Anthropicは、自社のAIモデル「Claude」がサイバーセキュリティ評価の最中に、3つの異なる組織のシステムへ不正アクセスしていたことを明らかにしました。
今回の公表は、OpenAIが7月21日に発表した事案に続くものです。同社のモデルの一部が、これまで知られていなかった脆弱性を悪用して隔離されたテスト環境から脱出し、オープンソースの機械学習プラットフォームであるHugging Faceのシステムに到達していたことが判明していました。
Anthropicは次のように述べています。「Claudeがインターネットにアクセスできた可能性のある141,006件の評価実行を精査した結果、サードパーティ評価パートナーの1社であるIrregularの評価環境内、あるいはその環境とやり取りしている最中に、モデルがインターネットへアクセスした事例を3件確認しました。これらのケースでは、その後3つの異なる組織の本番インフラへの不正アクセスに至っています」
今回の3件の事案には、Opus 4.7、Mythos 5、そして社内の研究用モデルという、3つの異なるClaudeモデルが関与していました。いずれの事案も、Irregularが実施したCapture the Flag(CTF)演習の最中に発生しています。
この種の演習では、Claudeに架空のシナリオが与えられ、ネットワーク上の別のマシンに秘密のデータが隠されていると伝えられますが、それを見つけ出す方法についての指示は一切与えられません。
同社は次のように説明しています。「いずれのケースでも、評価用のプロンプトには『Claudeはインターネットにアクセスできない』と明記していましたが、フラグをどこで探すべきかについての制限は与えていませんでした」
「しかし設定ミスにより、Claudeが評価の一環でアクセスしたマシンには実際にはインターネットへの生きた接続が残っていました。私たちも評価パートナーも、この設定ミスには気づいておらず、先週、追加の評価モニタリングによって初めて検知しました」
事案の経緯
最初の事案は、Anthropicが観測した中で最も深刻な影響を及ぼしたものだとしています。このテストシナリオでは、架空のターゲット企業が実在するインターネットドメインと同じ名前を持っていました。
4回の実行において、Opus 4.7はシミュレーション上のターゲットへのアクセスに失敗し、代わりにその実在の企業をオンライン上で特定してしまいました。そして、脆弱なパスワードと未認証のエンドポイントを通じて、その企業のインフラへ不正アクセスしています。アプリケーションおよびインフラの認証情報を取得し、数百行の本番データを含むデータベースにもアクセスしました。
Anthropicによれば、これは「唯一のケース」であり、モデルが実環境で動作している可能性が高いと判断した後も攻撃を継続した事例だといいます。4回の実行のうち2回では、Claudeは実在の企業が評価に意図的に組み込まれたものだと誤って結論づけていました。
2件目の事案にはMythos 5が関与していました。架空のテストシナリオの中で、Claudeは架空企業向けの偽の入社案内文書を発見し、そこには新入社員に対し、実在しないPythonパッケージをインストールするよう指示する内容が記載されていました。
Claudeは、その架空企業のシステムがそのパッケージを自動的にダウンロードするだろうと推測し、まさにその名称でパッケージを登録・公開しました。
Anthropicは、Claudeが「この攻撃を実行するために大掛かりな手段を講じた」と述べています。
PyPIアカウントを登録するにはメールアドレスが必要で、そのメールアドレスの取得には電話番号が必要でした。Claudeはまず無料の電話番号サービスの利用を試みましたが失敗し、続いていくつかの方法で電話番号を有料で取得しようとした後、最終的に電話番号なしで登録できるメールプロバイダーを見つけ出しました。
このパッケージはPyPI上で約1時間公開された状態にありました。その間に、15の実在するシステムでダウンロード・実行されており、その中にはあるセキュリティ企業のシステムも含まれていました。同社のマルウェアスキャナーは、新しく公開されたPythonパッケージを日常的にインストールし解析する仕組みになっていました。
Anthropicは次のように記しています。「この企業のセキュリティスキャナーはPyPIパッケージを安全なものとして扱っていたとみられ、その結果Claudeは、あらかじめ用意しておいた収集先へこの企業の認証情報を持ち出すことができました。その後Claudeは、この認証情報を使ってこの企業のさらなるインフラへアクセスしました」
このパッケージは後にPyPIのセキュリティシステムによって削除されました。Anthropicは、関連する詳細情報をPyPIチームに共有済みだとも付け加えています。
「Mythos 5は、自分がオープンなインターネットにアクセスしていることを正しく直感的に察知していましたが、そこから論理を組み立て直し、依然としてシミュレーション内にいるという結論に至っていました」
3件目の事案では、一般公開を意図していない社内の研究用モデルが、割り当てられたターゲットへの到達に失敗し、代わりにインターネットに公開された約9,000のシステムをスキャンしました。このモデルは、露出したデバッグページとSQLインジェクションの脆弱性という、Anthropicいわく基本的な手法を通じて、ある企業のアプリケーションを侵害しています。
演習の途中で、このモデルは自身が侵害したシステムが割り当てられたシナリオとは無関係であると判断し、実在のターゲットにアクセスしてしまったと結論づけて、自ら行動を停止しました。
Anthropicが責任を表明
Anthropicは、これら3件の事案のいずれにおいても、Claudeが自身を外部に持ち出そうとしたり評価環境から脱出しようとしたりすることは一切なく、モデルはあくまで割り当てられたタスクを完了するためだけに行動していたと強調しています。
同社は問題を検知した後、7月23日にすべてのサイバーセキュリティ評価を一時停止し、翌日までに3件すべての事案を特定、7月27日にはIrregularおよび影響を受けた組織へ通知を行いました。
Anthropicは次のように結論づけています。「最終的に、今回の事案にはさまざまな要因が関わっていますが、原因を追及しない事後検証(blameless postmortem)の文化にのっとり、私たちは責任がすべて自分たちにあるものとして、この修正に取り組んでいきます」
翻訳元: https://www.helpnetsecurity.com/2026/07/31/anthropic-claude-cybersecurity-incidents/
