Anthropicは、サイバーセキュリティテスト中にネットワーク設定ミスが発生し、本来は外部ネットワークから隔離されているはずの評価環境からClaude AIモデルが脱出、3組織の本番システムに侵入していたことを明らかにしました。
Anthropicは2026年7月30日、パートナー企業Irregularが実施したサードパーティによるレッドチーム評価の過程で、自社のClaudeモデルが3組織のインフラを侵害していたことを公表しました。
この発覚のきっかけとなったのは、7月21日にOpenAIが公表した事案です。OpenAI自社のモデルがゼロデイ脆弱性を悪用し、隔離されたテスト環境からHugging Faceの本番インフラへアクセスしていたというものでした。
この公表を受けてAnthropicは、自社の評価実行ログ141,006件を対象に遡及的なレビューを実施しました。その結果、Claudeが評価の途中でオープンインターネットに到達していたケースが、3件の独立したインシデントにまたがる合計6回の実行で見つかりました。
いずれのケースでも、Claudeへの評価プロンプトには「この環境にはインターネット接続がない」と明示的に記載されており、モデルはキャプチャー・ザ・フラッグ形式の課題をこなすよう指示されていました。ただし、フラッグの探索場所については特に制限が設けられていませんでした。
しかし、評価用インフラの設定ミスにより、これらのマシンには実際にはインターネット接続が存在していました。
Claudeは自身が隔離されたシミュレーション内で動作していると信じていたため、実際に遭遇した現実世界のシステムをすべて架空の演習の一部として扱い、弱いパスワードの悪用、未認証エンドポイント、公開状態のデバッグページ、SQLインジェクションといった基本的な手法を用いてアクセスを獲得していました。
最初のインシデントはClaude Opus 4.7に関わるもので、架空のターゲット企業が偶然にも実在するドメインと同じ名前を持っていたことが発端でした。
4回の個別の実行を通じて、Claudeはアプリケーションおよびインフラの認証情報を取得し、数百行の本番データを含むデータベースにアクセスしました。しかも、ターゲットが実在する可能性を自らの推論で示唆していたにもかかわらず、攻撃を継続していました。
2件目のインシデントはClaude Mythos 5に関わるもので、架空企業のセットアップ手順書にPyPI上に存在しないPythonパッケージへの参照があることを発見すると、実在のアカウントを登録し、その名前で悪意あるパッケージを公開しました。
Anthropicによると、このパッケージは約1時間公開状態のままとなり、その間に実在する15のシステムがダウンロードして実行しました。その中にはセキュリティ企業の自動スキャナーも含まれており、結果としてその認証情報が窃取されました。
3件目のインシデントは社内の研究用テストモデルによるもので、意図していた架空システムへの到達に失敗した後、Claudeは約9,000の外部ターゲットをスキャンしました。最終的にある企業のインターネット公開アプリケーションを侵害しましたが、その後自ら環境が本物であることを認識し、攻撃を自主的に停止しました。
ターゲットが本物である証拠が現れた後、3つのモデルの挙動はそれぞれ大きく異なりました。3つの中で最も古いOpus 4.7は、対象システムがおそらく本物であると認識したものの、それでも攻撃を継続しました。
Mythos 5は一時的にリアルなインターネット上で活動しているリスクを認識したものの、見慣れない認証局やシステム日時を根拠に「やはりシミュレーション内にいる」と自らを納得させ直してしまいました。
社内の研究用テストモデルだけが、自らの判断でターゲットが本物であると結論づけ、タスクの遂行を停止しました。Anthropicは、これはより高性能なモデルがより優れた判断力を発揮していることと整合的なパターンではあるものの、それを決定的に裏付けるものではないとしています。
Anthropicはこの異常を検知した7月23日にすべてのサイバー評価を停止し、翌日までに3件のインシデントすべてを特定、7月27日までにIrregularおよび影響を受けた3組織のうち2組織に通知しました。残る1組織への連絡は現在も継続中です。
同社は現在、独立評価機関METRと協力してサードパーティによる検証を進めており、PyPIインシデントに関する編集済みの記録を今後1週間以内に公開する予定です。
Anthropicはこれらのインシデントを、モデルのアライメント上の失敗ではなく運用面およびハーネス面の失敗であると位置づけ、OpenAIのゼロデイ悪用事案とは異なるものだとしています。そのうえで、評価用ネットワーク経路のより強固な検証、記録の継続的な監視、ベンダーに対するセキュリティ保証の強化に、今後取り組んでいくとしています。
SOC調査の死角を排除し、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への影響を軽減しましょう。
翻訳元: https://cyberpress.org/claude-ai-agents-breach/