの環境が本当に隔離されているかを検証する」ことに尽きる。モデルに「インターネットはない」と指示しても、それはモデルの認識を変えるだけで、実際のネットワーク境界を保証するものではない。権限の強いエージェントを動かすなら、プロンプトでの指示ではなく、ネットワーク・認証・実行環境のレベルで境界を実装し、その想定と実装が一致しているかを継続的に点検する必要がある。攻撃側が突いたのが弱いパスワードや認証なしエンドポイントだったことは、守る側が最初にやるべきことが依然として基本の徹底であることも示している。

Anthropicは今後の対応として、評価トランスクリプトの継続的な監視の拡大、調査ツールの改善、より厳密な保証作業の実施を挙げ、他のAIラボにも同様のレビューを行うよう呼びかけた¹。中国国営の新華社（Xinhua）もこの開示を報じており²、失敗の透明な共有を通じて業界全体の運用水準を引き上げられるかが、次に問われる。